사이버보안 업체 래피드7이 전화번호 수집과 피싱, 보이스콜, 위조 지갑 소프트웨어를 결합해 피해자의 시드 문구를 탈취한 암호화폐 사기 파이프라인 '오퍼레이션 아스테릭스'의 작동 방식을 공개했다. 래피드7의 리서치 보고서에 따르면 공격자는 지역별 데이터셋에서 확보한 전화번호 약 88만 5,000개를 처리했는데, 여기에는 독일 휴대전화 번호 31만 6,002개 목록도 포함돼 있었다. 이 번호들을 실제 암호화폐 거래소 계정과 대조하는 검증 절차를 거쳤고, 크립토닷컴 한 곳만 놓고 봐도 13.6%의 적중률을 기록해 독일 목록에서만 4만 3,000개가 넘는 실제 계정을 확인해냈다.
이 공격자는 무작위로 피싱 메시지를 뿌리는 대신 정교한 파이프라인을 구축했다. 전화번호를 나열하고, 거래소 가입 여부를 검증하고, 확인된 대상에 이름과 계정 정보를 덧붙여 보강한 뒤, 크립토닷컴과 바이낸스 고객지원팀을 사칭한 피싱 이메일 단계로 넘어가는 식이다. 여기에 반응한 피해자에게는 가짜 인증코드가 발송됐고, 뒤이어 실제 계정 정보를 언급하며 신뢰도를 높인 보이스피싱(비싱) 전화가 걸려왔다. 이후 피해자는 보유 자산을 "확인"한다는 명목으로 위조 지갑 앱을 설치하도록 유도당했다.
진짜 지갑을 속이려 만든 가짜 지갑
래피드7은 트레저 스위트, 렛저 라이브, 엑소더스를 사칭한 위조 빌드를 확보했다. 이 가운데 가장 정교했던 것은 트레저 위조 앱이었다. 픽셀 크기로 숨겨진 일렉트론 창을 띄워 5초마다 진짜 트레저 스위트 앱이 실행 중인지 스캔하고, 발견되면 강제 종료한 뒤 위조 인터페이스로 바꿔치기했다. 이렇게 가로챈 12~24단어짜리 복구 문구는 곧바로 텔레그램으로 빼돌려졌다.
같이 보면 좋은 기사: 콜드카드 1억 1,600만 달러 해킹, FBI가 1차 공격자 특정한 듯
렛저 사칭 버전에는 윈도우 클립보드 하이재킹 기능이 추가로 붙었고, 엑소더스 버전은 트로이목마화된 자바스크립트 파일로 페이로드를 전달하는 방식을 택했다. 활동 로그를 보면 이번 캠페인은 대량 살포형이라기보다 운영자 한 명이 직접 이끄는 비교적 소규모 작전에 가까웠다 — 한 관리 패널에는 2주 동안 리드 조회 20건, 피싱 이메일 발송 6건만 기록돼 있었다.
AI 도구는 어떻게 쓰였고, 어디서 제동이 걸렸나
래피드7 보고서는 이 공격자가 개발 전 과정에서 AI 코딩 도구에 크게 의존했다는 점도 자세히 다뤘다. 백엔드 뼈대 작업에는 깃허브 코파일럿을, 전화번호 데이터셋 정리와 포맷팅에는 클로드 코드를 활용했다. 악성 코드를 난독화해달라고 클로드에 요청했을 때는 거부당했고, 그러자 공격자는 다른 AI 시스템인 키미로 갈아탔다. 키미에는 모델의 안전장치를 우회하도록 설계된 탈옥형 프롬프트를 입력한 뒤에야 원하는 응답을 받아낼 수 있었다. 래피드7은 자체 툴을 만들기보다 AI 도구에 전방위로 의존한 정황을 볼 때, 이 공격자가 기술적으로는 능숙하지만 특별히 정교한 수준은 아니라고 평가했다.
이번 사건이 눈에 띄는 이유
하드웨어 지갑을 사칭하는 사기 수법 자체는 새롭지 않지만, 그 피해 규모는 결코 작지 않다. 2026년 1월에 있었던 한 트레저 사칭 피싱 사건에서는 피해자 한 명이 복구 시드 문구를 넘기도록 유도당해 무려 2억 8,400만 달러를 잃었다. 래피드7은 작전이 아직 진행 중이던 시점에 애플과 관계 당국에 조사 결과를 전달했다고 밝혔으며, 함께 공개한 특정 명령제어(C2) IP 주소와 ledger[.]com[.]lv 같은 유사 도메인 등의 지표는 방어자들이 앞으로 관련 인프라를 식별하는 데 실질적인 단서가 될 전망이다.
