David Schwartz, XRP 보유자에 12 또는 24단어 시드 문구를 요구하는 스캠 링크 경고

알림 기록에서 드러난 Schwartz의 낚싯줄 접촉

Ripple의 CTO Emeritus인 David Schwartz가 자신의 안드로이드 기기에 도착한 피싱 시도를 공개했다. 이 메시지는 SecuX 하드웨어 지갑 앱을 사칭했고, 12 또는 24단어 복구 문구를 요구하는 페이지로 이어지는 링크를 담고 있었다. XRP Ledger를 둘러싼 보안 의견이 가장 주목받는 인물 중 한 명인 Ripple의 베테랑 최고 암호학자 Schwartz는, 해당 알림이 SecuX의 정상 메시지처럼 보여 눌렀다고 밝혔다. 앱은 평소처럼 열렸고 이상한 점은 없어 보였는데, 알림 기록을 열어서야 전문 전체가 드러났다. 그 내용은 자금이 위험에 놓였고, SecuX 지갑에서 심각한 취약점이 발견됐으며 즉각적인 검증이 필요하다는 주장이었다. 그 안의 링크는 사용자에게 12 또는 24단어를 입력하라고 요구하는 스캠 페이지로 연결됐다고 Schwartz는 말했다. 이 단어들은 시드 문구이자, 크립토 지갑 보유자가 갖는 단 하나의 최고 민감 정보다. 이 문구를 손에 넣은 사람은 누구든 다른 기기에서 지갑을 복원해 자금을 통제할 수 있기 때문이다. 그는 가짜 알림에 대한 자신의 게시물에 이 사건을 세 단어로 요약한 규칙을 달았다. "절대 그렇게 하지 마라"라는 것이다. 이 대화를 본 한 관찰자는 그런 알림 자체를 누르지 말라고 권했고, Schwartz는 자신의 경우 호기심이 이겼으며 알림 기록을 확인한 뒤에야 위험이 명확해졌다고 답했다. 이런 푸시 메시지는 발신 앱의 신뢰를 그대로 이어받아 표시되기에, 베테랑까지 속일 만큼 위장이 효과적이었다. 이 경고는 XRP 투자자들에게 특히 무겁게 전달된다. 이 유형의 기기는 XRP를 보관하는 흔한 선택지이기 때문이며, 이번 시도는 XRP 가격과 연관된 것이 아니라 자격 증명 자체를 겨냥했다.

10월 16일 SecuX 긴급 점검

경고가 나오기 몇 시간 전, 해당 앱의 제조사 SecuX는 긴급 점검 사실을 공지했다. 회사는 10월 16일 지갑 앱이 보안과 안정성을 강화하기 위한 주요 시스템 업그레이드와 긴급 유지보수를 진행 중이라고 밝혔으나, 개입을 불러온 문제가 무엇인지는 설명하지 않았다. 이후 서비스 업데이트는 애플리케이션이 정상 작동으로 돌아왔음을 확인했다. 이 확인과 함께 제조사는 기존 규칙을 반복했다. 24단어 복구 문구를 절대 요구하지 않으며, 의심스럽거나 검증되지 않은 링크는 피하고, SecuX 지원팀을 사칭한 메시지는 경계하라는 것이다. Schwartz의 게시물에도 10월 16일 날짜가 붙어 있었다. 풀리지 않은 문제는 알림의 출처다. 그 메시지가 앱에서 온 것인지, 제3자 알림 서비스에서 온 것인지, 다른 경로를 통한 것인지 그는 확인하지 못했고, 지금까지 공개된 자료 가운데 SecuX의 소프트웨어나 인프라가 침해됐음을 독립적으로 보여주는 것도 없다. 회사의 점검 공지 역시 무엇이 잘못됐는지 설명하지 않는다. 결국 확인 가능한 기록은 스캠 시도와 점검 사실을 담보할 뿐, 어떤 침해도 아직 담보하지 않는다. 이 공백은 장기 포지션을 콜드월렛으로 보관하는 XRP 보유자에게 중요하다. 지갑 앱에서 설명 없는 점검 창이 있고, 이어서 그 같은 앱을 사칭한 가짜 알림이 나오는 것은 피싱 조직이 노리는 정확히 그 패턴이기 때문이다. 모바일 푸시 알림은 진짜 경고 옆 잠금 화면에 뜨는 성질 때문에 크립토 스캠의 고착화된 전달 경로가 됐고, 타 한 번이면 종종 사기 페이지 도달로 끝난다. 두 경우를 가르는 것은 직관이 아니라 검증이다. 무언가 입력하기 전에 발신자와 링크, 요구 내용을 확인하는 일이다.

복구 문구는 교체할 수 없다

두 건의 발표를 우리가 분석한 결론은, 이 상황에서 가장 저렴한 방어가 동시에 가장 강력한 방어라는 점이다. Schwartz 자신이 남긴 기록을 보면 스캠의 전체 수법은 단어를 달라는 요구 하나로 끝났다. 서명 요청도, 트랜잭션도, 개인 키 노출도 없었다. 복구 문구는 공격자가 한 번 보면 다시 바꿀 수 없다. 그래서 이를 입력해 버린 보유자는 모든 자산을 새로 생성한 지갑으로 옮겨야 하며, 그 절차는 우리의 크립토 지갑 복구 가이드에 정리돼 있다. SecuX가 10월 16일 점검을 촉발한 원인을 밝힐 때까지, XRP 관련 보도를 추적하는 사람이라면 누구든 복구 단어를 요구하는 알림, 배너, 이메일은 어떤 앱을 자칭하든 적대적인 것으로 간주해야 한다.