CERT-In, AI 해커의 거래소 지갑 키 탈취 경보 발령

중요 경보에 거래소 포함

인도 국가 사이버보안 기관이 인공지능 기반 해킹 조직에 대한 대응 수위를 높였다. 이 조직은 암호화폐 지갑 키를 탈취해 거래소와 금융사 자금을 인출하는 것으로 파악됐다. 인도 컴퓨터 비상대응팀(CERT-In)은 CRAFTY FALCON으로 추적되는 이 조직에 대한 권고문을 중요 등급으로 분류해 11월 4일 공개했으며, 지난 10월 처음 경고했던 캠페인을 갱신한 것이다. 이번 공지는 이미 은행권 비상장 대출업체, 디지털 대출 플랫폼, 핀테크 기업, 결제 총판과 서비스 제공업체를 포함하던 표적 목록에 암호화폐 거래소와 가상자산 서비스 제공자를 명시적으로 추가했다. 권고문에 따르면 위협은 활성 상태로 지속 중이며, 금융 부문 대응 조직 CSIRT-Fin은 성공한 공격 신고를 계속 접수하고 있다. 이미 이전 비공개 권고문을 받고 조치를 마친 기업들의 신고도 포함됐다. 문서는 이 행위자가 “기계 지능으로 표적을 정찰한다”고 서술하며, 피해자 자신의 결제 및 지급용 응용프로그램 인터페이스를 통해 송금을 트리거하는 방식으로 공격한다고 설명한다. 공격 사슬은 취약한 응용프로그램과 노출된 테스트 환경의 침해로 시작된다. 공유 자격증명과 접근 토큰이 침입자를 운영 시스템으로 옮기고, 클라우드 인프라는 악성 파일 배포에 동원된다. 내부에 진입한 조직은 응용프로그램 코드를 역설계해 맞춤형 공격 도구를 만들고, 플랫폼이 보관하는 자금을 지키는 지갑 키를 훔친 뒤 디지털 지갑에서 잔액을 인출한다. 이 키들은 위탁 구조의 근원 자격증명이다. 단일 시드 문구에서 다수 주소를 파생하는 HD 지갑 구조도 여기에 포함된다. 권고문은 피해 거래소를 특정하지 않았고 피해 규모 수치도 제시하지 않았다. 다만 외부 확인 사례는 있다. 지난 10월 사이버보안 기업 CrowdStrike은 특정되지 않은 공격자가 권고문에 함께 언급된 AI 침투 테스트 도구 ARTEX를, Claude Code 등 다른 모델과 함께 한국 금융사에 사용했다고 보고했다.

1루피 시험 송금과 AI 도구

소액 검증 송금, 공개 AI 도구, 연휴 시점 선정이 CRAFTY FALCON의 핵심 수법이다. 본격적인 무단 이체에 앞서 공격자는 피해자의 결제 인터페이스를 통한 송금 경로가 작동하는지 확인하기 위해 시험 송금을 보내며, 일부는 1루피에 불과했다. 기관은 공개된 AI 도구가 공격에 사용됐음을 확인하고 PentAGI와 CyberStrikeAI를 지목했다. 이 도구들은 공격 사슬 전체를 자체적으로 수행하며 표적이 반응하는 대로 페이로드를 조정한다. 시점 선정도 계산적이다. 공격은 감시 인력이 부족한 주말과 공휴일에 계획됐고, 조직은 이전 비공개 경고에 이미 대응한 은행권 비상장 금융사와 핀테크 기업을 다시 노렸다. 권고문은 디왈리를 직접 언급하지 않지만, 이 축제는 11월 8일 일요일에 열려 공휴일과 주말이 겹치는 감시 공백을 만든다. CERT-In은 기업들이 이런 구간에 인력을 늘리고 경보 기준을 낮추기를 요구한다. 권고 통제 항목도 구체적이다. 지갑 키는 하드웨어 보안 모듈이나 콜드 스토리지에 보관하고, 암호화폐 출금은 다중 서명 승인을 요구하며, 새로 등록된 수취인에 대한 냉각 기간을 결제 시스템 전반에 적용해야 한다. 이런 절차는 자금 이동 전에 사람의 검토를 거치게 하므로 일부 정상 출금과 지급은 느려질 수 있다. 피해 사례는 자금 유출 성공이 실제로 무엇을 의미하는지 보여준다. 2024년 7월 해커들은 인도 거래소 WazirX에서 2억 3,000만 달러 이상을 탈취했다. 이 플랫폼은 싱가포르 법원이 승인한 구조조정에 따라 2025년 10월 서비스를 재개했고, 자격이 있는 이용자들은 승인된 청구액의 약 85%를 받았다. 반면 Binance는 10월 29일 자사 준비금으로 63억 달러 피해의 약 95%를 보전했다고 밝혔다. 침해 지표 전체는 금융사에만 비공개 경고 형태로 공유됐으므로, 공개 권고문만으로는 성공한 침해의 범위가 열려 있다. 피해 금융사나 거래소의 공개가 그 답을 내놓을 것이다.

암호화폐 거래소의 명시적 지목은 핀테크 경고로 시작된 사안을 인도 플랫폼들의 위탁 관리 시험대로 바꿔놓았다. 고객 키를 하루 24시간 보관하는 현물 거래 거래소도 그 대상이다. 권고문의 통제 목록, 즉 하드웨어 보안 모듈, 다중 서명 출금, 신규 수취인 냉각 기간은 기업들이 준수할 경우 지급 흐름이 느려지되 감사 가능성은 높아진다는 점을 가리킨다. 유출 피해를 누가 떠안는지는 대차대조표에 달렸다. WazirX의 구조조정과 Binance의 준비금 보전은 업계에 서로 다른 두 회수 모형을 제시한다. 권고문은 자금 세탁 경로에 대해서는 침묵하며, 범익이 크립토 믹서를 통과했는지도 밝히지 않았다. 피해 기업들의 공개가 캠페인의 실제 비용을 드러낼 것이다.