최근 하드웨어 지갑 제조사 레저(Ledger)의 최고기술책임자(CTO) 샤를 기예메(Charles Guillemet)가 이더리움 개발자인 잭 콜(Zak Cole)을 겨냥한 정교한 피싱 공격 사례를 공개하며 사용자들에게 주의를 촉구하고 나섰다. 그는 “개인 키를 컴퓨터에 저장하지 말라”며, 암호화 자산 탈취가 기술력 없는 비교적 저렴한 비용으로도 실행될 수 있다는 현실을 경고했다.
해당 공격은 유명 팟캐스트 출연 요청을 가장한 피싱 이메일로 시작됐다. 이메일에 포함된 링크는 스트리밍 플랫폼 스트림야드(StreamYard)와 연결되며, 수신자를 데스크톱 애플리케이션 설치로 유도했다. 링크 클릭 후에는 오류 메시지가 표시되며, 사용자는 앱 설치를 강요받았다. 이 공격의 피해자인 콜이 설치 파일을 테스트 컴퓨터에서 실행해 본 결과, 해당 파일 내부에 숨겨진 악성 스크립트가 포함되어 있는 것으로 확인되었다. 이 스크립트는 지갑 파일은 물론 개인 메시지, 사진 등 민감 정보를 수집해 공격자의 서버로 전송하는 방식으로 운영되었다.
더욱 충격적인 사실은 이와 같은 악성코드가 전문 해커의 작품이 아니라 ‘렌탈 악성코드’라는 점이다. 이 같은 방식을 이용한 공격자는 월 3,000달러(약 417만 원)의 비용으로 이를 실행할 수 있었다. 다시 말해, 전문적인 기술 없이도 기본적인 자금만 있으면 누구나 사이버 공격을 저지를 수 있는 환경이 조성된 것이다.
콜은 이러한 트렌드를 “서비스형 악성코드(MaaS, Malware-as-a-Service)”의 대표적인 사례로 언급하며, “이제는 고급 기술을 보유한 해커 뿐만 아니라 비전문가들 역시 위험 요소가 될 수 있는 시대이다”라고 강조했다. 레저의 기예메 CTO 또한 “개인 키의 저장 위치와 사용 환경에 따라 피해 여부가 크게 달라질 수 있다”며 오프라인 보안 강화의 중요성을 재차 강조했다.
업계 전문가들은 이번 사건이 단순한 피싱 공격 이상으로, 고도화된 사이버 위협에 대응하기 위한 지갑 보안 강화뿐만 아니라 소셜 엔지니어링 기법에 대한 경계가 필수적이라고 입을 모았다. 암호화폐 환경이 계속 진화하고 있는 만큼, 사용자들 역시 사이버 공격에 대한 경각심을 높여야 할 필요성이 있음을 인지해야 한다.
결국 이번 사건은 사용자들에게 기술적 안전망을 더욱 강화할 필요성과 함께, 보다 신중한 디지털 환경에서의 행동이 요구됨을 시사하는 중요한 경고로 받아들여져야 할 것이다.
