한 암호화폐 이용자가 오래전 저장해둔 북마크 링크를 클릭했다가 토네이도캐시(Tornado Cash)를 사칭한 피싱 사이트로 연결되면서 1,010 ETH를 잃었다. 이 피싱 사이트는 다름 아닌 이 프라이버시 프로토콜의 만료된 공식 도메인에 올라와 있었다. 커뮤니티 제보에 따르면 피해자는 정상적인 tornado.cash 프런트엔드에 접속하고 있다고 믿었지만, 실제로는 도메인 기한이 만료된 뒤 공격자가 이를 재등록해 차지한 상태였다.
공격 수법 자체는 단순했지만 피해는 치명적이었다. 가짜 프런트엔드가 피해자의 예치 인증 정보를 가로챘고, 공격자는 이를 이용해 자금을 인출한 뒤 여러 주소로 분산 이동시켜 추적을 어렵게 만들었다. 가장 최근 온체인 추적 기준으로 도난 자산은 여전히 공격자 통제 아래 있는 것으로 확인됐다.
근본 원인은 토네이도캐시의 법적 이력으로 거슬러 올라간다. 2022년 미 재무부 해외자산통제국(OFAC)이 이 프로토콜의 스마트 컨트랙트를 제재 대상에 올린 이후, 도메인 갱신 같은 단순한 작업을 포함한 공식 인프라 유지 관리는 명확한 운영 주체가 없는 프로토콜 입장에서 법적으로도, 실무적으로도 까다로운 일이 됐다. 기반 스마트 컨트랙트 자체는 IPFS나 ENS 게이트웨이 같은 탈중앙화 접속 경로를 통해 계속 작동하고 있지만, 여전히 수년 전 저장해둔 옛 대표 도메인 북마크를 그대로 쓰는 이용자들이 많고, 이번 피해자도 바로 그 때문에 노출된 것이다. 도난 자금의 이동 경로는 이더스캔에서 여전히 온체인으로 추적할 수 있다.
피싱 피해 급증 흐름의 한 단면
이번 사건은 피싱 추세가 급격히 반전되는 시점에 벌어졌다. 지갑 드레이너로 인한 손실은 2025년 한 해 동안 약 8,385만 달러로, 전년 대비 83% 급감했었다. 하지만 2026년 1월 한 달에만 피싱 손실이 3억 달러를 넘어섰는데, 하드웨어 지갑 복구 문구를 유출당한 한 투자자가 당한 2억 8,400만 달러 규모의 단일 절도 사건이 그 대부분을 차지했다. 보안 연구자들은 이런 흐름을 "고래 사냥(whale hunting)"으로의 전환이라 부른다. 다수의 소액 지갑을 노리는 대량 캠페인 대신, 소수의 대형 표적을 노리는 방식으로 공격자들이 이동하고 있다는 것이다.
이용자들에게 남기는 교훈
제재 대상이거나 법적 지위가 불확실한 프로토콜은 이런 유형의 위험에 특히 취약하다. 공식 웹 페이지를 적극적으로 관리하는 주체가 없다 보니, 만료된 도메인이 아무도 인수하지 않은 채 방치되다가 결국 공격자가 등록해버리는 일이 생길 수 있다. 보안 전문가들은 공식 유지 관리 상태가 불확실한 프로토콜일수록, 오래된 브라우저 북마크에 의존하기보다는 새로 확인한 IPFS나 ENS 링크를 통해 탈중앙화 프런트엔드에 접속할 것을 권고하고 있다.
관련 기사:
같이 보면 좋은 기사: 美 법무부, 이란 해커 17명 기소…600만 달러 비트코인 갈취·대학 데이터 절취
이번 사건은 크립토에서의 피싱 위험이 반드시 스마트 컨트랙트 버그나 거래소 해킹을 필요로 하지 않는다는 점을 다시 한번 일깨워준다. 때로는 취약점이 그저 아무도 더 이상 관리하지 않는 인프라를 가리키는 낡은 북마크 하나일 수 있다는 것이다.
