콜드카드 해킹 피해 1억3천만달러…트레저·파운데이션 피싱 경고

콜드카드 펌웨어 취약점을 이용한 피싱 공격이 급증하면서 하드웨어 지갑 제조사 트레저와 파운데이션이 잇달아 사용자 경보를 냈다. 트레저는 보안 사고 공개 이후 피싱 시도가 눈에 띄게 늘었다면서, 지갑 백업은 기기 본체에서만 입력해야 하며 자사 하드웨어 자체는 영향이 없다고 밝혔다. 파운데이션도 자사를 사칭해 가짜 사이트와 악성 파일로 유도하는 이메일이 유포되고 있다며, 자사는 복구 문구를 요구하거나 지갑 보안을 위해 소프트웨어 설치를 지시한 적이 없다고 강조했다. 보안업체 프루프포인트는 8월 3일 콜드카드 사용자를 겨냥한 구체적인 피싱 캠페인을 공개했다. 공격자들은 콜드카드 주소를 위조한 이메일을 발송해 '협조 하드웨어 감사'를 완료하라고 요청하며, 'Start Hardware Audit' 버튼이 달린 클론 사이트로 유도한다. 버튼을 클릭하면 깃허브에 올린 배치 파일이 내려받아지고, 이를 통해 정상 원격접속 도구인 ScreenConnect가 설치된다. 프루프포인트는 이를 통해 공격자가 데이터 및 금융 자산 탈취, 랜섬웨어 등 후속 악성코드 배포가 가능해진다고 설명했다. 특히 가짜 사이트 내 고객상담 채팅창에는 봇이 아닌 실제 사람이 상주해 피해자를 단계별로 설치 과정으로 안내하는데, 프루프포인트는 이것이 사용자의 보안 불안을 이용하는 효과적인 사회공학 수법이라고 평가했다. 취약점의 근원은 2021년 3월 펌웨어 빌드다. 해당 빌드는 지갑 시드를 생성할 때 하드웨어 난수 생성기 대신 소프트웨어 폴백을 사용해, 결과적으로 개인 키가 추측 가능한 상태가 됐다. Galaxy Research는 7월 30일 이후 세 차례에 걸친 도난 파동을 확인했으며, 고신뢰 손실 규모는 1,596 BTC로 1억달러를 웃돈다고 밝혔다. 의심되지만 피해자 확인이 이뤄지지 않은 4차 파동까지 포함하면 총 피해액이 1억3천만달러에 달할 수 있다고 추정했다. Galaxy Research 리서치 헤드 알렉스 손은 첫 번째 파동을 제외한 나머지는 모두 피해자 제보를 통해 파악됐다며, 현재 최소 15명의 개별 공격자가 이 취약점을 이용하고 있다고 말했다. 콜드카드 제조사 코인카이트는 패치된 펌웨어를 배포했으며, 영향을 받은 사용자에게 새로 생성한 시드로 자금을 이동하라고 권고했다. 이번 사태는 하드웨어 지갑 사용자를 겨냥한 피싱 공세의 최신 사례다. 올해 2월에는 트레저와 렛저 사용자를 대상으로 홀로그램과 임원 위조 서명까지 담긴 실물 우편 캠페인이 벌어졌다. 4월에는 위조 렛저 앱이 수백만 달러를 탈취했고, 3월에는 가짜 깃허브 이슈로 개발자를 위장 사이트로 유인하는 공격도 있었다. Galaxy Research는 콜드카드 취약점이 여전히 진행 중이라며 보유자들에게 새 시드 또는 수탁 기관으로 자금을 즉시 이전할 것을 촉구했다. 취약점이 해소되지 않은 만큼 피싱 캠페인의 유효 기간도 장기화될 수 있다는 점이 우려된다.