리플 슈워츠가 받은 SecuX 알림, 눌러도 앱은 멀쩡했는데 복구 문구 요구한 사기였다

리플의 최고기술책임자(CTO) 명예직을 맡은 데이비드 슈워츠(David Schwartz)가 안드로이드 기기에서 받은 수상한 알림을 공개하며 보안 경고를 내놨다. 하드웨어 지갑 업체 SecuX의 앱에서 온 것처럼 보이는 알림이었는데, 링크를 열면 지갑 복구 문구(리커버리 프레이즈) 12개 또는 24개 단어를 입력하라는 사기 페이지로 연결됐다. 슈워츠는 10월 16일(현지시각) 엑스(X)에 이 사실을 올렸다.

앱에서 온 것처럼 보인 알림의 정체

슈워츠는 X에 SecuX 공식 계정을 호출하며 “SecuX 지갑, 당신들 안드로이드 앱이 나에게 사기 알림을 보낸 것 같다”고 적었다. 알림은 SecuX 지갑 앱에서 발송된 것처럼 보였다는 설명이다. 슈워츠가 문제의 메시지를 곧바로 확인한 것은 아니다.

한 X 이용자가 이 사실에 놀라며 알림을 누르지 말라고 조언했다. 슈워츠는 이미 눌러봤다고 답했다. 어떻게 되는지 궁금해서 눌렀을 것이라는 설명이다. 알림을 누르자 앱은 평소처럼 정상 실행됐고 겉으로는 이상한 점이 없었다.

의심스러운 대목은 알림 기록(notification history)을 뒤져본 뒤에야 드러났다. 거기에는 사기 페이지로 이어지는 링크가 담긴 메시지가 남아 있었다. 메시지는 “지갑이 위험에 처할 수 있다. SecuX 지갑에서 치명적 취약점이 발견됐으니 즉시 지갑을 인증하라”는 취지였다. 슈워츠는 이 링크가 사기라고 밝혔다.

슈워츠의 경고: 12·24단어는 절대 입력 금지

슈워츠는 “알림 기록에 들어가야 메시지를 볼 수 있었다. 링크는 12개 또는 24개 단어를 입력하라고 요구하는 사기 페이지로 연결된다”고 적었다. 그는 괄호 안에 대문자로 “절대 그러지 마라(NEVER DO THAT!)”라고 덧붙였다. 이후에도 12·24단어 문구를 입력하지 말라며 “Never do that”이라고 거듭 강조했다.

12개 또는 24개 단어는 지갑 복구 문구를 가리키는 것으로 보인다. 복구 문구는 지갑을 복원하는 데 쓰는 매우 민감한 정보다. 이 문구를 손에 넣은 사람은 누구든 지갑을 복원해 안에 든 자산을 마음대로 움직일 수 있다.

수법 자체는 단순하다. 긴급 보안 취약점이라는 겁을 주고 즉시 인증하라고 재촉한 뒤 복구 문구를 입력하게 만든다. 피해자가 단어를 입력하면 지갑의 통제권이 공격자에게 넘어갈 수 있다. 슈워츠가 실제로 문구를 입력하지는 않았다.

앞서 슈워츠는 XRP 원장(XRPL) 거래 수수료 인상 논쟁에서도 X에서 직접 의견을 밝힌 바 있다. 이번에는 지갑 사기 알림을 공개하는 방식으로 사용자 보호 메시지를 던졌다.

SecuX의 공지와 아직 풀리지 않은 의문

사건은 SecuX가 앱 긴급 점검을 알린 시점과 맞물려 있다. SecuX는 콜드월렛(인터넷에 연결되지 않은 오프라인 지갑) 제공업체다. 이 회사는 10월 16일 지갑 앱이 보안과 안정성 강화를 위한 대규모 시스템 업그레이드와 긴급 점검을 진행 중이라고 공지했다.

긴급 점검의 구체적 사유는 공개되지 않았다. 슈워츠가 목격한 알림과 관련이 있을 수도 있다는 것이 보도의 설명이다. 다만 연관성이 확인된 것은 아니다.

알림의 출처는 여전히 불분명하다. 앱 자체가 만들어 보냈는지, 제3자 알림 서비스를 거쳤는지, 다른 경로인지 알려지지 않았다. 확인된 정보만으로는 SecuX의 앱이나 인프라가 해킹당했다고 단정할 수 없다는 점도 보도에 명시돼 있다.

SecuX는 서비스 업데이트에서 앱이 정상 운영으로 복귀했다고 밝혔다. 회사는 의심스럽거나 검증되지 않은 링크를 누르지 말라고 당부했다. 24단어 복구 문구는 누구에게도 공유하지 말라고 했고 SecuX 지원팀을 사칭하는 메시지도 조심하라고 안내했다. 회사는 그런 정보를 절대 요구하지 않는다고 거듭 밝혔다.

사용자가 챙겨야 할 점

사례에서 눈에 띄는 대목은 알림을 눌러도 앱이 정상 실행됐다는 것이다. 겉보기에는 아무 문제가 없어 보이는 상황에서도 사기 링크가 숨어 있을 수 있다는 의미다. 슈워츠 역시 알림 기록을 따로 열어보기 전까지는 낌새를 느끼지 못했다.

사용자가 지킬 원칙은 SecuX와 슈워츠가 공통으로 강조한 한 가지로 모인다. 어떤 이유로든 복구 문구를 입력하거나 공유하지 않는 것이다. 지갑 업체는 복구 문구를 요구하지 않는다고 밝혔고 취약점 경고를 내세워 입력을 재촉하는 메시지는 의심해야 한다.

알림의 발송 경로와 긴급 점검의 구체적 사유는 아직 공개되지 않았다. SecuX는 앱이 정상 운영으로 돌아왔다고만 알렸다.