클립재킹 악성코드 15만달러 탈취, CrowdStrike 차단

미국 법무부가 CrowdStrike 등과 함께 2003년부터 가상자산 지갑 주소를 몰래 바꿔치기해 약 15만달러를 훔친 Sality 악성코드 네트워크를 차단했다고 발표했다. 감염 컴퓨터는 한때 1만5,000대에 달했다.

미 법무부, 20여 년 된 Sality 봇넷을 왜 지금 끊었나

미국 법무부는 화요일 발표한 공지에서 사이버보안 기업 CrowdStrike, 섀도서버 재단과 함께 불가리아·헝가리·루마니아 당국과 국제 공조로 Sality 봇넷과 이를 이용한 악성코드를 차단했다고 밝혔다.

미국 당국은 Sality가 2003년부터 감염 기기에 악성코드를 심어 가상자산 탈취와 사이버 공격에 쓰여 왔다고 설명했다.

CrowdStrike에 따르면 이번 조치로 배후 세력은 감염된 기기들과의 통신 능력을 상실했다.

부자개미가 국제 공조망의 중앙 케이블을 잘라 20년 Sality 봇넷 차단을 설명한다.

클립보드만 바꿔치기했는데 어떻게 코인이 사라졌나

이번에 지목된 도구는 EggJagger라는 클립재킹 프로그램으로, 클립보드를 감시하다가 비트코인이나 이더리움 지갑 주소가 복사되면 이를 공격자가 통제하는 주소로 몰래 바꿔치기했다.

CrowdStrike는 "피해자가 결제를 위해 비트코인이나 이더리움 주소를 복사하면 자금이 다른 곳으로 흘러간다"고 이 수법을 설명했다.

이용자가 실제로 잘못된 주소를 입력한 게 아니라, 정상적으로 복사한 주소가 전송 직전 다른 문자열로 바뀌는 방식이어서 육안으로는 알아채기 어려운 구조였다.

15만달러와 150만달러 코인 더미를 나란히 비교해 약 10배 가치 차이를 보여준다.

8년간 15만달러, 왜 잔고는 한때 150만달러까지 불었나

CrowdStrike는 최근 8년 사이 이 수법으로 최소 1,210만루블, 약 15만달러 상당의 가상자산이 탈취됐다고 밝혔다.

이 회사에 따르면 "쓰이지 않은 채" 쌓여 있던 탈취 자산의 가치는 2025년 1월 기준 약 150만달러까지 치솟았는데, 이는 실제 탈취 원금의 약 10배 수준이다.

봇넷 규모는 약 1만5,000대의 감염 컴퓨터로, 이들 기기는 40분마다 서로 온라인 상태를 확인하며 네트워크를 유지하는 P2P 구조로 짜여 있었다.

• 탈취 규모: 약 15만달러(8년 누적)
• 자산 가치 정점: 약 150만달러(2025년 1월)
• 감염 기기 수: 약 1만5,000대
• 기기 간 생존 확인 주기: 40분
• 악성코드 활동 기간: 2003년~적발 시점

1만5,000대 P2P 그물망과 40분 시계를 결합해 봇넷 인프라를 설명한다.

국내 거래소 이용자도 클립재킹에서 자유롭지 않다

클립재킹은 특정 거래소나 국가를 겨냥한 공격이 아니라 클립보드 복사·붙여넣기라는 보편적 습관을 노린다는 점에서, 업비트나 빗썸 같은 국내 거래소 이용자도 같은 위험에 노출될 수 있다.

이번 사건에서 피해는 지갑 주소를 복사해 붙여넣는 순간 발생했으므로, 전송 직전 주소창 앞뒤 몇 자리를 원본과 대조하는 습관이 실질적인 방어선이 된다.

내 컴퓨터가 이런 악성코드에 감염돼 있다면 거래소 보안과 무관하게 출금 단계에서 자산이 새어 나갈 수 있어, 백신 프로그램 점검이 거래소 2단계 인증만큼이나 중요해진다.

두 모니터의 주소 끝자리 대조와 백신 점검을 즉시 실행할 행동수칙으로 보여준다.

확정된 후속 발표 일정은 아직 없다

미국 법무부와 CrowdStrike는 이번 공지에서 배후 세력에 대한 별도 기소나 추가 발표 일정을 명시하지 않았다.

다만 CrowdStrike가 밝힌 것처럼 배후가 감염 기기들과의 통신 능력을 이미 잃은 상태여서, 추가 피해 확산보다는 남은 수사·기소 절차가 다음 관전 포인트가 될 가능성이 크다.

관련 발표가 나오면 이 기사에 이어서 다룬다.

서학개미 기자 · 글로벌 시장 기자서학개미 캐릭터 기자 · AI 보조 및 편집진 검토 투자 유의사항

이 기사는 특정 코인 매수·매도를 권유하지 않는다. 악성코드·해킹 피해는 개인 보안 환경에 따라 달라지며, 지갑 보안 점검과 자산 손실 책임은 투자자 본인에게 있다.