솔라나(SOL) 공동창업자 야코벤코, 피싱 방어에 잠금 모드 아이폰 추천

코드 해킹보다 사기 공격이 먼저다

솔라나 공동창업자 아나톨리 야코벤코가 암호화폐 보유자에게 가장 큰 위험으로 피싱과 소셜 엔지니어링을 꼽았다. 가장 무서운 적은 기술적 돌파구가 아니라 그럴듯한 메시지라는 주장이다. X 게시물에서 그는 가장 시급한 위협이 “AI가 수학을 깨거나 양자컴퓨터가 아니라 사람을 속이는 것”에서 온다고 썼다. 경고의 초점은 솔라나(SOL) 가격이 아니라 보안이지만, 네트워크의 가장 저명한 엔지니어가 입을 여는 만큼 무게가 다르고, 솔라나 생태계 보안이 반복적으로 검토받는 시점에 나왔다. 그가 제시한 방어책은 의도적으로 저비용이다. 애플의 잠금 모드를 켠 전용 아이폰, 그리고 거래가 움직이기 전에 둘 이상의 승인을 요구하는 다중 서명 지갑을 짝지우는 것이다. 잠금 모드는 용병 스파이웨어를 포함한 고도화된 표적 공격에 노출될 수 있는 사람을 위해 애플이 마련한 선택적 보호 기능이다. 활성화하면 앱, 웹사이트, 기기 기능이 제한돼 잠재적 침입 경로 자체가 줄어든다. 대부분의 메시지 첨부 유형이 차단되고, 메시지 앱에서 링크와 링크 미리보기가 사라지며, 일부 웹 기술이 제한되고 새 구성 프로파일 설치는 거부된다. 애플은 이 설정을 설정의 개인정보 보호 및 보안 항목 아래 문서화하면서 활성화에 재시작을 요구하고, 특정 웹사이트나 앱, 연락처를 예외로 두면 보호가 약해진다고 경고한다. 일반 전화와 평문 문자는 계속 작동한다. 다중 서명 쪽은 다르게 움직인다. Squads 문서는 설정 가능한 승인 임계값을 설명하며, 3분의 2 구성에서는 세 개의 서명 키 가운데 두 개가 승인해야 어떤 거래도 실행되지 않는다. 직접 보관 방식을 고민하는 사용자에게는 콜드월렛과 다중 서명 사이의 선택이 놓여 있고, 정리해 둔 솔라나 지갑 순위는 이 범위 전반의 구성을 다룬다. 야코벤코는 이 조합을 완벽한 방어로 제시하지 않았다. 공격자에게는 단 한 번의 성공한 기만만 필요하다는 점에서, 실용적이고 저렴한 기본선으로 프레임했다.

일주일 사이 터진 바이낸스와 메르카두 비트코인 사고

이 경고는 일주일 안에 터진 두 건의 거래소 보안 사고를 뒤따른다. 바이낸스는 10월 29일 공격 이후 영향받은 자산 63억 4,000만 달러를 공시했고, 침입의 내막을 직원 기만, 악성 개발 소프트웨어, 유출된 자격증명으로 짜인 수개월간의 작전으로 설명했다. 사슬은 9월에 시작됐다. 한 엔지니어가 정상 채용 플랫폼을 통해 접촉됐고, 가상의 회사 직원으로 위장한 인물들의 면접을 치렀다. 과제 저장소를 업무용 컴퓨터에 내려받았고, 설치 과정에서 실행된 코드가 pyenv 개발 도구를 감염된 버전으로 교체했다. 10월 20일 공격자는 그 감염된 컴퓨터와 사내 AI 도구를 이용해 지갑 엔지니어 두 명의 컴퓨터를 장악했고, 그중 하나에는 나중에 지갑 서명 작업에 쓰인 배포 자격증명이 있었다. 거래소는 공격자가 이더리움의 EIP-7702 기능을 악용해 일반 출금이 중단된 뒤에도 유지되는 악성 권한을 만들었고, 이를 통해 바이낸스 14로 알려진 핫월렛에 대한 통제를 확장했다고 밝혔다. 11월 2일에는 메르카두 비트코인이 자체 침해 사고를 감지하고 입출금을 중단했다. 테더 CEO 파올로 아르도이노가 사건과 연결된 450만 USDT 동결을 확인했고, 거래소는 사건을 봉쇄했으며 고객 피해가 없고 데이터 유출도 없었다고 밝히면서 자산 추적과 당국 협조를 진행 중이다. 개인 피해가 장부의 반대편을 이룬다. 체인애널리시스 조사는 2025년에 개인 지갑 도난 15만 8,000건을 기록했고, 고유 피해자는 최소 8만 명, 손실은 7억 1,300만 달러였다. 사고 건수는 늘었지만 금액은 2024년의 15억 달러에서 줄어든 수치다. 개인 지갑 침해는 그해 도난 가치의 20%를 차지했다. 피해자 가운데 약 2만 6,500명이 솔라나 사용자로 절대 수에서 가장 많았지만, 활성 개인 지갑 수 대비 비율은 솔라나와 베이스가 이더리움과 트론보다 낮았다. 미국에서는 6월 15일 발표된 FBI 경고가 먼저 메시지를 보내거나 가짜 신분이나 연애 접근으로 시작해 피해자를 가짜 수익을 보여주는 거래 애플리케이션과 웹사이트로 유인하는 투자 사기를 설명했다.

엔지니어부터 거래소까지 같은 플레이북

여기서 읽어낼 수 있는 것은 하나다. 같은 플레이북이 한 엔지니어의 컴퓨터에서 국가 단위 거래소까지 모든 규모에서 통했고, 그래서 야코벤코의 조언은 코드가 아니라 사람이라는 진입 지점을 겨냥한다. 체인애널리시스는 중앙화 서비스에 대한 공격이 빈번히 개인 키 인프라와 서명 프로세스를 노렸으며, 정당한 서명자를 속여 악성 거래를 승인하게 하는 시도도 포함됐다고 분석했다. 테더의 동결은 도난 자금이 암호화폐 믹서에 도달하기 전에 가로채질 수 있음을 보여준 사례다. 최근 솔라나 사건들도 같은 패턴에 맞춰진다. 솔라나 모바일 스토어에서 내려간 악성 SKR 청구 앱부터 CVE-2026-98432와 관련해 나온 밸리데이터 권고까지다. 다중 서명이든 AI 지갑이든, 더 나은 도구는 결국 사람이 승인하는 단계에서 끝난다. 아직 확인되지 않은 것은 메르카두 비트코인의 고객 피해 없음 주장이다. 거래소 외부에서는 아무도 이를 검증하지 못한 상태다.