바이낸스 iOS 취약점 경고, 지갑 복구 문구 지키려면
바이낸스는 11월 10일 아이폰에서 악성 앱을 실행하면 지갑 복구 문구와 개인키가 노출될 수 있다고 경고했다. 바이낸스가 확인한 실제 악용 사례는 없고, 애플의 최신 업데이트가 이 결함을 고쳤는지도 불분명하다. 위험의 크기는 지갑 앱이 복구 문구를 기기에 어떻게 저장하느냐에 달려 있다.
뉴스 핵심
- 바이낸스는 11월 10일 아이폰 악성 앱이 다른 앱의 파일을 읽어 복구 문구와 개인키가 노출될 수 있다고 경고했고, 영향 버전은 iOS 26.7.1, 27.0.1, 27.2다.
- 확인된 악용 사례는 없고, 애플의 27.2.1과 26.7.3 업데이트가 결함을 고쳤는지도 불분명하다.
- 위험은 iOS 결함과 지갑 앱의 복구 문구 저장 방식이 겹칠 때 커진다.
바이낸스가 경고한 iOS 취약점은 무엇이 위험하다는 건가
아이폰 지갑을 쓰는 사람에게 이번 경고의 핵심은 한 줄이다. 취약한 아이폰에서 악성 앱을 실행하면 다른 앱이 저장한 파일이 읽힐 수 있다는 것이다.
바이낸스는 11월 10일 화요일 이 내용을 공지했다. 복구 문구와 개인키, 로그인 자격증명이 위험해질 수 있다는 설명이다.
영향받는 버전으로 바이낸스가 명시한 것은 iOS 26.7.1, 27.0.1, 27.2다. 바이낸스는 이 문제가 자사만의 것이 아니라 iOS 수준의 문제라고 선을 그었다.
복구 문구는 지갑을 되살리는 열쇠 묶음이다. 이것이 새면 비밀번호나 2차 인증이 있어도 같은 지갑을 다른 기기에서 열 수 있다. 그래서 이 경고는 거래소 계정 보안과 결이 다르다.
애플 업데이트가 이 구멍을 막았는지 왜 아직 모르나
애플은 월요일에 iOS 27.2.1과 26.7.3을 내놨다. 하루 뒤 바이낸스가 경고를 냈으니 시기상 패치가 나온 직후다.
문제는 이 두 업데이트가 해당 결함을 해결하는지 확인된 바가 없다는 점이다. 애플은 이 취약점에 대한 문의에 기사 시점까지 답하지 않았다.
바이낸스의 영향 버전 목록에는 27.2도 들어 있다. 최신에 가까운 빌드까지 위험 목록에 올린 것이다. 그래서 업데이트만 하면 끝이라고 말하기 어렵다.
결함을 처음 공개한 사람은 보안 연구자 forcequitOS로 일요일에 공개했고, 다른 연구자 0xjohnny의 기여를 인정했다. 다만 공개 내용의 기술적 세부는 우리가 확인하지 못했다.
아이폰 문제인데 왜 지갑 저장 방식이 더 중요한가
블록체인 보안업체 슬로미스트(SlowMist)는 같은 날 앞서 이 문제를 짚었다. 지갑이 복구 문구를 기기에 암호화하지 않고 저장하면 악성 앱이 그것을 읽을 수 있다는 설명이다.
이 문장이 중요한 이유가 있다. iOS 결함은 문을 여는 부분이고, 안에 무엇이 어떤 모양으로 놓여 있는지는 지갑 앱이 정한다.
같은 아이폰, 같은 iOS 버전이어도 복구 문구를 암호화해 두는 지갑과 그대로 두는 지갑은 노출 가능성이 다르다고 읽힌다. 이용자가 자기 지갑이 어느 쪽인지 모르는 경우가 많다는 점이 불안을 키운다.
결국 개인 지갑 보유자는 운영체제 위험과 앱 설계 위험을 동시에 떠안는다. 이 구조는 거래소에 맡긴 자산과 가장 크게 갈리는 지점이다.
9월 FomoPeek 사건은 무엇을 먼저 보여 줬나
두 달 전에도 비슷한 경고가 있었다. 슬로미스트와 OKX는 9월 19일 FomoPeek 앱의 버전 1.1과 1.2가 지갑 키를 노린다고 공동으로 알렸다.
이 앱은 커널 익스플로잇 8종을 품고 키체인(기기의 자격증명 보관함)에 접근해 개인키와 시드 문구를 위협했다. 공식 앱스토어에서 배포된 앱이었다.
당시 권고는 앱을 지워도 소용없고, 그 기기의 모든 키를 오염된 것으로 보고 새 기기에서 새 키를 만들라는 것이었다.
이번 바이낸스 권고는 신뢰할 수 없는 출처의 앱 삭제가 첫 단계다. 그러나 FomoPeek 전례를 보면 출처가 공식 스토어라도 안심 기준이 되지 못한다. 두 사건은 같은 결함이 아니고, 이번 결함이 FomoPeek 수법과 같은지는 확인되지 않았다.
확인된 피해는 없는데 경고는 왜 이렇게 큰가
바이낸스 대변인은 이 버그로 지갑에 접근하거나 자금을 훔친 사례를 확인하지 못했다고 밝혔다. 동시에 파일 접근 위험은 iOS 생태계 전반에 해당할 수 있다고 했다.
