구글이 후원하는 광고를 통해 홍보된 트레저 피싱 사기로 한 사용자가 평생 모은 전 재산을 잃었다고 피해자가 밝혔습니다. 한편, BTCPay 서버는 이미 실시간으로 악용되고 있던 치명적인 결함에 대한 긴급 패치를 배포하였습니다.
이 두 사건은 약 24시간 차이로 발생했습니다. 두 사건 모두 비트코인(BTC) 프로토콜 자체에는 영향을 주지 않았으나, 사용자 자금에는 직접적인 위험이 있었습니다.
구글 광고, 트레저 피싱 사이트로 피해자 유입
X(트위터)에서 David라는 이름으로 글을 올린 피해자는 목요일에 후원 검색 광고를 비난했습니다. 보도에 따르면, 해당 광고는 지갑 제조사의 공식 웹사이트보다 위에 배치된 위조 트레저 페이지(구글 사이트 호스팅)를 노출시켰습니다.
복구 씨앗을 해당 페이지에 입력한 누구나 공격자에게 자신의 지갑에 대한 완전한 통제권을 넘겨주게 됩니다.
온체인 데이터는 보고서에서 언급된 지갑이 80번의 거래를 통해 24.04 BTC를 받은 것으로 나타냅니다. 이는 현재 비트코인 가격(65,172달러 기준)에서 약 160만 달러에 해당합니다. 하지만 거의 모든 자금이 이동되었고, 약 0.04 BTC만 남아 있습니다.
트레저는 사건을 내부적으로 긴급 신고하고 해당 페이지의 삭제를 요청했다고 밝혔습니다.
“이 글을 읽는 모든 분들께: 항상 공식 트레저 웹사이트를 이용하고, 지갑 백업을 웹사이트나 양식에 절대 입력하지 마십시오.”라고 팀에서 당부하였습니다.
하드웨어 자체는 침해당하지 않았습니다. 이번 공격은 씨앗이 디바이스를 벗어난 순간 발생했습니다. 이 시나리오는 지난 5월, 40만 달러를 지갑에서 빼낸 가짜 유니스왑 피싱 사이트 사건을 떠올리게 합니다.
BTCPay 서버, 이미 악용된 결함에 대한 긴급 패치 배포
한편, 비트코인 결제를 직접 받을 수 있게 해주는 오픈소스 소프트웨어인 BTCPay 서버는 금요일에 자체 경고를 발령하였습니다.
팀은 운영자들에게 즉시 2.4.2 버전으로 업데이트하거나, 가능할 때까지 서버를 종료하라고 안내했습니다.
“이번 릴리스에는 실시간으로 악용 중인 치명적인 취약점이 수정되었습니다. 가능한 한 빨리 업데이트해야 합니다.”라고 프로젝트 릴리스 노트에서 밝혔습니다.
비트코인 레드팀(자원봉사 보안 연구 그룹)은 해당 결함을 개발자에게 제보하였습니다.
그러나 패치만으로 정리가 끝나는 것은 아닙니다. 운영자들은 라이트닝 노드에서 사용하는 접근 권한 ‘마카룬’과 기타 백엔드 인증 문자열도 반드시 새로 고쳐야 합니다.
BTCPay에서 핫지갑을 생성한 적이 있는 사용자는 해당 자금을 이동하고, 지갑을 다시 만들어야 합니다. 연동업체는 NBXplorer(인덱싱 툴)도 2.6.10 버전으로 업데이트해야 합니다.
두 사건이 비트코인 자산 직접보관에 중요한 이유
한쪽 공격은 검색 광고에 대한 신뢰를 악용했고, 다른 한쪽은 상인 서버에서 실행되는 코드를 노렸습니다. 두 사건 모두 비트코인의 보안 모델을 우회해 소프트웨어와 사용 습관에 직접적인 타격을 주었습니다.
피싱은 암호화폐에서 가장 비용이 큰 위협입니다. 1월의 암호화폐 도난 손실은 약 4억 300만 달러에 달하며, 그중 70% 이상이 피싱 공격에서 비롯되었습니다.
구글은 사기 광고가 어떻게 심사를 통과했는지 아직 해명하지 않았습니다. 해당 페이지가 얼마나 빨리 삭제되고, BTCPay 운영자 대부분이 얼마나 신속하게 패치하는지가 피해 규모를 결정할 것입니다.
