[태그:] 비트코인

애플이 앱스토어에서 가짜 코인 지갑 앱을 걸러내지 못했다는 이유로 소송을 당했다. 피해자는 세 명. 이들이 날린 돈만 180만 달러가 넘는다. 문제는 애플만의 일이 아니라는 것. 구글 플레이든 앱스토어든, 정식 마켓에 올라와 있다고 안전이 보장되지는 않는다.

코인 지갑 앱을 새로 깔려는 사람이든, 지금 쓰는 지갑이 왠지 찜찜한 사람이든 — 한 번은 짚고 넘어가야 할 체크리스트를 정리했다. 피싱 지갑 앱에 시드 문구를 입력했다가 몇 시간 만에 지갑이 텅 비었다는 사례, 커뮤니티에 꾸준히 올라온다. 남 일 같지 않다.

가짜 지갑 앱이 정식 마켓까지 뚫고 들어오는 방법

애플 앱스토어는 하루에도 수천 건씩 앱을 심사한다. 심사관 한 명이 앱 하나하나 코드를 전부 뜯어보는 건 현실적으로 불가능하다. 사기 앱 개발자들은 이 빈틈을 정확히 파고든다.

• 처음엔 평범한 계산기나 유틸리티 앱으로 심사를 통과시킨 뒤, 업데이트로 악성 기능을 슬쩍 끼워 넣는 수법
• 메타마스크, 트러스트월렛처럼 이름값 있는 지갑과 아이콘·이름을 거의 똑같이 베끼는 수법
• 가짜 리뷰와 평점을 대량으로 채워 신뢰도를 부풀리는 수법

테크크런치가 전한 사례를 보면, 이런 식으로 만들어진 가짜 지갑 앱 하나에 세 사람이 180만 달러 넘게 잃었다. 심사를 통과했다는 것과 안전하다는 것, 이 둘은 별개다.

다운로드 전에 확인해야 할 체크포인트

지갑 앱은 은행 앱보다 훨씬 위험하다. 은행은 문제가 생기면 보상이라도 해준다. 블록체인 지갑은 한 번 털리면 되돌릴 방법이 없다. 설치 전 아래 항목만 확인해도 사기 앱 대부분은 걸러진다.

• 개발자 이름 — 공식 홈페이지에 적힌 법인명·개발사명과 앱스토어 등록 정보가 일치하는지 대조
• 출시일과 업데이트 이력 — 만든 지 며칠 안 된 앱이 유명 지갑 이름을 달고 있다면 의심
• 리뷰 내용 — 별점은 높은데 리뷰 문장이 어색하거나 서로 비슷하면 가짜 리뷰일 가능성
• 공식 링크 대조 — 지갑 프로젝트 공식 SNS나 홈페이지에 걸린 다운로드 링크와 실제 URL이 같은지 확인
• 다운로드 수 대비 리뷰 수 — 다운로드는 많은데 리뷰가 거의 없거나, 반대로 리뷰만 몰려 있는 경우 둘 다 의심

진짜 지갑과 가짜 지갑, 실전 구별법

이름이나 아이콘만 봐서는 답이 안 나온다. 실제 사용 화면에서 갈리는 지점들이 따로 있다.

• 정식 지갑 앱은 설치 직후 시드 문구부터 요구하지 않는다. 새 지갑을 만들지, 기존 지갑을 복구할지를 사용자가 직접 선택하게 한다
• 필요 이상의 권한(연락처, 사진첩, 위치 등)을 요구하면 일단 의심하는 게 맞다
• 번역이 어색하거나 오탈자가 많은 UI는 국내외를 막론하고 사기 앱에서 흔히 보인다
• 개발사 연락처나 고객센터가 없거나, 있어도 텔레그램 채널 하나뿐이라면 위험 신호

심사 통과 = 안전, 이 공식부터 의심하자

애플은 오랫동안 앱스토어 심사를 안전의 근거로 내세워왔다. 하지만 하드웨어 지갑 업체 트레저(Trezor)를 사칭한 피싱 앱이 앱스토어에 버젓이 올라와 있던 적도 있다. 명백한 악성코드나 저작권 침해라면 심사에서 걸러진다. 정교하게 위장한 피싱 지갑까지 매번 잡아내긴 어렵다는 게 현실이다.

