하드웨어 월렛 사용자, 10비트코인 외 NFT 손실… 원인은 피싱 공격
암호화폐 보유자의 보안 의식을 다시 한번 일깨우는 사건이 발생했다. 한 사용자가 10비트코인과 약 150만 달러 상당의 NFT를 하드웨어 월렛에서 도난당했다며 피해를 호소했다. 해당 사안은 결국 2022년 발생한 피싱 공격으로 밝혀졌다.
“앵커 드롭스”의 고백… 2년이 지나 드러난 보안 취약점
암호화폐 커뮤니티 내에서 “앵커 드롭스(Anchor Drops)”라는 이름으로 활동 중인 사용자는 최근 소셜 미디어 플랫폼 엑스(X)를 통해 자신의 피해 상황을 고백했다. 그는 자신이 보유하던 10비트코인(약 13억 원)과 약 150만 달러(약 19억 5000만 원) 상당의 NFT가 그의 Ledger Nano S 하드웨어 월렛에서 도난당했다고 밝혔다.
앵커 드롭스는 이 문제를 정확히 2022년 2월 22일에 발생한 피싱 공격과 연관 짓고 있다. 해당 피싱 공격에서 사용자는 제대로 확인하지 않고 악성 거래를 승인하였으며, 이로 인해 지갑 접근 권한을 악의적인 행위자에게 넘겨줬던 것으로 보인다.
Ledger, “이용자 과실에 의한 피해”
하드웨어 월렛 제조사인 Ledger는 이번 사건에 대해 피해자가 과거 피싱 공격으로 악의적인 거래를 승인했을 가능성이 높다고 밝혔다. Ledger는 커뮤니티 회원인 KDean이 엑스(X)에서 공유한 데이터를 인용해, 피해가 발생한 시기를 2년 전으로 추정했다. Ledger는 문제의 피싱 거래가 “Fake_Phishing5443”라는 태그로 기록된 헥사 악용 주소와 관련 있다고 설명했다.
이와 관련해 Cyvers의 보안 과학자 하칸 우날(Hakan Unal)은 “블록체인 분석 결과, 사용자가 3년 전 피싱 거래를 승인한 것으로 나타났다. 해커는 이후 오랜 기간 잠복한 뒤 지갑을 침입해 자산을 탈취했다”고 설명했다. 그는 이 사건이 Ledger 자체의 보안 취약점 때문이 아니라 사용자 의식 부족과 잘못된 거래 승인에서 비롯된 것이라고 강조했다.
비트코인 도난, NFT 손실과는 별개?
특히 비트코인 도난의 사례는 NFT 손실과는 다른 방식으로 이뤄졌을 가능성을 포함하고 있어 의문을 자아낸다. Ledger와 Cyvers는 해당 사용자가 피싱 공격 당시 복구구문(recovery phrase)을 해커에게 유출했을 가능성을 제기했다. 복구구문이 유출되면 사용자가 사용하는 모든 블록체인에 대한 접근권이 해커에게 넘어갈 수 있다.
Ledger 대변인은 “해당 사용자가 이더리움 거래와 관련해 피싱을 당했다면, 비트코인 쪽에서도 사용자의 과실이 있었을 가능성이 크다”고 언급했다.
보안 전문가들의 조언: “정기적으로 권한 검토가 필요”
이번 피싱 사건은 하드웨어 월렛이 뛰어난 보안성을 제공함에도 불구하고 사용자의 잘못된 거래 승인으로 인해 자산이 도난당할 수 있음을 보여준다. Ledger 관계자는 “하드웨어 월렛 사용은 보안 강화를 위한 필수 요소지만, 이를 사용할 때 모든 거래를 신중히 검토하고 이해하는 것이 중요하다”고 강조했다.
Cyvers의 우날 또한 “사용자는 정기적으로 자신이 이전에 승인한 토큰 권한을 검토하고 이를 재설정해야 한다”며 권고했다.
결론 없는 해법… 사용자 의식 강화가 관건
이번 사건은 하드웨어 월렛 사용자의 보안 사고에 대한 경각심을 불러일으켰다. Ledger는 피해 복구가 불가능하다는 점을 분명히 하며, 사용자가 온체인 서명 거래에 임할 때 각별히 신중해야 한다고 거듭 당부했다.
암호화폐 보안 전문가들은 하드웨어 월렛이라는 물리적 장치를 사용하는 것만으로는 자산을 완벽히 보호할 수 없다고 지적하며, 사용자들이 피싱 공격 가능성을 염두에 두고 보안 의식을 강화해야 한다고 촉구한다.