피해가 확인되지 않은 상태에서 경고가 큰 이유는 결과가 되돌릴 수 없기 때문이다. 복구 문구가 한번 새면 지갑 전체가 열린다.
비용 부담도 비대칭이다. 의심되는 이용자는 깨끗한 기기에서 새 지갑을 만들어 자산을 옮겨야 하고, 이동 수수료와 주소 실수 위험은 본인 몫이다.
바이낸스는 11월 초 직원 기기 감염에서 시작된 것으로 알려진 63억 달러 규모 해킹의 손실을 자기가 흡수하고 영향 토큰의 98%를 보충했다고 밝혔다. 거래소 쪽 손실은 거래소가, 개인 기기 쪽 손실은 개인이 지는 구도다.
아이폰 지갑 보유자는 오늘 무엇을 점검하면 되나
바이낸스가 권고한 순서는 간단하다. 출처가 불분명한 앱을 지우고, iOS와 모든 앱을 최신 공식 버전으로 올린다.
이미 침해됐다고 의심되면 깨끗한 기기에서 새 지갑을 만들어 자금을 옮기라는 것이 바이낸스의 안내다. 의심이 없다면 급하게 옮길 근거가 이번 발표에는 없다.
추가로 볼 것은 두 가지다. 내 지갑 앱이 복구 문구를 기기 안에 암호화해 두는지, 그리고 복구 문구를 사진이나 메모처럼 기기 안에 평문으로 남겨 두지 않았는지다.
국내 거래소에 맡긴 자산이 이번 경고의 직접 대상인지는 확인하지 못했다. 경고가 겨냥하는 것은 기기에 저장된 시드와 개인키다. 이 글의 판단은 이렇다. 경고의 크기만큼 확인된 피해는 없지만, 패치 여부가 비어 있는 동안에는 기기 위생이 가장 확실한 방어선이다.
이 글은 가상자산 보안 이슈를 설명하는 정보 제공용 해설이며 투자 권유나 특정 지갑·거래소 이용을 권하는 글이 아닙니다. 취약점의 해결 여부와 실제 피해 범위는 확인되지 않았고 상황이 바뀔 수 있습니다. 자산 이동과 보안 조치에 대한 판단과 책임은 이용자 본인에게 있습니다.
거래소 이용 가이드바로가기
거래소별 조건과 이용 절차를 비교해 보세요. 제휴 링크가 포함될 수 있습니다.
제휴 고지: 이 페이지의 링크를 통해 가입하거나 거래하면 서학개미가 수수료를 받을 수 있습니다. 표시 순서는 운영자가 지정하며 투자 성과나 안전성을 보장하지 않습니다. 레버리지 거래는 원금보다 큰 손실이 날 수 있으며, 과거 수익과 자동매매 결과가 미래 수익을 보장하지 않습니다.
함께 보기
코인뉴스 최신
더보기스테이블코인 결제 45%↑, USDC 공급은 제자리인 이유
스테이블코인 총공급은 올해 1~9월 0.4% 늘어 약 3,050억 달러에 머물렀지만, 결제는 45% 늘어 4,820억 달러가 됐습니다. 새 코인이 아니라 기존 코인이 더 자주 돈 결과입니다. 다만 원시 전송 97.9조 달러 가운데 결제는 약 0.5%라서, 큰 거래량 숫자를 곧바로 결제 성장으로 읽을 수는 없습니다.
2일 전
퇴출 코인 장외거래, 팔았다가 계좌 정지된 이유
원화 거래소에서 퇴출된 코인은 KYC가 없는 장외 P2P 시장으로 거래 장소만 옮겨 계속 거래되고, 그 과정에서 보이스피싱 피해금이 섞여 들어와 일반 매도자의 계좌가 정지된다. 퇴출, 미신고 업자 명단 공개, 수사의뢰, 접속차단 요청은 모두 실제 거래 장소에 가장 늦게 닿는다. 10월부터 코인도 지급정지 대상이 되면서 P2P 거래자가 부담하는 위험은 더 커졌다.
2일 전
NeoxEX ECX 팔 수 있나, 거래는 열렸지만 하루 거래량은 약 35만5,000달러
비트코인 블록 973,728 시점에 개인키를 쥐고 있던 사람은 보유 BTC와 같은 수량의 ECX를 받았습니다. 하지만 꺼내서 팔려면 지원 지갑, 재전송 위험을 피하는 순서, 열려 있는 거래 경로가 모두 필요합니다. 11월 5일 시세는 32.63달러, 24시간 거래량은 약 35만5,000달러로 얇습니다.
3일 전
Gnosis Pay 정보 유출 무엇이 나갔나, 지갑 주인의 집 주소까지 노출됐다
Gnosis Pay는 11월 3일 구 소비자 카드 시스템 침해를 탐지했고, 카드번호·CVV·이름·집 주소·연결된 지갑 주소가 노출됐다고 밝혔습니다. 회사는 자금 피해가 없다고 했지만, 지갑 주소가 실명과 집 주소에 묶여 나간 것이 이번 사고의 실제 무게입니다.
3일 전
