GoPlus Security, iOS 지갑 탈취 피해 56만 1,000달러 경고... Trust Wallet 사용자 집중 타격

Trust Wallet 사용자가 가장 큰 피해

자기 관리형 콜드월렛과 별개로 스마트폰에 직접 자산을 보관해 온 iOS 사용자들이 2주간의 침해 사고에서 약 56만 1,000달러를 잃었으며, 보안팀 GoPlus Security는 이 집단 피해의 원인을 패치되지 않은 아이폰에서 찾았다. 집계는 11월 5일 공개됐고, 온체인 조사 자원봉사 연합체인 Security Alliance(SEAL)가 수집한 사건 기록에 기반한다. SEAL의 최신 주간 통계는 10월 28일부터 11월 3일까지의 기간을 다루며, 이 한 주에만 iOS 지갑 침해 신고 6건이 새로 추가됐고 그 가치만 약 12만 7,000달러에 이른다. 피해 사용자 대부분은 자산을 Trust Wallet에 보관하고 있었고, 같은 주간 집계에는 Uniswap Wallet 사례 1건도 포함됐다. SEAL 보고서는 피해자 다수가 러시아, 우크라이나, 카자흐스탄에 있다고 밝혔다. GoPlus의 경고는 이 피해 물결을 구형 iOS 빌드를 겨냥한 범죄 캠페인과 연결했다. 공격자는 패치가 더 이상 제공되지 않는 취약점을 악용해 기기 데이터와 권한을 수집한 뒤 온체인으로 자금을 빼낸다. 이 과정에서 피해자가 거래에 서명하거나 복구 구문을 읽어줄 필요는 전혀 없다. 핫월렛은 블록체인 자산의 개인 키를 휴대폰 자체에 보관하므로, 높은 수준의 접근 권한을 얻은 공격자가 백그라운드에서 조용히 자금을 인출할 수 있다. 수상한 사이트를 방문한 적 없는 사용자에게서도 손실이 쌓인 이유가 여기에 있다. GoPlus는 아이폰에 자산을 보관한 모든 사용자에게 시스템을 즉시 업데이트하고 설치된 앱을 점검하라고 권했다. 출처를 알 수 없는 소프트웨어를 설치한 사용자는 기기를 침해된 것으로 간주하고 남은 자산을 옮기라는 지침이 두 차례의 주간 집계에서 반복됐다. 해당 신고는 연이은 SEAL 주간 집계에 등장했고, GoPlus는 단일 사건이 아니라 이 사건 기록들을 모아 2주간의 전체 그림을 정리한 것이다.

GoPlus Security의 X 게시물: 2주간 지갑 탈취 경고

DarkSword와 Coruna 킷

집계 뒤에는 구체적인 공격 도구가 있다. SEAL 주간 보고서는 10월에 기록된 Censys 스캔 관측을 인용해, DarkSword와 Coruna로 알려진 익스플로잇 킷이 이미 지갑 애플리케이션을 겨냥하고 있음을 보여줬다. 두 공격 체인 모두 Safari 또는 악성 앱을 통해 구형 iOS 빌드를 침해할 수 있고, 주류 지갑이 기기에 보관하는 키와 복구 구문을 표적으로 삼는다. GoPlus는 이 캠페인이 패치되지 않은 시스템에 의존한다고 강조했다. 취약 버전 범위에 머무는 휴대폰은 소유자가 복구 구문을 내보내거나 전송을 승인하지 않아도 비워질 수 있다. 흐름은 일주일 전부터 보였다. SEAL의 이전 보고서는 Trust Wallet iOS 사건의 급증을 지목하고 DarkSword가 악성 광고를 통해 유통되는 것으로 의심했으며, 이는 최신 집계 내용과 일치한다. 이 중첩은 캠페인의 시기를 특정한다. Trust Wallet 신고 급증은 10월 28일부터 11월 3일 사이 기록된 6건보다 앞서 시작됐고, 최신 집계는 이 패턴을 담은 연속된 두 번째 주간 보고서다. 수치와 함께 발표된 지침도 구체적이었다. GoPlus는 사용자에게 최신 iOS 버전으로 이동해 기기가 알려진 익스플로잇 범위에 머무는 시간을 줄이라고 했고, 출처 불명 또는 최근 추가된 앱을 점검하라고 했다. 특히 소셜 미디어에서 보상을 지급하기 전 휴대폰을 오랜 시간 켜두라고 요구하는 도구를 경계하라고 덧붙였다. 깨끗한 기기에서 지갑을 다시 만들고 남은 자산을 옮기라는 지침은 침해된 휴대폰을 거친 모든 키를 폐기된 것으로 취급한다는 뜻이다. 이런 공개 정보를 스스로 판단하고 싶은 독자는 블록체인 보안 감사 가이드에서 출발점을 삼을 수 있다. 이 사태는 올해 지갑을 둘러싼 다른 보안 이슈들 뒤에 이어진다. 팀이 사용자 조치가 필요 없다고 밝힌 치명적 PHP 취약점과 이전에 유통된 가짜 Trust Wallet 사이트 경고가 그것이다.

SEAL과 GoPlus가 묘사한 패턴은 어느 지갑 코드의 결함이 아니라 기기 침해다. Trust Wallet과 Uniswap Wallet이 보고서에 등장하는 이유는 아이폰에 널리 설치돼 있기 때문이며, 침입 경로는 운영체제를 통해 작동한다. 보유자의 실질적 대응은 구형 iOS 빌드에 머무는 시간을 줄이고, 낯선 앱을 적대적으로 취급하며, 인터넷에 연결된 휴대폰에 키를 저장하지 않는 하드웨어 월렛에 장기 보유 자산을 두는 것이다. SEAL의 최신 집계는 11월 3일까지를 다뤘고 GoPlus의 경고는 이틀 뒤에 이어졌다. 마지막 기록된 탈취 시점과 공개 경고 사이의 간격이 짧은 만큼, 이 캠페인은 현재 진행형으로 봐야 한다.