과제 사기의 불법 비트코인, 백도어 지갑으로 사라지다
TREE NEWS 보도: 가짜 ‘과제’ 사기를 운영하던 범죄 조직이 약 480만 달러 상당의 비트코인을 도난당했다고 Chainalysis의 온체인 분석이 밝혔다. 이 사기는 사람들에게 가짜 제품 판매 및 리뷰를 게시하도록 돈을 지급한 뒤, 소득을 지급하기 전에 예치금을 요구하는 수법이었다. 반전은 자금이 화이트햇 해커나 피해자의 회수에 의해 빠져나간 것이 아니라, 변조된 Ledger 지갑 펌웨어 또는 공급망 침해를 통해 유출되었다는 점이다. 즉, 사기꾼 자신의 하드웨어가 출구 사기가 된 것이다.
과제 사기의 작동 방식
과제 사기(때로는 ‘클릭워크’ 또는 ‘리뷰 팜’이라고도 함)는 예측 가능한 시나리오를 따른다. 피해자는 메시징 앱과 소셜 미디어를 통해 모집되어 제품 평점이나 가짜 판매량을 부풀리기 위한 소액 유급 과제를 받은 후, 더 큰 지급을 ‘잠금 해제’하려면 자신의 암호화폐를 예치해야 한다는 말을 듣는다. 예치금은 절대 돌아오지 않는다. Chainalysis는 480만 달러를 이 주기에서 나온 수익—비트코인으로 통합되어 자기 보관으로 이동하기 전에 소매 피해자로부터 착취된 자금—으로 추적한다.
변조된 Ledger 측면
이 손실은 하드웨어 지갑의 공격 표면이 커지고 있음을 부각시킨다. Ledger 기기는 개인 키가 보안 요소를 떠나지 않도록 설계되었지만, 손상된 펌웨어 빌드, 재밀봉된 소매 상자 또는 악성 시드 생성 경로는 공격자에게 조용히 완전한 통제권을 넘겨줄 수 있다. 이 경우 사기꾼은 무작위성이나 펌웨어가 변조된 기기에서 키를 생성하거나 저장한 것으로 보인다. 이는 보안 연구자들이 수년간 경고해 온 시나리오다. 아이러니는 날카롭다. 합법적 보유자를 거래소 동결과 압수로부터 보호하는 동일한 자기 보관 모델은 하드웨어 자체가 적대자일 때는 어떠한 구제 수단도 제거한다.
업계에 대한 시사점
- 공급망 보안이 새로운 최전선이다. 하드웨어는 공식 채널에서만 구매하고, 펌웨어 서명을 검증하며, 시드는 가져오는 대신 기기에서 생성하라.
- 사기 수익은 안전한 돈이 아니다. Chainalysis 및 기타 분석 회사는 믹서와 브리지를 넘나드는 흐름을 추적할 수 있으며, 법 집행 기관은 이를 따라가는 능력이 더욱 향상되었다.
- 피해자 회복은 여전히 드물다. 480만 달러는 아마도 수백 명의 소매 피해자로부터 나온 것이며, 회수되더라도 협력적인 법적 조치 없이는 배상이 어려울 것이다.
앞으로의 전망
이 사건은 암호화폐 범죄가 제로섬 생태계임을 상기시킨다. 사기꾼은 소매 사용자를 먹잇감으로 삼고, 다른 공격자는 사기꾼을 먹잇감으로 삼는다. 하드웨어 지갑 채택이 증가함에 따라 규제 기관과 제조업체는 더 강력한 증명, 변조 방지 포장 및 재현 가능한 펌웨어 빌드를 추진할 것으로 예상된다. 일반 사용자에게 교훈은 변함없다. 기기를 검증하고, 시드 문구를 보호하며, 모든 ‘지불하고 벌기’ 과제 제안을 위험 신호로 취급하라.
