FTX, 2022년 10월 API 키 악용 피해 계정에 일회성 보상 계획 발표

2022년 10월 당시 FTX 창업자 샘 뱅크먼프리드는 트위터에서 API 키 악용으로 피해를 본 FTX 계정에 약 600만 달러를 보상하겠다고 밝혔다. 그는 이 조치가 해당 FTX 계정에 한정된 일회성 보상이며, 이후 비슷한 사건에 자동으로 적용되는 정책은 아니라고 설명했다. 이는 당시 발표한 계획으로, 이 기사만으로 지급 완료를 확인할 수는 없다.

2022년의 잇따른 해킹

당시 FTX 계정에서는 공격자가 확보한 API 키를 이용한 무단 거래가 보고됐다. API 키에 거래 권한이 있으면 출금 권한이 없어도 불리한 거래로 손실이 발생할 수 있다. 뱅크먼프리드는 보상 계획과 함께 해커가 일부를 보유하고 나머지를 반환하도록 하는 이른바 ‘5-5 기준’을 언급했다. 원문 기사가 전한 구체적 요구는 약 600만 달러 가운데 95%인 570만 달러를 24시간 이내에 지정 지갑으로 돌려달라는 것이었다. 이는 그가 제안한 반환 조건이며, 수사기관이나 법원을 구속하는 법적 면책 결정은 아니었다.

3Commas는 당시 보안 관련 발표에서 자사 시스템의 API 키 유출을 부인했다. 회사는 다음과 같은 입장을 밝혔다. 자사 및 제휴 거래소의 계정 보안·API 암호화 시스템이 침해된 것은 아니며, 가짜 사이트를 통한 피싱으로 키가 탈취됐다는 설명이었다. 이는 2022년 10월 당시 회사의 설명이다. 이후 2022년 12월 29일 공지에서 3Commas는 일부 사용자의 API 키·비밀값 등이 제3자에 의해 공개됐다고 인정했다. 따라서 초기 부인을 최종 조사 결과로 받아들여서는 안 된다.
2022년에는 거래소, 탈중앙화 금융 프로토콜, 크로스체인 브리지와 유동성 풀을 겨냥한 공격이 이어졌다. 스마트 계약의 결함을 이용한 공격과 사용자 인증 정보를 훔치는 피싱은 구분해야 한다. 원문은 Ronin 브리지 사건의 피해를 6억 달러 이상, 2월 Wormhole 사건을 약 3억 2,000만 달러로 전했다. 또한 당시의 다른 공격 사례 로 BSC Token Hub와 Mango Markets를 다뤘다. BNB Chain의 공식 발표에 따르면 BSC Token Hub 사건에서는 200만 BNB가 비정상적으로 인출됐으나 대부분은 통제된 상태로 남았다. 토큰 전체의 명목가치를 모두 외부로 빠져나간 확정 손실로 표현하면 부정확하다. 원문이 전한 Mango 사건 규모는 1억 달러 이상이었다. 한편 피싱은 사용자가 비밀번호, 개인 키, 복구 구문이나 API 키를 공격자에게 넘기도록 속여 직접 피해를 일으키기도 한다.

피싱이란 무엇이며 어떻게 알아볼까?

피싱은 정상적인 개인이나 기관을 사칭해 중요한 정보를 넘기거나 위험한 행동을 하도록 유도하는 사회공학 공격이다. 공격자는 공식 안내처럼 보이는 이메일과 복제 로그인 페이지를 이용해 프로그램 실행이나 인증 정보 입력을 요구한다. 가짜 사이트의 도메인은 실제 주소와 비슷할 수 있다. Web2에서 쓰이던 이런 수법은 Web3에서도 나타난다.
공격자는 소셜미디어에서 이름, 직책, 관심사 같은 공개 정보를 수집한 뒤 상대에게 맞춘 메시지를 만들기도 한다.

피싱 공격의 유형

피싱은 여러 경로와 방식으로 이루어진다. 대표적인 유형은 다음과 같다.

• 이메일 피싱: 협박이나 긴급한 요청으로 출처를 확인할 시간을 주지 않고 링크 클릭을 유도하는 방식이다. 링크는 가짜 로그인 페이지나 악성 파일 배포 사이트로 연결될 수 있다.