개인적으론 마켓 심사를 1차 필터 정도로만 보는 게 맞다고 본다. 최종 판단은 결국 설치하는 사람 몫이다.

이미 의심스러운 앱을 설치했다면

지금 쓰는 지갑이 못 미덥다면, 순서대로 움직이는 게 낫다.

• 해당 앱이 깔린 기기를 즉시 와이파이·데이터 연결에서 끊는다
• 다른 안전한 기기에서 공식 지갑 앱을 새로 설치하고, 새 시드 문구로 지갑을 새로 만든다 (기존 시드 재사용 금지)
• 남은 자산이 있다면 새 지갑 주소로 즉시 옮긴다
• 의심 앱은 삭제하고, 애플이나 구글에 신고 절차를 밟는다
• 피해 금액이 크다면 거래 내역을 캡처해 두고 관할 경찰서 사이버수사대나 관련 기관에 신고를 검토한다

코인 지갑, 가장 안전하게 받는 방법

가장 확실한 방법은 마켓 검색창 대신 지갑 프로젝트 공식 홈페이지에서 다운로드 링크를 직접 누르는 것. 검색으로 접근하면 광고나 가짜 사이트에 낚일 여지가 있다. 공식 홈페이지 링크를 타고 들어가면 그럴 일이 줄어든다.

• 보관 금액이 크다면 하드웨어 지갑을 병행하는 편이 낫다. 인터넷과 분리된 저장 방식이라 피싱 앱 자체가 무력화된다
• 모바일보다 데스크톱 브라우저 확장 프로그램 지갑이 상대적으로 검증하기 쉽다. 오픈소스 코드와 체크섬을 확인할 수 있는 경우가 많다
• 큰돈은 한 지갑에 몰아넣지 말고 용도별로 나눠 관리하는 습관도 도움이 된다

자주 나오는 질문들

Q. 앱스토어에 올라와 있으면 애플이 어느 정도는 보증하는 셈 아닌가요?
보증이라기보다 최소한의 필터라고 보는 게 정확하다. 이번 소송 자체가 그 필터가 뚫렸을 때 책임이 누구에게 있느냐를 다투는 사안이다.

Q. 하드웨어 지갑을 쓰면 완전히 안전한가요?
기기 자체의 보안은 높다. 다만 가짜 지갑 관리 앱이나 피싱 사이트에 시드 문구를 입력하는 실수는 여전히 나온다. 시드 문구가 노출되는 순간 무력화되는 건 하드웨어 지갑도 마찬가지다.

Q. 이미 피해를 봤다면 돈을 돌려받을 방법이 있나요?
블록체인 특성상 이체 자체를 되돌리기는 거의 불가능하다. 다만 마켓 운영사의 관리 소홀이 인정되면 소송을 통한 손해배상 청구를 시도하는 사례는 있다. 결과가 나오기까지 오래 걸리고 승소가 보장되지도 않는다는 점은 감안해야 한다.

출처: TechCrunch

WSJ가 폭로한 내용은 꽤 노골적이다. 폴리마켓이 크리에이터들에게 돈을 주고, 실제 베팅 한 번 없이 “이겼다”며 환호하는 영상을 소셜미디어에 올리게 했다. WSJ가 직접 확인한 이런 연출 영상만 1,100개 이상. 계약에 응한 크리에이터들은 유료 협찬이었다고 직접 인정했다.

WSJ가 밝혀낸 것들

의혹 수준이 아니었다. 기자들이 영상 속 크리에이터들을 직접 접촉해서 확인을 받았다. 이들은 폴리마켓 측에서 돈을 받았지만, 영상 어디에도 “이 콘텐츠는 광고입니다”라는 문구가 없었다. 미국 FTC 규정상 유료 협찬 콘텐츠엔 반드시 광고임을 명시해야 하는데—이 기본을 안 지킨 거다.

