최근 몇 년간 ‘ 가상자산 ’ 사기는 점점 더 개인화되어, 개별 지갑 소유자를 직접 표적으로 삼는 사례가 놀라울 정도로 빈번해지고 있으며, 그로 인한 피해도 막대해지고 있습니다. 이러한 사기는 대개 고액 자산가나 가상자산 에서 빈번하고 정기적으로 거래를 하는 사람들을 노립니다. 이미 광범위하게 퍼진 ‘pig butchering’ 및 ‘승인 피싱’ 사기로 인해 피해자들이 수십억 달러의 손실을 입은 가운데, 또 다른 유형의 가상자산 사기인 ‘주소 중독(address poisoning)’ 공격도 증가하고 있습니다.
주소 중독 공격이란 무엇인가요?
주소 중독 공격은 맞춤형 온체인 인프라를 활용해 피해자로부터 자금을 가로채는, 특히 악질적인 가상자산 사기 수법입니다. 이 수법은 간단하지만 매우 효과적입니다:
- 사기꾼들은 먼저 대상의 거래 패턴을 분석하여 자주 사용되는 주소를 찾아냅니다.
- 사기꾼들은 이후, 표적이 가장 자주 거래하는 주소와 매우 유사한 주소가 생성될 때까지 알고리즘을 통해 새로운 가상자산 주소를 생성해 나갑니다.
- 사기꾼은 설득력 있는 유사 주소를 확보하면, 이 새로 생성된 주소에서 겉보기에는 무해해 보이는 소액의 거래를 보내, 사실상 피해자의 주소록을 “오염”시킵니다.
이를 통해, 대상자가 향후 자금을 송금할 때 편의상 자신의 거래 내역을 참고하다가, 의도한 수취인 주소 대신 사기꾼이 만든 유사 주소로 실수로 자금을 송금하게 될 것이라는 기대입니다.
랜섬웨어와 같은 다른 형태의 사이버 범죄와 마찬가지로, 주소 포이즌링 캠페인은 대개 ‘플러그 앤 플레이’ 방식으로 설계됩니다. 다크 웹에서 사기꾼들은 다크넷 마켓플레이스에 널리 광고되는 주소 포이즌링 툴킷을 쉽게 구입할 수 있습니다. 이러한 툴킷은 대개 사용자 친화적인 인터페이스를 갖추고 있어, 기술적 전문 지식이 부족한 사람이라도 정교한 사기를 쉽게 저지를 수 있게 해줍니다. 이 툴킷에는 대개 대상자의 지갑에서 자주 사용되는 주소를 모방한 유사 주소를 생성하는 소프트웨어, 소액 결제를 통해 해당 주소에 잔액을 채우거나 소액을 입금하는 자동화 스크립트, 그리고 피해자의 블록체인 거래 내역을 악용해 그들을 오도하는 방법에 대한 상세한 지침이 포함되어 있습니다.
아래에서는 이러한 툴킷을 구매하려는 한 사람의 사례를 볼 수 있습니다.
많은 업체들이 포괄적인 튜토리얼, 단계별 안내서, 심지어 암호화 메시징 플랫폼을 통한 고객 지원과 같은 추가 서비스를 제공하고 있습니다. 이러한 키트의 거래는 대개 가상자산 에서 이루어집니다.
이러한 툴킷이 널리 보급됨에 따라 사기꾼들의 진입 장벽이 낮아졌으며, 이는 가상자산 분야에서 주소 중독 공격이 점점 더 빈번해지는 데 일조하고 있습니다.
당사의 ‘상반기 범죄 동향 보고서’에 자세히 설명된 바와 같이, 2024년 가장 큰 사기 사건 중 하나는 5월 3일에 발생한 주소 포이즌 공격이었습니다. 이 사건으로 인해 신원 미상의 가상자산 고액 투자자가 6,800만 달러 상당의 랩드 비트코인 (WBTC) 을 거의 잃을 뻔했으나, 공격자가 피해자에게 자금을 반환했습니다. 이번 사건이 온체인에서 어떻게 전개되었는지 분석하고, 이러한 유형의 사기를 어떻게 방지할 수 있는지 살펴보겠습니다.
