CZ, 주요 3개 지갑 지원하는 가짜 트러스트 월렛 사이트 경고

CZ가 가짜 트러스트 월렛 도메인 경고

바이낸스 공동창업자 Changpeng Zhao는 실제 트러스트 월렛을 사칭해 방문자의 지갑 연결을 유도하는 피싱 사이트에 대해 암호화폐 이용자들에게 경고를 내렸다. 지갑이 연결되는 순간 핫월렛이 공격자가 제어하는 코드에 그대로 노출되는 구조다. 가짜 페이지는 trastwallet[.]cam에 호스팅돼 있으며, 실제 도메인의 'u'를 'a'로 바꾸고 '.com'을 '.cam'으로 바꾼 차이만 있어 작은 화면에서는 알아차리기 어렵다. X에서 Malwarehunter라는 이름으로 활동하는 보안 연구원 Anurag가 해당 사이트를 식별하고 악성 자바스크립트 분석을 공개했다. Zhao는 11월 5일 이 경고를 팔로워들에게 확산하며 "더 많은 피싱 사이트가 돌고 있다... .cam은 .com이 아니다. 조심하라"고 썼다. 페이지는 '지갑 전송 검토'라는 제목을 내걸고 자산당 1달러에서 5,000달러의 전송 한도를 광고한다. 방문자가 지갑을 연결하면 스크립트는 백엔드 응용프로그램 인터페이스를 통해 잔액을 스캔하고, 코드에 미리 박혀 있는 수신 주소로의 전송을 준비할 수 있다. Anurag의 기술 분석에 따르면 이 자바스크립트는 Trust Wallet, Phantom, OKX Wallet 등 널리 쓰이는 세 지갑을 지원해 피해 범위가 여러 지갑 서비스로 확장된다. 그는 지갑 스캔 종점과 지갑 연결을 담당하는 자바스크립트 통합 파일, 두 개의 작동 요소를 확인했다. 공개 글에는 디지털 결제 카드 디자인과 지갑 연결 버튼이 보이는 페이지 스크린샷도 함께 올랐다. 페이지는 이 서비스를 자동 자산 검토 절차로 소개하며 네트워크 수수료와 지갑 승인을 언급한다. 다만 연구원이 설치 환경을 공개적으로 기록하며 짚은 한계가 있다. 조사 당시 거래 서명이 비활성화돼 있어 이 버전의 스크립트가 실제로 실행할 수 있는 범위는 제한적이었다.

피싱 이메일과 110만 달러 iOS 피해 주장

이번 경고는 트러스트 월렛 이용자층을 겨냥한 더 넓은 피싱 파동 한가운데 나왔다. 사이버보안 업체 Bitdefender는 11월 3일 스캐머들이 최근 바이낸스 보안 사고를 빌미로 트러스트 월렛을 사칭한 가짜 이메일을 뿌리고 있다고 보고했다. 이메일은 필수 지갑 검증 절차를 완료하지 않으면 11월 7일 이후 계정이 정지된다고 받쳤다. 캠페인은 미국, 영국, 호주, 아일랜드, 남아프리카공화국의 이용자에게 닿았고, HD 월렛의 복구 구문이나 지갑 자격증명을 수확할 수 있는 위조 검증 사이트로 유도했다. 별개로 11월 5일에는 iOS 18.5를 실행하는 기기에 영향을 주는 취약점으로 공격자가 트러스트 월렛 이용자에게서 약 110만 달러를 훔쳤다는 미확인 주장이 퍼졌다. 이 주장을 올린 X 계정 Emperor.SOL은 피해 폰에서 시드 구문을 추출할 수 있다고 밝히고, 트러스트 월렛 지원팀이 운영체제를 즉시 업데이트하라고 요청했다는 내용을 인용했다. 함께 올라온 스크린샷에는 바이낸스 입금 주소와 핫월렛이 오간 5,000, 10만, 19만 USDT 전송이 보였지만, 이 거래들이 주장된 아이폰 취약점과 연결됐다는 근거는 담기지 않았다. 이용자 불만도 이어진다. 11월 4일 Iaroslav Dubovoi는 어떤 승인 요청도 없이 지갑에서 3,830 USDT가 사라졌다고 보고했고, 회사는 10월 28일 10만 달러 사용 한도와 8% 캐시백, 1달러 발급을 내세운 가짜 카드 사이트를 적발했다. 2025년 12월에는 트러스트 월렛 크롬 확장 프로그램 2.68 버전에서 악성 코드가 발견돼 피해가 결국 수백만 달러에 이른 것으로 알려졌고, Zhao는 당시 피해 이용자에게 보상하겠다고 밝혔다.

단일 결함이 아니라 브랜드 사칭

COINOTAG의 판단은 이렇다: 최근 사건들의 공통점은 하나의 기술 결함이 아니라 브랜드 사칭이다. .cam 도메인부터 가짜 카드 제안까지 모두 트러스트 월렛의 정체성을 빌려왔다. 배포된 피싱 스크립트는 서명이 비활성화된 상태로 검토됐기에 즉각적인 수익 능력은 떨어졌지만, 작동하는 잔액 스캔 종점과 전송 준비 코드는 운영자가 그 단계를 활성화할 역량을 이미 갖췄음을 보여준다. 110만 달러 수치는 여전히 미확인이며, 돌고 있는 스크린샷이 해당 USDT 전송을 주장된 취약점과 묶어주지도 못한다. 이용자는 장기 자금을 콜드월렛에 보관하고, 복구 정보가 유출됐을 때를 대비해 하드웨어 월렛 작동 방식과 암호화폐 지갑 복구 방법을 알아두면 노출을 줄일 수 있다. Tangem 모바일 월렛 같은 대안은 브라우저 노출 자체를 없앤다. 트러스트 월렛은 심각도 9.2의 PHP 취약점 사건에서 이용자의 별도 조치가 불필요하다고 밝힌 바 있다. 피싱 페이지는 긴급조성과 FOMO에 기대는 만큼, 어떤 패치보다 주소창을 한 글자씩 확인하는 습관이 더 중요하다. 시장 흐름은 TWT 기술적 분석에서 현재 지지선과 저항선을 확인할 수 있다.