88만5000개 번호 겨냥한 가짜 지갑 피싱 적발

약 88만5000개 전화번호가 가짜 지갑 앱을 앞세운 암호화폐 피싱 캠페인의 표적이 됐다. 공격자는 고객지원 연락을 가장해 이용자의 시드 문구를 빼내려 한 것으로 조사됐다.

사이버보안업체 래피드7(Rapid7)은 17일 보고서에서 이번 캠페인을 '오퍼레이션 아스테릭스(Operation Asterix)'로 지칭했다. 애나 시로코바(Anna Sirokova) 래피드7 연구원과 얀 레친스키(Jan Recinsky) 래피드7 연구원은 노출된 웹 디렉터리에서 전화번호 원자료, 계정 검증 도구, 피싱 패널, 음성 통화 스크립트, 가짜 지갑 앱, 텔레그램 유출 코드 등을 확인했다고 밝혔다.

표적 자료 가운데 가장 큰 파일에는 독일 휴대전화 번호 31만6002개가 담겼다. 홍콩, 불가리아, 영국, 미국, 캐나다 핀테크 기업, 레저(Ledger) 관련 목록도 함께 확인됐다.

독일 번호 자료에서는 4만3066개 계정이 암호화폐 이용자 계정과 연결된 것으로 나타났다. 래피드7은 이를 약 13.6%의 적중률로 설명했다.

회수된 로그에는 바이낸스 관련 계정 5576개가 공격 대기열에 오른 정황도 담겼다. 크라켄 계정 여부를 대량 검증하려는 검사 도구도 확인됐다.

공격자는 레저, 트레저(Trezor), 엑소더스(Exodus)를 사칭한 앱으로 이용자를 유도했다. 지갑 복구에 쓰이는 시드 문구를 입력하게 만든 뒤 지갑 접근권을 빼앗는 방식이다.

시드 문구는 지갑을 복구하는 핵심 정보다. 이용자가 이를 가짜 앱이나 웹사이트에 입력하면 공격자는 지갑을 옮기거나 자산을 탈취할 수 있다.

이번 사례는 전화번호 목록 수집에 그치지 않았다. 공격자는 번호와 거래소 계정 여부를 대조한 뒤 가짜 고객지원 이메일과 전화 문의를 결합했다.

단순 문자 피싱보다 신뢰를 만들기 쉬운 구조라는 점이 특징이다. 한국 전화번호가 포함됐다는 내용은 래피드7 보고서에 제시되지 않았지만, 거래소나 지갑 업체를 사칭한 지원센터 연락 방식은 국내 이용자에게도 적용될 수 있다.

래피드7은 공격자가 캠페인 개발 과정에서 AI 코딩 도구를 활용한 흔적도 확인했다. 회수된 프롬프트, 셸 기록, 프로젝트 파일에는 일렉트론(Electron) 앱 패키징, 코드 난독화, 빌드 오류 해결, 피싱 인프라 수정, 악성코드 배포 준비에 AI가 쓰인 정황이 남아 있었다.

암호화폐 피싱은 코드 취약점보다 사람의 행동을 노린다. 블록체인 보안업체 해큰(Hacken)은 올해 1분기 암호화폐 업계 손실 4억8200만 달러(약 6705억원) 가운데 피싱과 사회공학 사기가 3억600만 달러(약 4256억원)를 차지했다고 집계했다.

이번 사례는 전화번호, 거래소 계정 검증, 가짜 지갑 앱, 음성 연락이 하나의 흐름으로 묶인 점에서 차이가 있다. 래피드7이 공개한 자료는 피해액을 확정하지 않았고, 확인된 것은 공격 인프라와 표적 선별 과정이다.

이용자는 지갑 복구 문구를 앱, 웹사이트, 이메일, 전화 상담, 메신저 고객지원 채널에 입력하지 않아야 한다. 거래소나 지갑 업체를 사칭한 연락을 받았을 때는 기존 앱이나 공식 사이트를 직접 열어 공지 여부를 확인해야 한다.