독을 묻힌 창이 ‘ 가상자산 ’의 고래를 찔렀다
이 사건은 2024년 5월 3일 9시 14분(UTC)에 피해자(0x1E227)가 이더리움 블록체인상에서 겉보기에는 무해해 보이는 주소인 0xd9A1b로 첫 번째 송금을 한 것으로 시작됩니다. 이는 아마도 테스트 결제가었을 것으로 보이며, 이는 온체인에서 대량의 자산을 이동할 때 일반적으로 따르는 모범 사례입니다.
불과 몇 분 뒤, 피해자는 두 번째 송금을 진행했는데, 이번에는 자신도 모르게 사기꾼이 관리하는 주소인 0xd9A1c로 자금을 보냈습니다. 이 주소는 처음 6자만 보면 겉보기에는 ‘0xd9A1’과 똑같아 보입니다. 이 거래에서 피해자는 약 6,800만 달러 상당의 랩드 비트코인(WBTC)을 사기꾼에게 송금했습니다. UTC 기준 14:44가 되자, 사기꾼은 7,100만 달러 상당의 WBTC(BTC 가격 상승으로 인해 금액이 더 커진 것)를 온체인상의 다른 주소로 이동시켰습니다.
그 후 며칠 동안 피해자는 소액의 이더(ETH) 거래에 메시지를 삽입해 연달아 보내며, 사기범과 협상을 통해 도난당한 자금 중 최소 6,100만 달러를 돌려받으려 시도했다.
특히 한 메시지에는 피해자가 은근히 위협하는 내용이 담겨 있었다. “우리 둘 다 이 [sic] 자금을 세탁할 방법이 없다는 걸 잘 알고 있다. 네 행적은 추적될 것이다. 또한 ‘편히 주무세요’라는 말이 네 도덕적·윤리적 자질을 뜻하는 게 아니라는 점도 우리 둘 다 잘 알고 있다.”
이러한 협박 전술은 효과가 있었던 것으로 보인다. 사기꾼은 5월 9일 피해자의 지갑으로 원래의 6,800만 달러 상당의 ETH를 반환했으나, 그 전에 토큰 가격 상승으로 인한 300만 달러의 차익을 챙긴 뒤, 여러 중간 지갑을 경유해 자금을 송금했기 때문이다.
아래 체이널리시스 Reactor 아래 그래프는 초기 주소 조작 주소에서 여러 중간 지갑을 거쳐 피해자 지갑으로 돌아가는 경로 중 하나를 보여줍니다.
광범위한 캠페인의 개요 파악
단일 주소에서 이루어진 활동을 추적한 결과, 이번 캠페인의 주소 오염 공격을 주도한 8개의 ‘시더’ 지갑으로 구성된 네트워크를 밝혀냈습니다.
각 시더 지갑은 추가적인 시더 지갑과 수많은 “시드 지갑”(즉, 표적 주소와 유사한 주소들)을 생성했습니다. 총 82,031개의 이 사기와 연관된 잠재적 시드 주소를 확인했으며, 이 주소들은 모두 잠재적 피해자를 속이기 위해 생성된 것입니다. 이번 매핑 작업만으로는 이 캠페인의 전체 규모를 충분히 파악하지 못했을 가능성이 높으며, 이는 주소 오염이 초래할 수 있는 광범위한 영향을 여실히 보여줍니다.
이 캠페인의 규모는 결코 과소평가할 수 없다. 특히, 사기꾼이 생성한 시드 주소 풀은 사기 캠페인 기간 동안 생성된 전체 신규 이더리움 주소의 1%에 약간 못 미치는 비중을 차지한다.
