최근 XRP 보유자가 '레저(Ledger)'를 사칭한 피싱 이메일에 속아 40만 개의 XRP를 잃은 사건이 발생했다. 피해자는 가족과 시간을 보내던 부활절 밤, 갑작스럽게 받은 이메일의 업데이트 안내를 정상적인 절차로 착각하고 클릭해 지갑 정보를 입력하게 되었다. 그 결과, 공격자들은 피해자의 자금을 탈취하며 40만 XRP가 한 번에 유출되었다.

이 사건을 공유한 크립토 자문가 조지 칼테키스(George Kaltekis)는 최근 피싱 수법이 점점 더 정교해지고 있다고 지적했다. 실제로 보안 전문가들조차 진짜 안내와 가짜 안내를 구분하기 어려워하는 상황이다. 특히 하드웨어 지갑은 '안전하다'는 인식이 깊지만, 사용자가 직접 정보를 입력하기 시작하면 보안이 무너질 수 있다는 경고가 이번 사건을 통해서 다시 한번 강조되었다. 피해자가 보관하던 나머지 5만 XRP는 별도의 ‘보험 보관 계정’에 있어 피해를 면할 수 있었는데, 이 계정은 거래 승인 전 콜백 확인과 음성 인증 등의 추가 절차를 요구하도록 설계되어 있었다.

칼테키스는 이번 사건이 셀프 커스터디(self-custody) 방식의 필요성을 부정하지 않는다며, 셀프 커스터디가 유용하더라도 고도화된 피싱을 방어하기에는 한계가 있다고 밝혔다. 이는 비트코인(BTC)과 XRP를 포함한 주요 자산 보유자들이 예상치 못한 업데이트 요청을 재확인해야 하는 이유와 직결된다.

현재 원달러 환율은 1달러당 1,466.80원 수준으로, 대규모 토큰 유출 사건은 달러 기준뿐 아니라 원화 가치에도 심각한 영향을 미칠 수 있다. 보안이 강점으로 여겨지는 하드웨어 지갑도 사용자의 경계가 뒷받침되지 않으면 무용지물이 될 수 있음을 이번 사건이 명확하게 보여주고 있다.

전반적으로 하드웨어 지갑조차 사용자 피싱에 취약하다는 점이 드러나면서 크립토 시장에서 '사용자 보안 리스크'가 핵심 변수로 부각되고 있다. 정교해진 이메일 사기 수법은 개인 투자자뿐 아니라 전문가를 혼란스러워하게 할 만큼 발전하고 있고, 단순한 보안 기술로는 자산 보호가 어렵다는 경고의 목소리가 높아지고 있다.

예상치 못한 업데이트 요청은 반드시 공식 웹사이트나 고객 지원 채널을 통해 확인하는 것이 필요하다. 또한 대규모 자산을 단일 지갑이 아닌, 콜백이나 음성 인증 등 다중 승인 구조로 분산 보관하는 것이 효과적이다. 하드웨어 지갑 사용 시 복구 문구 및 개인 키 입력 요청은 피싱 가능성으로 간주해야 한다는 점도 유념해야 한다.

이처럼 피싱 공격은 계속해서 발전하고 있으며, 개인 투자자와 전문가 모두 예방에 더욱 신경 써야 할 때다. 피해를 줄이기 위한 현실적인 방법은 자산을 여러 지갑으로 분산하고 출금 시 추가 인증 절차를 설정하는 것이며, 예상치 못한 요청에 즉각 반응하기보다는 반드시 공식 경로로 재확인하는 습관이 중요하다.