구글에서 선호하는 출처로 추가
가짜 레저 업데이트 이메일에 속아… XRP 40만개 유출
이도현 기자
크립토 자문가 조지 칼테키스가 레저를 사칭한 피싱 이메일에 속아 한 투자자가 XRP 40만개를 탈취당한 사례를 전했다.
하드웨어 지갑도 사용자가 지갑 정보를 입력하면 무력해질 수 있어 고도화된 피싱 경계가 필요하다는 점이 드러났다.
XRP 보유자가 ‘레저(Ledger)’를 사칭한 피싱 이메일에 속아 하룻밤 사이 40만 XRP를 잃은 사례가 전해졌다. 단순한 하드웨어 지갑 업데이트처럼 보였지만, 실제로는 지갑 정보를 빼내기 위한 사기 수법이었다.
13일 크립토 자문가 조지 칼테키스(George Kaltekis)가 공유한 사연에 따르면, 피해자는 부활절 밤 가족과 시간을 보내던 중 오후 10시께 급한 전화를 했다. 이메일에는 장치 업데이트를 유도하는 안내가 담겨 있었고, 피해자는 이를 정상적인 절차로 착각해 클릭한 뒤 지갑 정보를 입력했다. 이후 공격자들이 자금을 빼내면서 약 40만 XRP가 한 번에 사라졌다.
칼테키스는 이 같은 피싱 수법이 최근 들어 점점 정교해지고 있다고 지적했다. 실제 보안 분야 종사자들조차 진짜 안내와 가짜 안내를 구분하는 데 어려움을 겪는 수준이라는 설명이다. 특히 하드웨어 지갑은 ‘안전하다’는 인식이 강하지만, 사용자가 직접 정보를 입력하는 순간 허점을 노출할 수 있다는 점이 다시 드러났다.
다만 피해자가 보관하던 나머지 5만 XRP는 별도의 ‘보험 보관 계정’에 있어 피해를 피했다. 이 계정은 거래 승인 전 콜백 확인과 음성 인증 등 추가 절차를 거치도록 설계돼 있었다.
칼테키스는 이번 사례가 셀프 커스터디(self-custody·개인 지갑 보관)의 필요성을 부정하는 것은 아니라고 선을 그었다. 다만 셀프 커스터디가 아무리 유용해도 고도화된 피싱까지 막아주지는 못한다는 점을 보여준다고 해석했다. 크립토 시장에서 비트코인(BTC), XRP 등 주요 자산 보유자들이 예상치 못한 ‘업데이트’ 요청을 다시 확인해야 하는 이유도 여기에 있다.
원달러 환율이 1달러당 1,466.80원 수준인 만큼, 이번처럼 대규모 토큰 유출은 달러 기준뿐 아니라 원화 가치로도 적지 않은 충격을 남긴다. 보안이 강점으로 꼽히는 하드웨어 지갑도 결국 사용자의 경계심이 뒷받침되지 않으면 무력해질 수 있다는 점이 이번 사건의 핵심으로 읽힌다.
Comment 1
불러오는 중…