안랩이 확인한 기업 사칭 의심 도메인 12개, 처음처럼 관련 지갑엔 입금 5건

• 목록
• 신고

안랩 시큐리티 인텔리전스 센터(ASEC)가 10월 28일 두산로보틱스와 소주 브랜드 '처음처럼' 등 국내 기업을 사칭한 의심 도메인 12개를 확인했다고 공개했습니다. 이 가운데 온라인 상담 채팅으로 테더(USDT) 송금을 유도한 정황이 포착된 사이트가 있습니다. 처음처럼 사칭 사이트와 연계된 지갑에서는 테더 입금 5건과 출금 3건이 관측됐습니다.

배경: 어떻게 발견됐나

보안 연구진은 원격접근형 악성코드 '밸리랫(ValleyRAT)'의 서버 인프라를 추적하다 이 도메인들을 찾았습니다. 원격접근형 악성코드는 감염된 기기를 멀리서 조종할 수 있게 하는 프로그램입니다. 도메인은 인터넷 사이트의 주소 이름입니다.

과거 웹사이트 관측 기록과 페이지 제목을 토대로 11개를 식별했고, 추가 탐색에서 연관 가능성이 있는 1개를 더 확인했습니다. 도메인 12개 모두에서 송금이나 피해가 발생했다는 뜻은 아닙니다.

자세한 내용: 사이트는 어떤 모습이었나

사이트들은 실제 기업의 로고, 홍보 영상, 소개 자료를 가져와 공식 홈페이지처럼 꾸몄습니다. 초대 코드로 가입하고 로그인하는 기능이 있었고, 수수료 내역 조회와 VIP 등급, 가상자산 입출금 기능도 갖췄습니다.

송금 안내는 온라인 상담 채팅으로 이뤄졌습니다. 상담 창은 달러 가치에 연동되는 코인인 테더로 결제하라며 트론(TRON) 네트워크 기반의 지갑 주소를 알려 줬습니다. 네트워크는 코인이 오가는 길이라고 보면 됩니다. 송금한 뒤에는 거래 화면을 캡처해 제출하라고 요구했습니다.

안랩이 처음처럼 사칭 사이트와 연계된 트론 지갑을 분석하니 테더 입금 5건과 출금 3건이 나왔습니다. 입금 5건은 모두 같은 외부 지갑에서 들어왔습니다. 이 외부 지갑이 과거부터 받은 테더 누적액은 약 1300만 USDT입니다.

숫자를 읽을 때 조심할 점

약 1300만 USDT는 그 외부 지갑이 받은 전체 누적액입니다. 이번 사칭 사이트의 거래액이나 실제 피해액이 아닙니다.

안랩은 관측된 자금이 실제 금융 사기에서 발생했는지는 입증되지 않았다고 밝혔습니다. 또 현재까지 밸리랫 악성코드 운영과 사칭 웹사이트, 확인된 지갑 사이의 직접적인 운영 연관성은 확인되지 않았다고 밝혔습니다.

코인 투자자에게 어떤 의미인가

국내 이용자에게는 익숙한 기업 이름이 코인 송금 요구와 함께 나올 때 일단 멈춰 봐야 한다는 점을 보여 주는 사례일 수 있습니다. 유명 기업의 로고와 영상이 있어도 그 사이트가 진짜라는 보장은 되지 않습니다.

다음 순서로 확인해 보면 좋습니다.

• 주소창의 도메인이 기업이 실제로 쓰는 공식 주소와 같은지 봅니다. 메신저로 받은 링크보다 공식 채널을 통해 들어가는 편이 안전합니다.
• 일반적인 기업 상품 결제인데 코인 송금만 안내하는지 살펴봅니다.
• 상담 채팅이 지갑 주소를 주고 송금 캡처를 요구하는지 확인합니다.
• 초대 코드나 VIP 등급으로 참여를 재촉하는 구조인지 봅니다.

코인은 한 번 보내면 되돌리기 어렵습니다. 국내 거래소에서 해외 지갑으로 출금할 때도 받는 곳이 어떤 곳인지부터 확인하는 습관이 필요합니다.

이번 건은 피해액이 확정된 것이 아니라 의심 도메인과 지갑 흐름이 관측된 단계입니다. 안랩이나 수사기관의 추가 발표가 있는지 함께 지켜보면 좋습니다.

출처: 블록미디어 - 두산로보틱스·처음처럼까지 사칭…USDT 송금 유도한 가짜 사이트 12곳 발견 · 토큰포스트 - 안랩, 기업 사칭 테더 송금 유도 도메인 12개 확인