88만 전화번호 노린 암호화폐 피싱 공격 포착
CoinTelegraph2026년 8월 20일 21:351
최근 보안 전문 기업 래피드7(Rapid7)이 88만 5천 개 이상의 전화번호를 대상으로 한 대규모 암호화폐 피싱 캠페인을 발견했다고 밝혀 업계에 긴장감이 돌고 있다. 이번 'Operation Aseterix'로 명명된 공격은 계정 탈취부터 정보 유출까지 전 과정에 걸쳐 이루어진 것으로 파악되었으며, 특히 인공지능(AI) 도구가 적극적으로 활용된 정황이 드러나 더욱 우려를 낳고 있다.
래피드7은 이번 캠페인에서 수집된 31만 6천 개 이상의 독일 전화번호 데이터셋을 분석한 결과, 4만 3천 66개에 달하는 계정이 암호화폐 거래소 계정과 연결되었음을 확인했다. 이는 약 13.6%의 '적중률'을 나타내는 수치로, 상당수의 암호화폐 이용자들이 공격의 표적이 되었음을 시사한다. 더 나아가, 래피드7은 이번 공격에서 크라켄(Kraken) 거래소 사용자를 대상으로 한 전화번호 확인 도구가 발견되었다고 밝혔다. 이는 공격자들이 특정 거래소 이용자를 겨냥해 맞춤형 피싱 공격을 시도했음을 의미한다.
이번 피싱 캠페인의 가장 큰 특징 중 하나는 인공지능(AI) 기술의 적극적인 활용이다. 래피드7은 회수된 증거물들을 통해 AI 도구가 피싱 캠페인의 상당 부분을 차지했음을 확인했다고 전했다. AI는 고도로 개인화된 피싱 메시지를 생성하거나, 사용자들의 취약점을 분석하여 공격 성공률을 높이는 데 사용되었을 가능성이 높다. 이는 기존의 피싱 공격보다 더욱 정교하고 탐지하기 어려워, 암호화폐 이용자들의 경각심을 더욱 높이고 있다.
암호화폐 업계에서 피싱 공격은 오랫동안 해결되지 않은 고질적인 문제로 남아있다. 해커들은 암호화폐 프로토콜 자체의 취약점을 공격하는 대신, 인간의 심리를 이용하는 피싱 공격을 통해 사용자들의 자산을 탈취하는 방식을 선호한다. 이는 기술적인 보안 강화만으로는 해결하기 어려운, 사용자 교육 및 인식 개선의 중요성을 다시 한번 강조하는 대목이다.
실제로 유사한 피싱 공격으로 인한 피해 사례는 끊이지 않고 있다. 불과 지난 8월, 지갑 제공업체 트레저(Trezor)는 배송업체 ShipMonk의 데이터 유출로 인해 약 1만 4천 명의 사용자 개인정보가 유출되는 사고를 겪었다. 또한, 지난 7월에는 이더리움 네트워크에서 악의적인 피싱 토큰 승인 거래에 서명한 암호화폐 투자자가 약 100만 달러에 달하는 자산을 잃는 안타까운 일이 발생했다. 지난해 11월에는 마이크로소프트 스토어에 올라온 가짜 레저 라이브(Ledger Live) 앱을 통해 38건의 거래에서 총 58만 8천 달러가 도난당하는 사건도 있었다.
이처럼 피싱 공격은 암호화폐 생태계 전반에 걸쳐 심각한 위협으로 작용하고 있으며, 투자자들의 각별한 주의가 요구된다. 이와 관련하여 디파이라마(DefiLlama) 설립자는 애플 스토어에 올라온 피싱 앱 때문에 모바일 앱 출시를 연기했다고 밝히기도 했다. 이는 단순히 개인적인 피해를 넘어, 암호화폐 서비스 제공업체들조차 피싱 위협에 노출되어 있음을 보여준다.
업계 리더들도 피싱 공격 근절을 위한 노력을 촉구하고 있다. 바이낸스 공동 창업자인 창펑 자오(Changpeng Zhao)는 지난 2025년 12월, 한 투자자가 주소 독극물(address poisoning) 사기 수법으로 5천만 달러를 잃은 사건 이후, 피싱 사기를 방지하기 위한 보다 강력한 지갑 보안 조치를 요구한 바 있다. 이러한 노력에도 불구하고, 공격 수법은 날로 진화하고 있어 투자자들은 더욱 민감하게 보안에 신경 써야 할 필요가 있다.
최근에는 구글을 이용한 악성 피싱 광고를 통해 피해를 입는 사례도 보고되었다. 지난 5월 25일, 온체인 분석가 'b-block'은 사기꾼들이 구글 광고를 이용해 탈중앙화 거래소 유니스왑(Uniswap)을 사칭하며, 피해자들로부터 40만 달러 이상을 탈취했다고 경고했다. 이는 유명 서비스나 브랜드를 사칭하는 고전적인 수법이 여전히 효과적임을 보여준다.
암호화폐 투자자들이 피싱 공격으로부터 자신을 보호하기 위해서는 다음과 같은 기본적인 보안 수칙을 준수하는 것이 중요하다. 첫째, 의심스러운 링크나 첨부 파일은 절대 클릭하지 않는다. 둘째, 개인 정보나 암호화폐 관련 정보(개인 키, 시드 구문 등)를 절대 공유하지 않는다. 셋째, 공식 웹사이트나 앱 스토어에서만 소프트웨어를 다운로드하고, 항상 최신 버전으로 업데이트한다. 넷째, 거래소 계정 및 지갑에 2단계 인증(2FA)을 반드시 설정한다. 마지막으로, 알림 메시지나 이메일의 출처를 항상 확인하고, 의심스러운 부분은 즉시 거래소나 서비스 제공업체에 문의해야 한다.
래피드7의 이번 발표는 암호화폐 시장의 지속적인 성장과 더불어 보안 위협 또한 더욱 고도화되고 있음을 명확히 보여준다. 투자자들은 기술적인 측면의 보안 강화와 더불어, 끊임없이 진화하는 피싱 수법에 대한 경각심을 늦추지 않고, 철저한 개인 보안 관리를 통해 자신의 소중한 자산을 보호해야 할 것이다. 암호화폐 업계 역시 이러한 사이버 위협에 맞서기 위한 기술 개발과 사용자 교육에 더욱 힘써야 할 시점이다.