나노랩스 창업자, 정교한 피싱 공격 후 탈취된 X 계정 복구
TREE NEWS 보도: 나스닥 상장 BNB 트레저리 기업 나노랩스의 창업자 잭 콩(Jack Kong)이 개인 이메일과 AI 기반 인증 도구를 모두 악용한 표적형 피싱 공격을 받은 후 X(구 트위터) 계정에 대한 통제권을 되찾았다. 공격자들은 9월 28일 접근 권한이 복구되기 전까지 탈취한 계정을 잠시 사용해 사기성 콘텐츠를 게시했다.
공격 전개 과정
이번 침해는 무차별 대입 공격이나 플랫폼 취약점에 의존하지 않았다. 대신 사회공학적 기법과 자동화 시스템에 대한 위험한 과잉 의존을 결합한 것이었다. 사건 주변의 세부 내용에 따르면, 공격자는 콩이 자주 사용하는 공개 수신함으로 피싱 이메일을 보냈다. 이메일 보안 또는 링크 스캔 도구로 보이는 AI 시스템이 악성 링크를 X의 공식 제3자 인증 페이지로 잘못 분류했다. 그 자동 판단을 신뢰한 콩은 연동된 이메일 주소로 X가 보낸 인증 코드를 위조 페이지에 입력했고, 공격자에게 계정에 대한 완전한 접근 권한을 넘겨주고 말았다.
이는 보안 연구자들이 말하는 “AI 지원 사회공학”의 교과서적 사례다. 공격자는 인간을 보호해야 할 기계를 먼저 속일 수 있다면 인간의 회의심을 이겨낼 필요가 없다. AI 문지기가 속으면, 피해자 자신의 도구에 대한 신뢰가 취약점이 된다.
암호화폐 창업자들이 주요 표적인 이유
콩은 결코 고립된 사례가 아니다. 암호화폐 경영진, 창업자, 저명한 트레이더들은 자신의 계정이 암묵적 보증력을 지니기 때문에 X에서 가장 가치 높은 표적 중 하나다. 신뢰받는 창업자의 핸들에서 나온 단 하나의 사기성 게시물이 몇 분 안에 수십만 명의 팔로워에게 도달하는 지갑 탈취 사기, 가짜 토큰 출시, 피싱 링크의 물결을 촉발할 수 있다.
- 공격 표면으로서의 평판: 암호화폐에서 신뢰성은 자본이다. 탈취된 계정은 그 신뢰성을 즉시 무기화한다.
- 악용의 속도: 사기 게시물은 종종 몇 분만 유지되지만 삭제되기 전에도 상당한 자금을 끌어모을 수 있다.
- 규제 사각지대: 소셜 미디어 플랫폼이 제공하는 구제책은 제한적이며, 복구 일정은 예측할 수 없다.
미국 주식 시장에 상장된 BNB 중심 암호화폐 트레저리 기업으로 자리매김한 나노랩스는 전통 금융과 디지털 자산의 교차점에 위치하며, 이러한 프로필은 금전적·평판적 레버리지를 모두 노리는 공격자들에게 그 리더십을 특히 매력적으로 만든다.
업계 시사점과 전망
이번 사건은 더 넓은 진실을 부각시킨다. AI 도구가 이메일 필터링, 링크 스캔, 계정 보안에 내장됨에 따라, 공격자들은 점점 더 그러한 도구를 속이기 위해 특별히 설계된 캠페인을 만들어낼 것이다. 계정 보안의 다음 개척지는 더 강력한 비밀번호나 하드웨어 키만이 아니라, 사용자와 위협 사이에 위치한 AI 계층에 대한 적대적 테스트다.
암호화폐 기업에게 교훈은 명확하다. 경영진의 소셜 미디어 계정은 핵심 인프라로 취급되어 기업 지갑과 동일한 강화 조치——하드웨어 보안 키, 전용 비공개 이메일 주소, 자격 증명을 요구하는 모든 링크에 대한 의무적 인간 검증——의 대상이 되어야 한다. 플랫폼과 보안 벤더가 AI의 편리함과 AI의 오류 가능성 사이의 격차를 좁히기 전까지, 저명한 창업자들은 업계 신뢰 네트워크로 들어가는 가장 무른 진입점으로 남을 것이다.
