지갑 추적 프로그램으로 위장한 악성 패키지 — 수집한 지갑 정보를 디스코드로 전송

가상자산 지갑을 추적해 주는 도구처럼 보이는 소프트웨어에 정보 탈취 기능이 숨겨진 사례가 나왔다. 파이썬 패키지 저장소 파이파이(PyPI)에 올라온 'wallet-tracking' 패키지가 대상으로, 설치된 컴퓨터에서 지갑 관련 정보를 모은 뒤 공격자가 관리하는 디스코드 웹훅 주소로 보내도록 만들어졌다. 웹훅은 정해진 주소로 데이터를 자동 전송하는 기능이어서, 공격자는 별도 서버를 운영하지 않고도 수집 결과를 받아볼 수 있다. 패키지 안에서는 실제 작동하는 웹훅 주소와 설정되지 않은 예시 주소가 함께 발견됐고, 보안 분석은 이를 기존 정보 탈취 악성코드의 틀을 그대로 가져다 쓴 정황으로 봤다.

시간 순서를 보면 보안 분석가 웜사인(wormsign)이 5월 30일 처음 관측했고, 11월 2일 깃허브 보안 권고 데이터베이스에 등록된 뒤 4일 정보가 갱신됐다. 깃허브는 이 패키지의 모든 배포 버전에 악성코드가 포함돼 있으며 악성코드를 제거한 안전한 버전은 공개되지 않았다고 밝혔다. 즉 '최신 버전으로 올리면 된다'는 대응이 통하지 않는 유형이다. 다만 설치 이용자가 얼마나 되는지, 수집된 정보로 실제 자산이 빠져나갔는지는 확인되지 않았다.

이용자가 볼 지점은 수법의 구조다. 거래소 계정을 뚫는 방식이 아니라, 포트폴리오·지갑 관리를 돕는다는 명목의 프로그램을 이용자가 스스로 설치하게 만든다. 설치 주체가 본인이므로 거래소 보안 설정이나 2단계 인증으로는 막히지 않는다. 지갑 추적·수익률 계산 같은 도구를 쓸 때는 배포처와 패키지 이름을 확인하고, 개인키·복구단어(시드 구문)를 입력하거나 보관하는 기기에서는 출처가 불확실한 패키지를 설치하지 않는 편이 안전하다. 이미 설치했다면 해당 지갑을 계속 쓰기보다 자산을 다른 지갑으로 옮기는 것이 수집된 정보의 가치를 없애는 방법이다.