ICO 투자 착안해 사회공학적 공격...증정 사기도 횡행
매번 공식 출처 확인하고 위험한 전자지갑 식별해야

[보안뉴스 오다인 기자] 사이버 공격자들이 ICO 투자에 착안한 공격 수법으로 암호화폐 소유주와 입문자 모두를 겨냥해 수익을 챙겨 왔다고 카스퍼스키랩이 밝혔다.


사이버 공격자들은 ICO 프로젝트 공식 사이트를 베껴 가짜 페이지를 만들거나, ICO 투자자의 연락처 정보에 접근한 뒤 전자지갑 번호가 담긴 피싱 이메일을 전송해 암호화폐 전송을 유도하기도 했다.

예컨대, 암호화폐를 무료 배포하는 스위치오(Switcheo) ICO를 악용, 가짜 트위터 계정으로 해당 링크를 확산시킨 뒤 25,000달러(약 2,800만 원) 이상의 암호화폐를 훔친 사건이 있었다. 오미세고(OmiseGo) 피싱 사이트를 개설해 110만 달러(약 12억 3,000만 원) 이상의 암호화폐를 가로챈 사건도 발생했으며, 텔레그램(Telegram) ICO와 관련한 소문을 악용해 투자자를 모집하는 가짜 사이트 수백 개가 등장하기도 했다.

암호화폐 증정 사기도 최근 횡행하는 범죄다. 소액의 암호화폐를 전송하면 추후 훨씬 큰 금액의 암호화폐로 보상한다며 속이는 방식이다. 카스퍼스키랩은 범죄자들이 엘론 머스크나 파벨 두로프 같은 유명인의 SNS 계정을 이용하는 대담함도 보였다고 설명했다. 가짜 계정으로 실제 이용자 트윗에 회신하고 클릭을 유도해 공격에 노출시켰다.

카스퍼스키랩에 따르면, 범죄자들은 이 같은 수법으로 지난 한 해에만 약 21,000ETH(이더리움 암호화폐), 현재 환율 기준으로 1,000만 달러(약 112억 원) 이상을 벌어들인 것으로 추정된다. 여기에는 고전적인 피싱 공격이나 특정인을 겨냥한 개별 공격에 대한 피해액은 포함되지 않았다.

이창훈 카스퍼스키랩코리아 지사장은 “사이버 범죄자들은 최신 동향을 파악하고 암호화폐 피싱 효과를 극대화할 수 있는 리소스 개발에 매우 능하다”면서 “이들이 가장 취약한 부분인 인적 요소와 이용자 행동을 이용해 수익을 올리고 있다”고 경고했다.

이러한 공격에 대응하기 위해 카스퍼스키랩은 아래와 같이 권고하고 있다.
1)세상에 공짜는 없다는 사실을 명심하고 지나치게 파격적인 제안은 의심해본다.
2)암호화폐 무료 배포와 관련된 정보는 공식 출처를 확인한다. 예를 들어, 최근 해킹 당했던 바이낸스(Binance) 블록체인 명의로 암호화폐를 배포한다는 정보를 발견했다면 공식 출처를 통해 정보의 정확성을 확인해야 한다.
3)자금 이체 시 전자지갑 거래에 제3자가 연결돼 있는지 확인한다. etherscan.io 또는 blockchain.info 등 블록체인 브라우저를 이용하면 암호화폐 거래와 관련한 상세 정보를 볼 수 있고 위험한 전자지갑을 식별할 수 있다.
4)항상 브라우저 주소창의 하이퍼링크 주소와 데이터를 확인한다. 예컨대 ‘blockchain.info’ 대신 ‘blackchaen.info’ 등이 표시되진 않는지 확인해야 한다.
5)주소창에 주소를 잘못 입력해 실수로 피싱 사이트로 이동하는 일이 없도록 탭에 전자지갑 주소를 미리 저장해두고 해당 탭에서 액세스한다.
[오다인 기자(boan2@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>