영상 패턴은 거의 동일했다. 폴리마켓 앱을 열고, 베팅하는 척 탭하고, 환호한다. 댓글에는 “나도 해볼까”, “진짜 돈 땄어?” 같은 반응이 달렸다. 그게 폴리마켓이 원한 그림이었다.

폴리마켓이 뭐냐면

블록체인 기반 예측 시장 플랫폼이다. 실제 돈—주로 USDC 스테이블코인—을 걸고 특정 사건 결과를 맞히는 구조인데, “트럼프가 2024년 대선에서 이길까?”, “연준이 이번 달 금리를 내릴까?” 같은 질문에 베팅하는 식이다.

2024년 미국 대선 때 폴리마켓이 트럼프 당선 확률을 일찌감치 높게 유지했고, 결과가 맞아떨어지면서 주류 미디어에서도 ‘집단 지성 지표’로 인용하기 시작했다. 누적 거래액은 수십억 달러. 미국 거주자에게는 서비스를 제공하지 않지만, 현재 전 세계에서 가장 큰 예측 시장 플랫폼이다.

가짜 영상이 더 나쁜 이유

일반 제품 뒷광고랑은 층위가 다르다. 예측 시장의 신뢰 근거는 딱 하나다—”실제로 돈이 걸려 있다.” 틀리면 실제 손실이 생기니까 인터넷 여론조사나 전문가 예측과 다르다는 거다. 이게 예측 시장을 단순 설문과 구분 짓는 유일한 근거인데, 가짜 베팅 영상은 이걸 두 번 훼손한다.

실제로 이기는 사람이 많다는 착각을 심어 신규 이용자를 끌어들이고, 더 나아가 소셜미디어 알고리즘을 통해 특정 베팅 방향으로 군중을 유도할 여지도 생긴다. 솔직히 이쯤 되면 예측 시장인지 마케팅 퍼널인지 구분이 안 된다.

• 광고 미표시로 FTC 규정 위반 가능성
• 가짜 승리 연출로 이용자 판단 오도
• 예측 시장 신뢰도 자체에 타격
• 크리에이터도 법적 책임에서 자유롭지 않음

규제 당국이 가만있을까

WSJ 보도가 나간 시점에 폴리마켓은 공식 반박을 내놓지 않았다. 업계에서는 타이밍이 최악이라는 말이 나온다. 여러 국가에서 예측 시장 합법화·제도화를 논의하는 분위기인데, 이번 폭로가 “결국 도박 플랫폼 아닌가”라는 반감에 기름을 붓는 격이다.

인플루언서 마케팅 자체는 합법이다. 다만 금융 상품이나 도박 서비스와 결합되면 훨씬 엄격한 기준이 적용된다. SEC가 크립토 인플루언서들을 잇따라 제재한 선례가 있는 만큼, 이번 건을 그냥 넘길 가능성은 낮다.

국내 투자자와 크립토 커뮤니티가 봐야 하는 이유

폴리마켓이 국내 서비스를 제공하지 않아도, 이 사태가 던지는 교훈은 국내와 직결된다. 국내에서도 가상자산 거래소 인플루언서 마케팅과 특정 코인 홍보 영상이 넘쳐나는데—광고 여부를 표시하지 않는 경우가 비일비재하다.

예측 시장 자체도 전 세계적으로 팽창 중이다. 국내에서도 주요 선거 전후로 예측 플랫폼에 대한 관심이 높아졌고, 일부 스타트업이 관련 서비스 출시를 준비 중이라고 알려졌다. 폴리마켓 사태는 그 출발점에서 어떤 투명성 기준이 필요한지를 보여주는 반면교사다.

소셜미디어에서 “이 플랫폼으로 얼마 벌었다”는 영상이 눈에 들어왔을 때, 댓글 반응만큼이나 중요한 건 그 계정이 해당 플랫폼과 어떤 관계인지다. 1,100개의 가짜 영상이 쌓이는 동안 아무도 몰랐다는 것 자체가, 이 영역에서의 미디어 리터러시가 얼마나 부족한지를 드러낸다.