캠페인 피해자 분석
데이터에 따르면, 이 주소 중독 사기는 일반적인 지갑 보유자에 비해 지갑 잔고가 더 많고 경험이 풍부한 사용자를 표적으로 삼은 것으로 나타났습니다. 총 2,774개의 주소가 앞서 언급된 82,031개의 주소로 자금을 송금했으며(총액 69,720,993달러), 이들이 이번 캠페인의 피해자 집단에 해당합니다.
아래 차트는 이러한 피해자들의 일반적인 특성을 보여주고, 2018년 3월부터 2024년 10월까지 비슷한 기간 동안 온체인에서 활동했던 일반적인 이더리움 개인 지갑과 이를 비교하고 있습니다.
피해자 지갑의 잔액은 평균 338,900달러를 초과했으며, 중앙값은 1,000달러에 가까웠다. 또한 이 지갑들은 평균 598건의 송금에 참여했으며, 약 512일 동안 온체인에서 활동한 것으로 나타났다.
이는 이번 주소 중독 공격의 피해자들이 대체로 평균적인 이더리움 지갑 보유자보다 더 활발하게 가상자산 를 이용하며, 지갑 잔고가 더 많고, 거래 횟수가 더 많으며, 온체인 이용 이력이 더 길다는 사실을 보여줍니다. 가상자산 를 헷갈려 할 수 있는 신규 사용자들이 종종 사기의 주요 표적이 되기는 하지만, 사실 누구든지 표적이 될 수 있습니다. 눈에 띄는 점은, 이번 캠페인과 같은 일부 사기 행위가 오히려 자산 가치가 높고 활동성이 더 높은 참여자들을 구체적으로 노린다는 사실입니다. 사기의 정교함이 높아짐에 따라, 보안 관행과 가상자산 지갑 관리에 대한 폭넓은 인식의 중요성도 커지고 있습니다 .
캠페인의 성공 여부 측정
전반적으로, 이 주소 조작 캠페인의 성공률은 매우 낮았는데, 가짜 주소 중 피해자로부터 100달러 이상을 받은 주소는 0.03%에 불과했습니다(사기꾼이 보낸 금액은 제외). 이는 사기를 위해 생성된 82,031개의 주소 중 대부분이 사람들을 속여 거액을 송금받는데 성공하지 못했음을 의미합니다.
흥미롭게도 756개의 주소가 1달러에서 100달러 사이의 소액을 송금했는데, 이는 아마도 테스트 송금이었을 것입니다. 다행히도 이러한 테스트 송금이 의도된 주소로 전달되지 않았기 때문에 추가 손실을 막을 수 있었으며, 이는 되돌릴 수 없는 온체인 거래에서 소액 테스트 거래를 수행하는 관행이 얼마나 유용한지 보여줍니다.
이 캠페인의 주소당 성공률은 매우 낮았지만, 잠재적인 투자 수익률(ROI)은 놀라울 정도였습니다. 사기꾼이 원래의 6,800만 달러를 그대로 보유했다면, 전체 ROI는 무려 58,363%(초기 금액의 584배)에 달했을 것입니다. 피해자에게 6,800만 달러를 반환한 후에도 사기범은 149만 달러의 순이익을 남겼으며, 그 결과 1,147.62%(비용의 12.47배)라는 인상적인 ROI를 기록했습니다.
이 환급은 2024년 2월 28일부터 5월 4일까지 66일 동안 이루어졌으며, 6,800만 달러 규모의 사기 사건은 캠페인 기간이 거의 끝나가던 5월 3일에 발생했고, 해당 자금은 결국 5월 9일에 피해자에게 반환되었습니다.
주소 중독 캠페인의 성공은 소수의 주소로 극도로 편중되어 있었다. 반환된 지급액을 제외하면, 이 캠페인의 82,000개가 넘는 주소 중 사기꾼 이외의 출처로부터 100달러 이상을 받은 주소는 단 22개에 불과했다. 대부분의 주소는 실패했지만, 소수의 고가치 표적들이 수익의 대부분을 창출했다.
