크립토재킹 뜻: 내 기기로 몰래 코인을 캐는 공격

크립토재킹 뜻

크립토재킹(Cryptojacking) 은 공격자가 피해자의 컴퓨터, 스마트폰, 서버를 동의 없이 몰래 이용해 암호화폐를 채굴하는 사이버 공격입니다. '크립토(crypto)'와 '하이재킹(hijacking, 탈취)'을 합친 말로, 공격자는 비싼 장비와 전기 요금을 직접 부담하는 대신 그 비용을 아무것도 모르는 피해자에게 떠넘깁니다.

감염된 기기는 겉으로는 평소처럼 작동하지만, 뒤에서는 숨겨진 스크립트가 프로세서 성능을 잡아먹으며 다른 사람을 위해 코인을 만들어 냅니다. 돈이 직접 빠져나가지는 않지만 하드웨어, 전기, 배터리 수명이 소리 없이 소모됩니다. 이 점에서 크립토재킹은 러그풀처럼 갑작스럽고 극적인 공격과 달리 은밀하게 퍼지는 위협입니다.

백그라운드에서 숨은 채굴 스크립트가 돌아가는 동안 CPU 사용률 그래프가 갑자기 치솟는 노트북 화면

공격자는 왜 크립토재킹을 선택할까?

크립토재킹이 공격자에게 매력적인 가장 큰 이유는 위험이 낮고 스스로 비용을 충당하는 구조이기 때문입니다. 피해자를 속여 비밀번호를 받아 내거나 서명을 유도할 필요도 없습니다. 스크립트가 돌기 시작하면 수익이 계속 들어옵니다.

가장 많이 채굴되는 코인은 프라이버시 코인인 모네로입니다. 이유는 다음과 같습니다.

• 추적의 어려움: 모네로는 거래 내역이 드러나지 않는 구조라 수익의 흔적을 거의 지울 수 있습니다.
• CPU 효율: 모네로의 RandomX 알고리즘은 일반 프로세서(CPU)로도 효율적으로 채굴할 수 있습니다. 그래서 평범한 노트북 수천 대로 이뤄진 봇넷만으로도 실제 수익이 납니다.
• 비교: 비트코인 채굴은 전용 장비(ASIC) 없이는 수익이 나지 않습니다. 그래서 공격자는 BTC 대신 XMR을 고릅니다.

크립토재킹의 두 가지 방식

크립토재킹은 두 가지 경로로 기기에 침투하며, 각각 위협의 성격이 다릅니다.

파일 기반 크립토재킹 은 보통 피싱 메일의 첨부파일, 크랙 소프트웨어, '광고 없는' 버전이라고 속인 가짜 앱을 통해 들어옵니다. 한 번 설치되면 재부팅해도 사라지지 않고, 같은 네트워크의 다른 기기로 퍼져 정리 비용을 크게 키울 수 있습니다.

브라우저 기반 크립토재킹 은 웹사이트나 악성 광고에 스크립트 형태로 직접 심어집니다. 탭이 열려 있는 동안 채굴이 계속되고 탭을 닫으면 멈추기 때문에 알아차리기가 매우 어렵습니다.

파일 기반(이메일 → 다운로드 → 설치 → 지속)과 브라우저 기반(사이트 방문 → 스크립트 실행 → 탭 닫기 → 중단) 감염 경로를 비교한 2단 도표

짧은 역사

크립토재킹은 처음부터 범죄로 시작하지 않았습니다. 2017년 9월 코인하이브(Coinhive) 라는 서비스가 방문자의 CPU로 모네로를 채굴해 사이트 운영자가 수익을 얻는 코드를 공개했고, 배너 광고를 대신할 '정직한' 수익 모델로 소개됐습니다. 문제는 동의였습니다. 모방자들이 동의 창을 없앴고, 2018년에는 약 3만 2,000개 웹사이트가 이용자에게 알리지 않고 채굴 스크립트를 돌리고 있었습니다. 코인하이브는 2019년 문을 닫았지만, 수법은 이미 진화한 뒤였습니다.

• 2018년, 공유기 기반: CVE-2018-14847 취약점을 통해 약 20만 대의 마이크로틱(MikroTik) 공유기가 장악됐고, 그 공유기 뒤의 모든 기기 웹 트래픽에 채굴 코드가 삽입됐습니다. 사이트 하나가 아니라 네트워크의 출발점을 노리면서 공격 범위가 크게 넓어졌습니다.
• 2020년 이후, 봇넷 기반: 글룹테바(Glupteba) 봇넷은 윈도우 PC에 몰래 채굴 프로그램을 깔고 세션 쿠키를 훔치며, 100만 대가 넘는 기기를 감염시킨 것으로 추정됩니다. 눈에 띄는 점은 복원력입니다. 명령 서버가 꺼져도 블록체인의 비트코인 거래 OP_RETURN 필드에 숨겨 둔 지시를 읽어 새 서버 주소로 되살아날 수 있습니다.

코인하이브(2017~2019), 마이크로틱 공유기 취약점(2018), 글룹테바 봇넷(2020~) 주요 사건을 보여 주는 타임라인 인포그래픽

실제 비용: 숫자 예시

크립토재킹의 피해는 코인 하나로 끝나지 않습니다. 진짜 손실은 수많은 기기에서 소모되는 전기와 하드웨어 마모에서 나옵니다.

가정: 봇넷이 노트북 1,000대를 장악했고, 각 기기가 하루 12시간 동안 60와트를 추가로 소비합니다.

