가짜 자금세탁방지 검사, 지갑 서명 사기 통로 됐다

가짜 자금세탁방지(AML) 검사 사이트가 암호화폐 이용자의 지갑 연결과 승인 서명을 유도하는 사기 통로로 쓰이고 있다. 정상적인 위험 조회는 공개 지갑 주소만으로 가능하지만, 사기 사이트는 보안 점검을 가장해 이용자가 직접 권한을 넘기게 만든다.

멀웨어바이츠(Malwarebytes)는 한국시간 20일 분석 글에서 사기 사이트들이 AMLBot 또는 ‘AML Check’ 같은 이름을 쓰고 로고, 화면 구성, 문구를 실제 서비스처럼 베낀다고 밝혔다. 이용자는 코인을 고르고 ‘Check Wallet’을 누른 뒤 지갑을 연결하라는 안내를 받는다.

사이트는 이후 지갑 주소와 보유 자산을 확인한 것처럼 보이게 만든다. 공격자가 만든 거래를 이용자 지갑에 보내 승인하게 하는 방식으로 접근한다는 설명이다.

핵심은 ‘AML 검사’라는 말 자체가 아니다. AML 검사는 지갑의 온체인 거래 이력과 제재 대상, 스캠, 도난 자금, 믹서, 다크넷 관련 노출 여부를 살피는 절차다.

AMLBot은 7월 13일 공개한 안내문에서 지갑 주소가 겉으로는 평범해 보여도 고위험 이력이 있을 수 있다고 설명했다. 다만 이 조회는 지갑 소유자의 신원이나 거래 상대의 정직성을 보증하지 않는다.

사기 사이트는 이 절차를 뒤집는다. 주소 입력으로 끝날 수 있는 조회를 ‘지갑 연결’과 ‘승인’ 단계로 바꾸고, 보안 점검처럼 보이는 진행바를 띄운다.

멀웨어바이츠는 일부 사이트가 ‘Checking wallet history’, ‘Verifying compliance’ 같은 문구를 보여 준 뒤 소액 수수료를 요구하거나, 마지막에는 ‘Clean, Low Risk’ 결과를 표시한다고 설명했다. 실제 검사가 이뤄졌는지와 관계없이 이용자를 안심시키는 화면을 내보내는 구조다.

AMLBot은 지난해 4월 공개 글에서 이메일, 텔레그램, 가짜 웹사이트를 통한 자사 사칭 사례가 늘었다고 경고했다. ‘AMLBot Recovery’나 유사한 이름으로 지갑 접근, 선금, 개인키를 요구하면 사기라고 밝혔다.

AMLBot이 공식 서비스로 제시한 경로는 amlbot.com과 검증된 텔레그램 봇으로 한정됐다. 도메인이나 계정명이 비슷하다는 이유만으로 정상 서비스로 볼 수 없다는 취지다.

PCRisk도 6월 2일 분석에서 ‘AMLBot Crypto Checking’ 페이지가 공식 사이트를 모방한 드레이너라고 설명했다. 해당 분석은 amlbotchecking[.]com, aml-safety[.]one 등 관련 도메인을 예로 들며, 사용자가 지갑을 연결하면 악성 계약 서명으로 이어질 수 있다고 적었다.

이 유형은 규제·보안 절차를 가장한 사칭 사기와 구조가 닮아 있다. 이용자가 위험을 피하려는 순간을 노리고, 보안·규제·복구 같은 표현으로 신뢰를 만든다는 점이 같다.

암호화폐 지갑 연결은 통상 서비스가 지갑 주소를 확인하거나 이용자에게 특정 거래 승인을 요청하는 절차다. 연결 자체만으로 항상 자금이 즉시 빠지는 것은 아니지만, 이어지는 토큰 승인이나 알 수 없는 서명은 자산 접근 권한을 넘기는 계기가 될 수 있다.

‘지갑 복구’, ‘AML 검사’, ‘클린 결과’ 같은 문구가 있어도 지갑 연결, 토큰 승인, 알 수 없는 서명, 복구 문구 입력을 요구하면 정상 절차로 보기 어렵다. 특히 복구 문구나 개인키 입력은 지갑 통제권을 사실상 넘기는 행위다.

의심스러운 사이트에 토큰 접근 권한을 줬다면 권한을 확인하고 철회해야 한다. 복구 문구나 개인키를 입력했다면 해당 지갑은 손상된 것으로 보고 새 지갑으로 남은 자산을 옮기는 조치가 필요하다.