구글에서 선호하는 출처로 추가
안드로이드 지갑 앱 취약점 방치…5천만개 노출 가능성
김미래 기자
마이크로소프트는 안드로이드용 EngageLab SDK 취약점이 5천만개 이상 앱에 영향을 줬고, 이 중 약 3천만개가 크립토 지갑 앱이라고 밝혔다.
패치가 배포됐지만 업데이트가 늦은 이용자는 지갑 주소와 시드 문구, 개인 키 노출 위험이 있어 새 지갑으로 자산 이전이 권고된다고 전했다.
13일 마이크로소프트에 따르면 안드로이드에서 널리 쓰인 소프트웨어 개발 키트(SDK) ‘EngageLab SDK’의 취약점이 크립토 지갑 앱 수천만 개를 위협한 것으로 나타났다. 이미 패치가 공개됐지만 일부 사용자는 여전히 업데이트를 하지 않아 지갑 주소와 시드 문구, 개인 키가 노출될 수 있다는 우려가 나온다.
마이크로소프트의 ‘Defender Security Research Team’은 지난주 이 취약점을 공개하며, 처음 발견 시점이 2025년 4월이었다고 밝혔다. 문제의 핵심은 ‘intent redirection’으로, 공격자 앱이 취약한 앱에 특수 메시지를 보내면 앱이 자신의 데이터 접근 권한을 넘겨주는 방식이다. 이 과정에서 안드로이드의 샌드박스 보호가 우회될 수 있었다.
마이크로소프트는 2025년 5월 구글과 안드로이드 보안팀에 관련 내용을 공유했고, EngageLab은 이후 수정 버전인 SDK 5.2.1을 배포했다. 다만 외부에서 받은 APK를 설치한 앱은 구글 플레이의 검증을 거치지 않아 상대적으로 위험이 크다는 지적이 나온다.
마이크로소프트는 이번 취약점이 안드로이드 생태계의 5천만개 이상 앱에 영향을 줬고, 이 가운데 약 3천만개가 크립토 지갑 앱이라고 설명했다. 사용자 개입 없이도 같은 기기에 취약한 앱이 함께 설치돼 있으면 공격이 성립할 수 있어 보안 충격이 컸다.
보안팀은 2025년 중반 이후 업데이트를 하지 않은 이용자라면 단순한 앱 업데이트만으로는 부족할 수 있다고 경고한다. 활성 상태였고 패치가 적용되지 않은 지갑은 잠재적으로 ‘침해된’ 것으로 간주하고, 새 시드 문구로 새 지갑을 생성해 자산을 옮기는 방안이 권고된다.
이번 공개는 최근 안드로이드 칩 취약점 경고와 미국 재무부의 크립토 기업 대상 사이버 위협 정보 공유 구상과도 맞물린다. 모바일 보안이 크립토 자산 보호의 핵심 변수로 떠오르고 있다는 의미다.
댓글 0
불러오는 중…