비트코인 보안 경보: 72개 위장 사이트 월스트리트 겨냥

크립토 뉴스

비트코인(BTC)이 대규모 운영 보안 경고의 기준 자산으로 부상했다. 랜섬을 요구하는 피싱 캠페인이 72개의 위장 웹 주소를 동원해 대형 금융기관을 정조준했기 때문이다. 공식 위협 인텔리전스 보고서에 따르면 UNC6671로 추적되는 공격 그룹은 직원들의 개인 휴대전화로 전화를 걸어 내부 헬프데스크 담당자를 사칭하며 긴급 보안 업데이트가 필요하다고 속였다. 이 통화에서 직원들은 위조된 로그인 페이지로 유도됐고, 중간자 공격(AITM) 시스템이 사용자 이름, 비밀번호, 일회용 다중 인증(MFA) 코드를 탈취했다. 유효한 세션을 확보한 침입자들은 자동화 스크립트를 배포해 Microsoft 365, Okta 등 엔터프라이즈 클라우드 서비스에서 자료를 추출했다. 보고서는 모든 피해 기관을 공개하지 않았으며, 어떤 기관이 완전한 침해에 노출됐는지는 아직 확인되지 않았다. 이 수법이 비트코인에 특히 중요한 이유는 기관 투자자들이 동일한 신원·접근·클라우드 통제 체계를 의존하고 있기 때문이다. 단 한 번의 성공적인 통화만으로 수탁 절차, 재무 커뮤니케이션, 컴플라이언스 기록이 노출될 수 있으며, 이는 개인키가 오프라인에 보관된 경우에도 해당된다. 보고서가 묘사한 맞춤형 헬프데스크 스크립트, 자격 증명 수집 패널, SaaS 애플리케이션 대상 데이터 탈취는 사회공학이 한 개인의 실수를 엔터프라이즈급 사고로 전환시키는 속도를 보여준다. 알트코인을 보유하거나 거래소 연계 계정을 관리하는 디지털 자산 팀에도 동일한 경고가 적용된다. 설득력 있는 전화 한 통으로 로그인 흐름을 가로챌 수 있다면, 하드웨어 통제와 네트워크 정책만으로는 충분하지 않다. 보안 연구자들은 해당 인프라를 계속 모니터링하고 있으며, 공격자들이 업종 간에 빠르게 이동한 점을 감안할 때 공개된 72개 주소 목록은 추가 사고 발생 전 방어자들이 차단할 수 있는 구체적 지표를 제공한다. 이 캠페인은 또한 시장 구조가 접근 통제의 강도에 의해 결정된다는 점을 재확인시켜 준다. 특히 트레이딩, 결제, 수탁 팀이 클라우드 기반 신원 공급자를 공유하는 환경에서는 더욱 그러하다. 보고서의 지표 공개로 보안 팀은 프록시 로그, 이메일 게이트웨이, 신원 플랫폼 경고를 알려진 악성 도메인과 대조할 수 있게 됐다.

이 캠페인의 두 번째 주목할 특징은 여름철 동안 고가치 금융·법률 기관으로의 이동이다. 6월까지 추적된 인프라는 주로 기술, 운송, 호스피탈리티 조직을 겨냥했으며, 영업 비밀, 독점 코드, 고객 정보를 탈취하는 것이 목적이었다. 이듬달인 7월에는 자산운용사, 로펌, 금융평가기관으로 초점이 전환됐다. 도메인 분석 결과 위장 서브도메인이 Moody's, CME Group, KKR, Blackstone을 비롯해 Bridgewater Associates, Apollo Global Management, Bain Capital, TPG, Clearlake Capital 등 다수 기관과 연결된 것으로 확인됐다. 공식 보고서는 일부 조직이 랜섬을 지불했다고 밝혔으나, 실제로 침해당한 주체가 어디인지는 특정하지 않았다. 이러한 모호성은 비트코인과 광범위한 디지털 자산 시장에 중요한 의미를 갖는다. 갈취 캠페인은 피해자가 노출 범위를 평가하고 고객에게 통보하며 통제를 강화하는 동안 비공개로 유지될 수 있기 때문이다. 표적이 된 기업 목록은 공격자들이 딜 플로우, 투자위원회 커뮤니케이션, 평가 관련 정보에 대한 접근을 추구하고 있음을 보여준다. 이 중 어느 하나라도 탈취 또는 유출되면 시장을 움직일 수 있다. 알고리즘 기반 스테이블코인이나 기타 토큰화된 금융 상품을 구축하는 팀에게 교훈은 명확하다. 외부 신원 공급자, 개인 모바일 기기, 서드파티 SaaS 플랫폼은 핵심 시스템이 강화된 상태에서도 공격 표면이 될 수 있다는 점이다. 공격자들은 제로데이 익스플로잇을 사용하지 않았다. 설득력 있는 전화 통화, 가짜 포털, 자동화된 데이터 수집만으로 충분했다. 보고서는 또한 공개된 웹 주소가 도메인 조회 도구를 통해 분석됐으며, 각 기관에 해당하는 매칭 서브도메인이 발견됐다고 밝혔다. 이는 보안 담당자에게 테이크다운, 차단 규칙, 직원 브리핑을 위한 구체적 추적 경로를 제공한다. 사회공학 리스크가 이제 자본시장에 관여하는 기업에게는 이사회 수준의 이슈임을 재확인하는 대목이다. 암호화폐 자산을 직접 보유하지 않더라도 마찬가지다. 동일한 자격 증명 탈취 플레이북은 거래소 운영자, OTC 데스크, 디지털 자산 익스포저를 지원하는 펀드 관리자에게도 재사용될 수 있다. 개인 전화가 초기 채널로 사용됐기 때문에 기존 경계 방어 체계는 최초 접촉을 감지하지 못할 수 있으며, 사용자 확인 및 콜백 절차가 필수적이다.

COINOTAG 분석은 이 두 가지 흐름을 하나의 주제로 연결한다. 인간 신원이 이제 금융 인프라의 가장 취약한 고리이며, 이 리스크는 비트코인(BTC) 시장까지 확장된다는 것이다. 주요 위협 인텔리전스 기록에 따르면 해당 작전은 신규 소프트웨어 취약점에 의존하지 않고 헬프데스크 음성 통화, 중간자 공격 기반 자격 증명 수집, SaaS 데이터 탈취를 일관되게 결합했다. 투자자에게 실질적 시사점은 수탁 및 접근 검토가 역대 최고가 부근의 가격 수준만큼 중요하다는 것이다. 기관은 헬프데스크 절차를 테스트하고, MFA 리셋 흐름을 제한하며, 위장 도메인을 모니터링해야 한다. 자기 수탁 사용자의 경우 AI 크립토 지갑 주변의 기만적 인터페이스로부터 유사한 리스크에 직면하며, 한 번의 승인된 프롬프트가 다른 건전한 보안 설계를 무력화할 수 있다.