출처: The Verge

블록체인 기반 투자 시장이 커지면서, 그 뒤를 바짝 쫓는 것들이 있다. 사기꾼들이다. 가짜 코인 발행이나 지갑 해킹 정도는 이제 구식이고, 사기 자체를 서비스로 제공하는 블랙마켓이 활성화된 지 꽤 됐다. 고수익 미끼 뒤에 함정이 있다는 건 알면서도, 막상 ‘이건 다르다’는 확신이 들면 판단이 흐려진다. 그래서 문제다.

사기를 돕는 시장, 그 실체

과거엔 사기꾼이 개인 투자자에게 직접 접근하는 방식이 대부분이었다. 이제는 구조가 다르다. 사기 행위를 조직적으로 돕는 음성적인 서비스 시장이 별도로 존재한다. ‘검증된 투자처’라거나 ‘안전한 거래를 보장한다’는 명목으로 접근하는 플랫폼들이 여기에 해당한다.

이들이 실제로 하는 일은 표면과 다르다. 사기 프로젝트에 신뢰도를 붙여주거나, 피해자가 자금을 회수하지 못하게 막는 데 협조한다. 가짜 신분, 조작된 거래 내역, 피해자 개인 정보까지 사고파는 구조다. Wired가 전한 바에 따르면 이런 블랙마켓 생태계는 이미 수백억 달러 규모의 자금 세탁과 맞물려 있다. 알고 나면 소름 돋는 수준의 분업이다.

꼭 알아야 할 스캠 유형 4가지

• 피싱(Phishing) 및 스푸핑(Spoofing): 가장 오래됐지만 아직도 효과적이다. 유명 거래소, 지갑 서비스, 인기 프로젝트를 정교하게 사칭한 가짜 사이트나 앱을 만들어 로그인 정보를 낚는다. 텔레그램·디스코드·이메일로 공지를 위장한 링크를 뿌리는 방식도 흔하다. 공식 주소처럼 생겼어도 URL 한 글자 차이로 전혀 다른 사이트일 수 있다. 클릭 전에 주소창을 한 번 더 보는 습관, 진짜로 중요하다.
• 러그 풀(Rug Pull): 신규 프로젝트에서 자주 터진다. 팀이 그럴듯한 백서와 로드맵을 내세워 투자금을 끌어모은 뒤, 프로젝트를 갑자기 닫고 자금을 들고 잠적하는 수법이다. DeFi 생태계에서는 유동성 풀을 구성한다는 명목으로 자금을 모은 뒤 풀을 통째로 빼가는 패턴이 대표적이다. 팀원 신원 불분명, 불투명한 자금 운용, 비현실적인 수익률 약속 — 이 세 가지가 겹치면 일단 의심해야 한다.
• 펌프 앤 덤프(Pump & Dump): 특정 코인 가격을 인위적으로 띄운 뒤 폭락시켜 수익을 빼가는 방식이다. 소셜 미디어 ‘정보방’, ‘리딩방’에서 특정 코인을 집중 추천하며 매수를 유도하고, 가격이 충분히 오르면 미리 쌓아둔 물량을 한꺼번에 던진다. 가격은 수직 낙하하고, 마지막에 들어온 일반 투자자만 손실을 떠안는다. ‘내부 정보’, ‘확실한 급등’ — 이 단어가 나오면 이미 덫이 놓인 거라 봐야 한다.
• 로맨스 스캠 및 원격 투자 사기: 감정을 이용한다는 점에서 가장 악질이다. 온라인에서 친분을 쌓고 연인 관계인 척 신뢰를 얻은 뒤, ‘비밀 투자 기회’라며 검증되지 않은 플랫폼으로 유도한다. 처음엔 소액 수익을 보여주며 안심시키고, 점차 큰돈을 요구한다. 피해자 컴퓨터에 원격 제어 프로그램을 설치해 직접 거래를 조작하는 경우도 있다. 감정이 개입된 순간, 판단력은 반쪽 이하가 된다.

사기꾼들이 파고드는 심리

기술적 취약점만 노리는 게 아니다. 사람의 심리를 먼저 건드린다. 핵심은 FOMO(Fear Of Missing Out)다. ‘나만 뒤처지는 건 아닐까’라는 조급함이 비이성적인 판단으로 이어진다. 단기 고수익 환상, 복잡한 기술에 대한 이해 부족도 빌미가 된다.

