공격 유형 #1. 피싱 Phishing
가상자산 시장의 규모가 성장한 만큼 사용자 본인의 부주의를 노리는 피싱 등의 피해 사례가 급격히 증가하고 있습니다.
현재까지 알려진 공격 유형에 대해 일부 소개 드리오니, 미리 인지하시어 자산 관리에 각별히 유의하셔야 합니다.
피싱 Phishing
개인정보(Private)를 낚는(Fishing)다는 의미의 합성어이며, 가장 보편적이면서도 일반적인 사이버 공격 기법 중 하나입니다.
타이포스쿼팅 (Typosquatting)
- 교묘히 위조된 사이트로 접속을 유도하는 것으로, 공식 주소의 일부를 눈에 띄기 어려운 방법으로 변조하여 검색 창의 상위에 노출시키거나 맞춤법 입력 오류 시 접속이 되도록 유도합니다.
- 공식 서비스의 인터페이스와 유사하게 디자인하여 피해자가 의심없이 개인키 관련 정보를 입력하도록 함으로써 피해를 발생시킵니다.
이메일 도용 (Email Spoofing)
- 피싱 이메일은 공식 서비스사에서 보낸 내용으로 가장합니다.
- 위장된 로그인 페이지 등이 있는 악성 사이트 링크를 보내 개인정보를 탈취하거나 거래소 등 공식 회사에서 요구하지 않는 정보를 직접적으로 요청하여 피해를 발생시킵니다.
스미싱 (Smishing)
- 문자메시지(SMS)와 피싱(Phishing)의 합성어로, 휴대전화 메시지를 통해 악성사이트 접속을 유도합니다.
- 무료 쿠폰, 보안 설정 요청 등의 허위 내용과 함께 접속 주소를 보내 변조된 사이트로의 접속을 유도하여 중요정보를 탈취합니다.
공격 유형 #2. 파밍 Pharming
파밍 Pharming
파밍은 피싱 공격의 한 형태로 간주되기도 하지만, 기술적으로 다른 메커니즘에 기반합니다. 허위 정보로 가짜 웹사이트 접속을 유도하는 피싱과 달리 파밍은 사용자 단말기를 악성코드에 감염시켜 어느 웹사이트로 접속하여도 가짜 사이트로 연결되게 됩니다.
- 공격자는 사용자 PC나 모바일 기기 등의 단말기에 악성코드를 심어 DNS레코드를 감염시킵니다.
- 타겟이 된 사용자는 정확한 주소를 입력하여도 가짜 웹사이트로 리디렉션되어 접속하게 됩니다.
- 사용자가 감염 사실을 인지하지 못할 경우 방어가 어려운 위험한 공격 유형입니다.
공격 유형 #3. 스캠 Scam
스캠 Scam
신용 사기를 뜻하는 단어인 스캠은 도박판에서 상대방을 속이는 행위를 말합니다. 가상자산 시장에서도 스캠은 사실과 다른 내용으로 투자자를 현혹시켜 거래를 유도하여 피해를 야기하는 부정적인 의미로 사용되고, 이 때 발행하는 코인을 스캠 코인이라고도 합니다.
스캠은 가상자산 범죄 중 가장 큰 비중을 차지하는 범죄 유형으로, ‘21년 미국 기준으로 피해액 총 77억 달러(약 9조2142억원)로 ‘20년보다 81% 증가하였습니다. (출처 : 2022 가상자산 범죄 보고서, Chainalysis)
국내의 피해 사례를 보아도 그 규모가 개인에 그치지 않아 대형 피해가 발생하고는 합니다. 다음의 대표적인 피해 사례를 통해 경각심을 가져야겠습니다.
삼성코인
- 삼성전자 모든 제품으로 코인 채굴이 가능하고 미연방으로부터 ICO허가 넘버를 받았다는 내용 등의 허위 사실을 적시하여 투자자들을 모집하였습니다.
- 지속적인 프로모션으로 1300여명으로부터 210억여원에 달하는 투자금을 모은 뒤 갑자기 잠적하여 피해를 발생시킨 사례입니다.
신일골드코인
- 신일그룹이 150조원 규모의 금괴가 실린 돈스코이호를 울릉도 인근에서 발견했다고 여러 매체를 통해 홍보를 시작합니다.
- 150조원의 실물자산(금괴)과 연계한 신일골드코인을 발행한다는 계획으로 투자 설명회 등을 열며 투자자를 끌어 모았지만 실제로는 프로젝트 실체가 없는 사기 행각임이 밝혀졌습니다.
도지코인 관련 스캠 사이트(wowdoge 등)
- 도지코인을 일정기간 예치하면 이자를 더해 주겠다는 스캠 사이트가 운영된 바 있습니다.
- 실제 채굴 및 입출금 기능도 탑재하고, 유저 중심 인터페이스까지 구축하여 신뢰를 확보한 뒤, 높은 스테이킹 이자율을 홍보하여 상당금액의 예치금을 받고 사이트를 폐쇄한 사례입니다.
공격 유형 #4. 러그풀 Rug Pull
러그풀 Rug pull
스캠의 한 유형으로 분류되기도 하는 러그풀은 개발자가 합법적으로 보이는 코인·토큰의 프로젝트를 진행하며 사용자들의 투자를 받은 후 갑자기 중도에 이를 포기해 코인·토큰의 가치를 떨어뜨리는 방식을 의미합니다. 양탄자(Rug)를 잡아당겨 그 위의 사람을 넘어뜨리는 모습과 유사하다고 하여 붙여진 이름입니다.
러그풀 피해 사례는 작년부터 급격하게 증가하고 있습니다.
블록체인 데이터 분석기업 Chainalysis에 따르면, 러그풀은 ‘21년 총 피해액은 약 28.5억 달러(약 3조 4000억원)로 전년대비 65배 이상 증가했다고 합니다.
특히, 어느 정도의 기술 노하우만 있으면 비교적 적은 비용으로 새로운 토큰을 만들어 탈중앙화거래소(DEX)에 상장할 수 있어 디파이 분야에서 성행하고 있음을 알 수 있습니다.
국내 컨텐츠와 관련된 몇 가지 러그풀 피해사례가 있어 소개해 드립니다.
진도지(Jindoge)
- ‘21년 5월, 도지코인의 밈 코인으로 화제를 모은 진도지도 러그풀의 한 사례라 할 수 있습니다.
- 진도지 코인을 발행한 이후 개발자가 전체 물량의 약 15%를 한꺼번에 매도해 시장가격이 97% 폭락하는 피해를 유발한 사례입니다.
- 개발자는 매도 이후 홈페이지, 텔레그램 등을 폐쇄하였고, 약 20억~30억원의 이익을 얻었을 것으로 추정되고 있습니다.
스퀴드(SQUID)
- 넷플릭스 오리지널 드라마 ‘오징어게임’을 테마로 하여 발행된 토큰입니다.
- 개발자들은 드라마에 등장하는 게임을 모티브로 한 ‘오징어 게임 프로젝트’에서 스퀴드를 게임 토큰으로 쓸 수 있다고 홍보하였습니다.
- 장중 한 때 2,861달러(약340만원)까지 솟았던 스퀴드는, 넷플릭스 측의 드라마와 무관하다는 발표, 암호화폐 분석업체 등의 위험성 경고 등에 따라 0.00079달러로 폭락하게 되었습니다.
- 이 과정에서 개발자들은 약 210만 달러(약24억 9,690만원)의 이익을 얻었을 것으로 추정되고 있습니다.
안전한 WEB 3.0 여행을 위하여