여러 이더리움 가상 머신(EVM) 호환 지갑이 정체불명의 공격자에 의해 동시에 해킹당하는 사건이 발생해 사이버 보안 업계에 경각심을 일으켰다. 이 공격으로 인한 총 피해액이 10만 7,000달러(약 1억 5,475만 원)를 초과했으며, 각 지갑에서 탈취된 금액은 적지만 전체 수가 수백 개에 달해 문제가 커지고 있다.

사건은 저가 개인 지갑들을 목표로 한 대규모 피싱 및 자동화 해킹 작전으로 보인다. 온체인 트래킹 전문가인 잭엑스비티에 따르면, 이 공격은 단일 체인이 아니라 여러 EVM 호환 체인을 대상으로 동시다발적으로 진행되었고, 각 지갑당 대략 2,000달러(약 289만 원) 이하의 소액이 탈취된 것으로 확인됐다.

보안 기업 핵리스는 이번 공격이 자동화된 스크립트를 통해 이루어졌으며, 사용자의 부주의를 유도하는 피싱 이메일이 주된 역할을 했을 가능성이 높다고 분석했다. 블라디미르 S라는 보안 연구가는 사용자들이 잘 알려진 브랜드와 유사한 가짜 메타마스크 이메일을 받고 이를 신뢰하여 스마트 계약 승인이나 악성 확장 프로그램 설치를 했을 것이라고 경고했다. 소셜미디어에서는 이러한 위조 이메일의 스크린샷이 빠르게 유포되고 있으며, 저잔고 지갑을 광범위하게 노린 '광역 낚시' 방식이 특징적이라는 지적도 나오고 있다.

이번 사건은 과거 크리스마스에 일어난 트러스트 월렛 해킹과 유사한 양상을 띄고 있어 업계의 우려를 더하고 있다. 트러스트 월렛 해킹 사건에서는 약 2,596개 지갑에서 총 700만 달러(약 101억 2,200만 원)가 탈취되었으며, 이것은 당시 'SHA1-Hulud'라 불리는 공급망 공격의 일환으로 발생한 것이다. 바이낸스 공동창업자 창펑 자오는 이 사건에 조직적인 조작의 가능성을 제기하며 내부자의 접근이나 소스코드에 대한 깊은 이해가 있었을 것이라고 언급했다.

현재로서는 두 사건 간의 직접적인 연결고리는 확인되지 않았지만, 피싱 이메일과 악성 브라우저 확장을 통해 사용자 승인을 악용하고 있다는 점에서 유사성이 눈에 띈다.

이처럼 올해 해킹 피해량은 줄어들었지만, 새로운 형태의 위협이 여전히 존재하고 있어 경계를 늦춰서는 안 된다. 보안 분석기업 펙실드에 따르면, 2025년 12월 한 달 동안의 해킹 피해액은 약 7,600만 달러(약 1,099억 원)로 전월 대비 60% 감소했지만, 여전히 큰 피해가 발생하고 있다. 특히 하나의 사용자에게 집계된 5,000만 달러(약 723억 원) 손실을 기록한 '주소 포이즈닝' 공격은 사용자의 실수를 유도하는 또 다른 피해 사례이다.

암호화폐 사용자들은 이번 EVM 지갑 해킹 사건을 통해 금융 피해가 제한적이라는 점에 안도할 수 있지만, 보안의 취약점과 피싱 공격의 진화 양상을 염두에 두어야 할 시점이다. 따라서 사용자는 이메일이나 확장 프로그램 설치 전 출처를 철저히 확인하고, 보안성이 높은 하드웨어 지갑을 사용하는 것이 가장 바람직하다.