"공짜 NFT 드려요" 클릭했다가 내 가상자산 지갑 다 털린다

이스트시큐리티 'NFT 프리민팅' 유인 공격 주의보

[머니투데이 황국상 기자] 이스트시큐리티 'NFT 프리민팅' 유인 공격 주의보

NFT 프리민팅 안내 메일로 위장한 피싱 메일 / 사진제공=이스트시큐리티

공짜로 NFT(대체불가토큰)을 준다는 식으로 이용자를 유인해 이용자의 가상자산 지갑에 들어 있는 코인 등 가상자산을 털어가는 공격이 확인돼 이용자들의 주의가 요구된다.

이스트시큐리티는 최근 'NFT 프리민팅'을 주제로 대규모로 유포되고 있는 피싱 메일에 대한 주의를 당부하며 5일 이같이 밝혔다.

NFT란 가상자산의 일종으로 최근 수년간 인기를 끈 바 있다. 각 기업들도 NFT 발행 대열에 동참하기도 했다. 이번에 확인된 일련의 공격에서 공격자들은 실제 발행된 벨리곰, 스타벅스 등 인기 NFT를 주제로 삼아 이용자들을 현혹시켰다.

실제 스타벅스의 경우 올 3월 '스타벅스 오디세이'라는 최초의 한정판 NFT를 발행해 시장의 호응을 얻은 바 있다. '스타벅스코리아'라는 이름으로 발송된 메일에서 공격자는 "안녕하세요 스타벅스입니다. 스타벅스가 첫 프리미엄 NFT 사이렌 컬렉션을 출시했습니다"라며 "사이렌 컬렉션은 스타벅스를 상징하는 2000개 아이템으로 구성돼 있고 본 NFT의 거래 및 이용을 장려하기 위해 프리민팅 이벤트를 진행한다"고 했다.

또 "지갑을 연결하고 사용자임을 서명하면 선착순에 따라 1지갑당 최고 2개씩 프리로 민트된다"고 유인했다.

이스트시큐리티는 "사용자가 이메일을 클릭하면 실제 공식 사이트에서 발송한 것처럼 위장한 메일과 함께 '참여하기' 버튼이 보인다"며 "사용자가 이메일 내 버튼을 누르면 공격자가 제작해 둔 피싱 페이지로 연결된다"고 했다.

또 "페이지 접속 시 QR 코드를 보여주고 브라우즈에 가상자산 지갑 플러그인이 설치돼 있을 때 자동연결도 가능하도록 구현, 사용자들의 지갑 연결을 유도한다"며 "사용자들의 가상자산 지갑이 피싱 페이지와 연결되면 지갑 내에 있는 가상화폐들이 모두 공격자에게 탈취당한다"고 했다.

프리민팅 페이지로 위장한 피싱 페이지 화면 / 사진제공=이스트시큐리티

대개 NFT 프리민팅은 구매 비용은 없지만 수수료 개념인 '가스비'를 지불해야 하기 때문에 이용자들은 프리민팅 참여시 큰 의심을 하지 않고 지갑을 연결하곤 했다. 이같은 관행을 악용한 것이다.

ESRC(이스트시큐리티 시큐리티 대응센터) 관계자는 "기업들의 NFT 사업 진출이 보편화 되고 사용자들의 가상자산 투자 참여가 높아지면서, 가상자산 탈취를 목적으로 하는 공격들도 점점 증가할 것으로 예상된다"며 "NFT 프로젝트의 사이트 주소가 올바른지 잘 확인해 접속해야 한다."고 당부했다.

황국상 기자 gshwang@mt.co.kr

ⓒ 머니투데이 & mt.co.kr, 무단 전재 및 재배포 금지