• 스피어 피싱: 특정 인물이나 조직을 겨냥한 표적형 피싱이다. 공격자는 피해자의 이름, 직책이나 업무에 관한 정보를 이용해 메시지를 그럴듯하게 만든다.

• 고객지원 사칭 피싱: 공격자가 소셜미디어에서 유명인·기관 또는 고객지원 담당자의 계정을 사칭하는 방식이다. 암호화폐 커뮤니티에서는 인증된 계정처럼 보이는 계정도 가짜 에어드롭이나 경품, ‘코인을 보내면 두 배로 돌려준다’는 사기에 악용될 수 있다. 공개적으로 도움을 요청한 사용자에게 먼저 접근해 민감한 정보를 요구하는 가짜 지원 계정에도 주의해야 한다.

• 고위 임원 표적 피싱: 조직의 고위 경영진을 겨냥하는 공격으로, 웨일링이라고도 한다. 개인화한 제안서나 문서에 악성 링크를 넣을 수 있다. 계정이나 기기가 침해되면 조직의 기밀 정보도 위험해질 수 있다.

Web3를 겨냥한 피싱

공격자는 암호화폐 프로젝트의 텔레그램·디스코드와 트위터 커뮤니티에 들어가 가짜 에어드롭을 홍보하기도 한다. 여러 계정의 좋아요·공유·댓글로 신뢰도가 높은 행사처럼 꾸민 뒤 복제 사이트로 유인한다. 그곳에서 개인 키나 복구 구문을 입력하면 지갑을 빼앗길 수 있다. 지갑 연결이나 서명 요청으로 위험한 권한을 승인하게 하는 수법도 있으므로 비밀 정보를 입력하지 않았다는 이유만으로 안전하다고 판단해서는 안 된다.
이메일이나 다이렉트 메시지에 악성 파일 또는 악성 사이트 링크를 넣는 수법도 있다. 다만 링크를 눌렀다고 언제나 자동으로 프로그램이 설치되는 것은 아니다. 실행한 파일, 허용한 권한 또는 취약점 악용에 따라 기기가 감염될 수 있다. 클립보드 변조 악성코드는 복사한 수신 주소를 공격자 주소로 바꿔 자금을 엉뚱한 곳으로 보내게 하므로, 승인 전에 실제 표시된 주소를 확인해야 한다.

피싱을 알아보고 피하는 방법

‘자정까지 지갑을 업데이트하지 않으면 접근이 차단된다’처럼 서두르게 만드는 메시지는 의심할 신호다. 다만 모든 피싱이 긴박감을 드러내는 것은 아니다. 메시지 속 링크 대신 기존에 확인한 공식 경로로 접속해 요청이 사실인지 확인한다.

문법 오류나 어색한 말투도 단서가 될 수 있지만, 자연스러운 문장이나 친숙한 이름만으로 안전성을 판단해서는 안 된다.

주소를 확인할 때는 실제 도메인 철자를 살펴야 한다. 원문은 정상 주소를 흉내 낸 예로 ‘metamask.io’와 ‘meta-mask.io’, ‘binance.com’과 ‘b1nance.com’을 비교했다. 이는 철자 차이를 설명하는 예시이지 방문을 권하는 주소 목록이 아니다. 하이픈 자체가 사기를 뜻하지 않으며, 익숙한 이름이 포함됐다고 정상 사이트인 것도 아니다.

알 수 없는 메시지의 링크와 첨부 파일을 바로 열지 말고, 확인된 공식 주소로 따로 접속한다. 고객지원 담당자를 포함해 누구에게도 비밀번호, 개인 키나 복구 구문을 넘기지 않는다. API 키도 비밀 인증 정보로 관리하고 필요한 권한만 부여하며, 노출이 의심되면 공식 거래소에서 폐기·재발급한다. 지원되는 계정에는 다중 인증을 설정하고 가능하면 피싱에 강한 방식을 선택한다. 다중 인증은 계정 보호에 도움이 되지만, 이미 노출된 API 키의 권한이나 잘못 승인한 지갑 거래까지 자동으로 차단하는 것은 아니다.