2024년에 시작된 모든 사기 사건을 비교했을 때, 이번 캠페인의 수익 규모는 특히 두드러집니다. 당사의 데이터에 따르면 2024년의 일반적인 사기 캠페인은 약 400달러의 수익 중앙값을 기록했습니다. 이에 비해, 반환된 6,800만 달러를 제외한 300만 달러의 수익을 올린 이 주소 조작 캠페인은 올해 사기 수익 중앙값보다 3,727배 더 큰 규모입니다.
반환되지 않은 수익금의 현금화
이 주소 조작 캠페인의 배후에 있는 공격자는 피해자에게 6,800만 달러를 반환했는데, 이는 이례적인 일로 이 일련의 공격이 끝났음을 시사했다. 캠페인이 진행되는 동안 대부분의 기간 동안, 사기꾼은 피해자들로부터 얻은 수익을 훔쳐 디파이(DeFi) 플랫폼이나 중앙화 거래소를 통해 세탁해 왔다.
아래 체이널리시스 Reactor 아래 그래프는 위협 행위자가 관리하는 지갑으로 이루어진 일련의 피해자 송금 내역을 상세히 보여줍니다. 이후 사기꾼은 이 자금을 한데 모아 동유럽에 기반을 둔 KYC 규정을 준수하는 중앙화 거래소(CEX)로 이체했습니다.
전체적인 상황을 살펴보면, 사기꾼이 캠페인 기간 내내 탈취한 자금을 어떻게 처리했는지 알 수 있습니다. 중앙화 거래소(CEX)는 자금 세탁 과정에서 핵심적인 역할을 했으며, 캠페인 초반과 후반 모두 탈취된 자금의 상당 부분이 이곳으로 송금되었습니다.
사기범은 다른 중앙화 거래소(CEX)도 이용했지만, 이번 사기 행각의 중반부에는 디파이(DeFi) 프로토콜에서 상당한 활동이 이루어졌습니다. 이는 사기 과정에서 자금을 세탁하려 했을 가능성을 시사합니다.
블록체인 인텔리전스는 주소 중독 사기를 막는 데 핵심적인 역할을 합니다
다른 주요 ‘ 가상자산 ’ 사기 사건에 비해 규모는 작지만, 주소 포이즌 공격은 공격 기간이 짧고 투자 대비 수익률(ROI)이 매우 높다는 점에서 두드러집니다. 이러한 사기 수법은 블록체인 거래가 빠르게 진행되고 복잡한 특성을 악용하여, 주소를 꼼꼼히 확인하는 것을 잊을 수 있는 피해자들을 노립니다. 주소 포이즌 공격이 점점 더 빈번해짐에 따라, 사기 수법이 진화하여 탐지하기 어려워지고 있으며, 피해자 수가 적더라도 여전히 단시간에 막대한 금액을 훔쳐갈 수 있다는 우려스러운 추세를 보여주고 있습니다.
블록체인의 탈중앙화 및 투명성 덕분에 방대한 양의 데이터가 제공되지만, 이러한 원시 정보를 실행 가능한 인사이트 정보로 전환하는 데 어려움이 있습니다. 주소 포이즌링과 같이 가해자를 명확히 파악하기 어려운 사기 사례의 경우, 사용자의 평소 행동 패턴과 다른 반복적인 고액 송금과 같은 특정 ‘경고 신호’를 실시간으로 모니터링할 수 있습니다. 또한, 실시간 휴리스틱 분석은 주소 포이즌링 공격에 연루되었을 가능성이 있는 주소를 식별하는 데 도움이 될 수 있습니다. 이러한 인사이트 분석 결과는 경고 시스템의 기반이 되어, 해당 자금이 사기 활동과 관련될 수 있음을 생태계에 알릴 수 있습니다.
