"앱 하나 잘못 깔았다가 코인 통째로 털린다"…빗썸, 가짜 거래 앱 주의보

[한국금융신문 김희일 기자] 최근 가상자산 투자자를 노린 '가짜 거래 앱' 사기가 갈수록 교묘해지면서 투자자들의 각별한 주의가 요구되고 있다. 정상 앱과 구별하기 어려울 정도로 정교하게 만든 가짜 앱 하나 때문에 수천만원에서 수억원 상당의 가상자산을 한순간에 잃는 사례도 잇따르고 있다.

13일 빗썸은 정보보호 캠페인의 일환으로 가짜 거래 앱 사기 예방 가이드를 공개하며 "이제는 공식 앱 마켓에 등록된 앱이라고 해서 무조건 안심할 수 있는 시대가 아니다"라며 이용자들의 경각심을 일깨웠다.

최근 등장하는 가짜 앱은 과거처럼 조악한 수준이 아니다. 실제 거래소 앱의 이름과 로고, 화면 구성까지 그대로 복제한 뒤 정상적으로 작동하는 것처럼 보이다가 업데이트를 통해 악성 기능을 심는 방식으로 진화하고 있다. 조작된 이용 후기와 높은 평점을 앞세워 공식 앱처럼 신뢰를 얻는 사례도 적지 않다.
실제 피해는 생각보다 치명적이다. 투자자가 가짜 가상자산 지갑 앱을 설치한 후 지갑 복구용 시드 구문(Seed Phrase)을 입력하는 순간 범죄 조직이 해당 지갑을 그대로 복원해 보유 중인 가상자산을 모두 빼가는 수법이 대표적이다. 한 번 유출된 시드 구문은 사실상 변경이 불가능해 피해 회복이 어렵다.

가상자산은 물론 개인정보까지 노리는 사례도 있다. 공공기관이나 금융기관의 공식 앱을 사칭한 가짜 앱은 설치 후 연락처와 문자메시지, 통화 기록 등 각종 권한을 요구한 뒤 스마트폰을 원격 조작하거나 개인정보를 탈취하는 방식으로 피해를 확대하고 있다.

업계에서는 가짜 앱이 설치되는 순간 계정 정보와 자산을 동시에 노릴 수 있어 기존 피싱 문자보다 피해 규모가 커질 수 있다며 투자자들의 각별한 주의를 당부하고 있다.

빗썸은 이 같은 피해를 막고자 앱 설치 경로를 반드시 확인해야 한다고 강조했다. 검색 광고나 문자메시지에 포함된 링크를 무심코 누르기보다 거래소 공식 홈페이지에서 제공하는 링크나 QR코드를 이용하는 것이 안전하다. 또한 개발사명이 공식 회사명과 일치하는지 확인하고, 거래와 무관한 연락처·문자·통화 권한을 과도하게 요구하는 앱은 즉시 설치를 중단해야 한다고 설명했다.

설치 후 스마트폰 배터리 소모가 갑자기 심해지거나 데이터 사용량이 급증하는 경우에도 악성 앱 감염을 의심할 필요가 있다.
이미 가짜 앱을 설치했거나 실행했다면 즉시 와이파이와 모바일 데이터를 차단하고 다른 기기를 이용해 빗썸 계정 비밀번호를 변경하고 2단계 인증(2FA)을 다시 설정해야 한다. API 키를 삭제하고 등록된 출금 주소도 점검하는 등 추가 피해를 막기 위한 조치도 신속하게 진행하는 것이 중요하다.

만약 계정에서 본인이 하지 않은 거래가 확인된다면 즉시 빗썸 투자자보호센터를 통해 계정을 동결하고, 감염된 스마트폰은 백신 프로그램으로 정밀 검사를 받거나 초기화를 진행해야 한다. 해킹이나 악성코드 피해는 한국인터넷진흥원(KISA) 118 상담센터, 사이버 범죄는 경찰청, 금융사기는 금융감독원을 통해 도움을 받을 수 있다.

빗썸 관계자는 "가짜 앱 사기는 공식 마켓의 신뢰를 악용할 만큼 수법이 빠르게 진화한다"며 "앱을 설치하기 전에 공식 출처와 개발사명을 확인하는 작은 습관이 소중한 자산을 지키는 가장 확실한 방법이다"고 말했다.

한편 빗썸은 매월 둘째 주 수요일을 '정보보호의 날'로 지정해 고객과 임직원을 대상으로 정보보호 캠페인을 진행하고 있으며, 앞으로도 가상자산 투자자를 노린 신종 금융사기 예방 활동과 보안 교육을 지속적으로 강화해 나갈 계획이다.

김희일 한국금융신문 기자 heuyil@fntimes.com