‘전문가’, ‘내부 정보’를 앞세운 접근이 통하는 것도 같은 이유다. 정보가 부족한 상태에서 확신에 찬 누군가를 만나면 쉽게 기대게 된다. 거기에 ‘지금 아니면 기회 없다’는 시간 압박까지 더해지면 — 이건 교과서적인 사기 패턴이다. 의심할 시간을 주지 않는 게 목적이다.

자산을 지키는 실제 방법

• 정보 검증을 먼저: 투자 전에 백서, 팀원 경력, 로드맵, 개발 진행 상황, 커뮤니티 활동을 직접 확인해야 한다. 팀원 이름을 검색했을 때 아무 정보도 안 나온다면, 그것만으로도 신호다.
• 공식 채널 외엔 믿지 마라: 정보는 공식 웹사이트, 공식 SNS, 공식 커뮤니티 채널에서만 확인한다. 텔레그램이나 디스코드에서 먼저 DM을 보내거나, 링크 클릭을 유도하는 메시지는 일단 차단 대상이다.
• ‘원금 보장’은 사기다: ‘확실한’, ‘초고수익’, ‘원금 보장’이라는 말이 나오면 99% 사기라고 봐도 된다. 리스크 없는 고수익 상품은 존재하지 않는다. 이 진리는 암호화폐 시장에서도 예외가 없다.
• 시드 문구는 절대 공유 금지: 지갑의 비밀번호, 시드 문구(Seed Phrase), 개인키(Private Key)를 묻는 행위는 100% 사기다. 어떤 이유로도, 누구에게도 알려줄 필요가 없다.
• 출처 모를 링크·파일은 열지 마라: 이메일이나 메시지에 달린 불분명한 링크, 첨부 파일은 클릭 전에 멈춰야 한다. 피싱이나 악성코드 감염 경로가 대부분 여기서 시작한다.
• 처음엔 소액으로: 새로운 투자처는 잃어도 되는 금액으로 먼저 테스트하는 게 맞다. 플랫폼의 실제 작동 방식과 출금 과정을 소액으로 확인한 뒤 규모를 키우는 순서가 현명하다.
• 콜드월렛 활용: 장기 보관 예정 자산은 인터넷에 연결되지 않는 콜드월렛에 옮겨두는 게 좋다. 해킹 경로 자체를 차단하는 방법이다.

피해가 의심될 때 할 일

사기 피해가 의심되는 순간, 속도가 중요하다. 먼저 해당 플랫폼과의 모든 접속을 즉시 끊는다. 그다음은 증거 확보다. 대화 내역, 입출금 기록, 사기 사이트 URL, 메신저 프로필 — 캡처할 수 있는 건 다 저장해 둬야 한다.

증거가 모이면 관계 기관에 신고한다. 경찰청(국번 없이 112 또는 사이버범죄 신고 시스템), 금융감독원(불법 사금융 피해 신고센터), 한국인터넷진흥원(KISA) 세 곳이 주요 창구다. 블록체인 상의 자금 흐름은 추적이 가능한 경우도 있으니, 블록체인 분석 전문 업체나 암호화폐 커뮤니티에 도움을 구하는 것도 방법이다. 포기하기 전에 일단 신고부터다.

스스로 공부한 사람이 결국 살아남는다

암호화폐 시장은 변동성도 크고 규제 공백도 아직 넓다. 사기꾼들이 활동하기 좋은 조건이다. 투자자의 불안과 탐욕 사이 어딘가를 정확히 파고든다.

방어 수단은 단순하다. 투자 지식과 신중함이다. ‘남들도 다 한다’는 이유로 따라가는 투자는 결국 누군가의 수익이 된다. 직접 공부하고, 직접 검증하고, 스스로 판단한 투자만이 리스크를 통제한다. 정보를 가려보는 안목 — 그게 암호화폐 투자에서 가장 현실적인 무기다.

출처: Wired