체이널리시스 이 기술은 생태계에 이러한 활동을 탐지할 수 있는 역량을 부여함으로써, 의심스러운 패턴을 식별하고, 불법 자금 이동을 추적하며, 실시간으로 이상 징후를 감지함으로써 주소 포이즌링과 같은 사기를 완화하는 데 결정적인 역할을 합니다. 보안 팀과 당국이 더 빨리 개입할 수 있도록 지원함으로써, 우리는 추가적인 피해를 방지하고 생태계 참여자들을 보호할 수 있습니다.
자주 묻는 질문
주소 중독 공격이란 무엇인가요?
주소 중독 공격은 범죄자들이 피해자의 거래 내역을 조작하여 자금을 송금하도록 속이는 ‘주소 중독( 가상자산 )’ 사기 수법입니다. 사기꾼들은 피해자가 자주 사용하는 주소와 매우 유사한 가짜 지갑 주소를 생성한 뒤, 소액의 거래를 보내 피해자의 주소록을 ‘중독’시킵니다. 이후 피해자가 자금을 송금하려 할 때, 의도한 수취처 대신 실수로 사기꾼이 만든 유사 주소를 복사해 버릴 수 있습니다.
사기꾼들은 주소 중독 공격을 어떻게 감행하나요?
사기꾼들은 종종 다크넷 마켓플레이스에서 구입한 플러그 앤 플레이 툴킷을 이용해 이러한 공격을 감행합니다. 이 사용자 친화적인 툴킷은 운영에 별다른 기술적 전문 지식이 필요하지 않습니다. 일반적으로 이 툴킷에는 유사 주소를 알고리즘으로 생성하는 소프트웨어, 대상 지갑으로 소액의 자금을 송금하는 자동화 스크립트, 그리고 사용자의 블록체인 거래 내역을 악용하는 방법에 대한 상세한 지침이 포함되어 있습니다.
독극물 사기 사건의 표적은 대개 누구인가요?
데이터에 따르면, 주소 조작 사기는 주로 지갑 잔고가 많고 온체인 활동 이력이 긴, 경험이 풍부한 가상자산 사용자를 표적으로 삼는 경우가 많습니다. 한 대규모 사기 사건에서 피해자의 평균 지갑 잔고는 338,900달러를 초과했으며, 블록체인에서 500일 이상 활발히 활동해 온 것으로 나타났습니다. 사기꾼들은 특히 자주 자금을 이체하는 이러한 고가치 표적에 집중합니다.
주소 중독 공격은 대개 성공하는 편인가요?
주소 위조 사기의 전반적인 성공률은 매우 낮지만, 잠재적인 투자 수익률은 놀라울 정도로 높습니다. 최근 발생한 대규모 사기 사건에서, 가짜 주소 중 피해자로부터 100달러 이상을 받은 경우는 0.03%에 불과했습니다. 하지만 사기꾼들이 고액 자산가를 표적으로 삼기 때문에, 단 한두 건의 사기가 성공하기만 해도 수백만 달러에 달하는 금액이 탈취될 수 있습니다. 가상자산
가상자산 사용자들은 주소 중독으로부터 어떻게 스스로를 보호할 수 있을까요?
사용자는 가상자산 로 대금을 송금하기 전에 항상 소액의 테스트 결제를 먼저 보내어 스스로를 보호할 수 있습니다. 주소 조작은 피해자가 최근 거래 내역에서 주소를 무분별하게 복사하는 점을 악용하기 때문에, 주소를 한 글자 한 글자 꼼꼼히 확인하는 것이 필수적입니다. 또한, 가상자산 생태계 전반에서는 블록체인 인텔리전스 도구를 활용하여 의심스러운 패턴을 모니터링하고, 사기성 주소를 실시간으로 식별할 수 있습니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