이 요금은 모두 피해자가 냅니다. 공격자에게 채굴 수익은 거의 순이익입니다. 게다가 계속 열을 받는 기기는 수명이 줄고, 서버와 클라우드 환경에서는 늘어난 연산 비용까지 더해집니다. 크립토재킹의 경제 논리는 바로 이 비대칭에 있습니다.

크립토재킹 증상: 내 기기도 감염됐을까?

최근의 크립토재킹 스크립트는 들키지 않으려고 기기가 쉬거나 충전 중일 때 작동하도록 만들어집니다. 그래도 징후는 쌓입니다.

• 성능 저하: 갑자기 느려지고, 자주 멈추고, 노트북이 하룻밤 사이에 늙은 듯한 느낌이 듭니다.
• 과열: 아무것도 안 하는데 팬이 계속 돌고, 본체가 뜨겁거나, 잠금 상태로 충전 중인 스마트폰이 뜨거워집니다.
• 유휴 상태의 높은 CPU 사용률: 작업 관리자(윈도우)나 활성 상태 보기(맥OS)를 열었을 때, 아무것도 하지 않는데 설명할 수 없는 CPU 사용이 보이면 위험 신호입니다.
• 느린 충전: 충전기에 꽂은 스마트폰이 평소보다 확실히 늦게 충전되면 뒤에서 무언가가 배터리를 쓰고 있을 수 있습니다.
• 브라우저 즉석 점검: 브라우저에서 CPU 사용률이 높다면 의심되는 탭을 닫아 보세요. 사용률이 바로 떨어지면 브라우저 기반 공격을 의심할 수 있습니다.

더 큰 위험: 크립토재킹은 자원을 대량으로 점유하며 쉬지 않고 돌아가는 작업입니다. 서버와 클라우드에서 부풀려진 요금, 눈치채지 못한 침투 거점은 더 큰 공격의 전조일 수 있습니다.

크립토재킹 탐지와 제거 방법

감염이 의심되면 다음 순서로 진행하세요.

1. 전체 바이러스 검사: Microsoft Defender 같은 믿을 만한 도구로 검사한 뒤, 시스템 파일로 위장한 트로이 목마를 잡기 위해 오프라인 검사도 실행합니다.
2. 안전 모드 진입: 윈도우에서 Win+R을 누르고 msconfig를 입력한 뒤 안전 부팅을 켜고 재시작합니다. 의심스러운 프로그램이 끼어들지 못하게 하기 위해서입니다.
3. 모르는 프로그램 삭제: 제어판에서 알 수 없는 앱을 지우고 임시 파일을 정리합니다(%temp% 검색 후 전체 선택, 삭제).
4. 브라우저 초기화: 악성 확장 프로그램과 삽입된 스크립트를 없애기 위해 브라우저 설정을 기본값으로 되돌립니다.
5. 일반 모드 복귀: msconfig에서 안전 부팅을 끄고 재시작한 뒤, 다시 검사해 시스템이 깨끗한지 확인합니다.

웹사이트가 감염된 경우에는 HTML에 낯선 채굴 스크립트가 있는지 직접 살펴보거나 웹사이트 검사 도구로 악성 코드를 찾습니다.

CPU 순으로 정렬한 윈도우 작업 관리자에서 알 수 없는 프로세스가 사용률 95%로 맨 위에 있는 화면

예방 방법

코인 사기 예방에 쓰는 보안 습관 대부분이 크립토재킹 예방에도 그대로 통합니다.

• 의심스러운 링크를 누르지 마세요. 첨부파일이 있는 메일은 열기 전에 보낸 사람과 링크를 확인하고, 희귀 NFT 민팅이나 '무료' 혜택을 내세운 낯선 DM은 무시하세요.
• 광고 차단 프로그램을 쓰세요. 악성 광고에 숨은 채굴 스크립트는 광고 차단 프로그램이나 프라이버시 중심 브라우저가 걸러 내는 대상입니다.
• 백신과 운영체제를 최신으로 유지하세요. 마이크로틱 사례처럼 알려진 취약점을 패치해 두는 것이 매우 중요합니다.
• 믿을 수 없는 사이트에서는 자바스크립트 차단을 고려하세요. 효과적이지만 정상적인 사이트 기능에도 영향을 줄 수 있습니다.
• 콜드 월렛을 지키듯 기기도 지키세요. 소프트웨어 업데이트, 출처 확인, 이상 징후 점검이 내 하드웨어가 남의 채굴에 동원되는 것을 막는 가장 강력한 방어입니다.

COINOTAG 관점

크립토재킹을 단순한 악성코드 문제로만 보면 절반만 본 셈입니다. 이 공격은 암호화폐 경제의 기본적인 사실을 보여 줍니다. 연산 능력이 곧 돈이 되는 곳이라면 누군가는 반드시 그것을 훔치려 합니다.

2017년의 공개적인 코인하이브 위젯에서 블록체인을 활용하는 글룹테바 봇넷까지의 변화는 공격자들이 빠르게 전문화되고 있음을 보여 줍니다. 보안 연구자들은 충분한 규모에 이른 유휴 채굴 봇넷이 언젠가 랜섬웨어나 디도스(DDoS) 작전으로 바뀔 수 있다고 경고합니다.

코인 보안을 위해 쌓은 습관, 즉 소프트웨어 업데이트, 출처 확인, 이상 징후 점검은 하드웨어를 지키는 데도 그대로 적용됩니다. 채굴의 정상적인 측면이 궁금하다면 모네로 채굴 가이드가 공격자들이 악용하는 원리를 더 잘 이해하게 해 줄 다음 단계입니다. 채굴 방식의 기본은 작업증명 용어 페이지에서 볼 수 있습니다.