SIM 스와프

약점은 거래소가 아니라 이동통신사입니다. 속거나 매수된 직원 한 명이면 몇 분 만에 번호를 넘길 수 있습니다. FBI는 2021년에 1,611건의 SIM 스와프 신고를 접수했고 피해액은 6,800만 달러를 넘었으며, 그 이전 3년을 합친 신고 건수는 320건이었습니다. 비트코인과 관련된 계좌 중 하나라도 문자 메시지로 복구할 수 있다면, 이동통신사가 사실상 여러분의 수탁자가 되는 셈입니다.

작동 방식

SIM 스와프는 고객이 아닌 사람이 처리하는 고객 서비스 업무입니다.

공격자는 정보 수집부터 시작합니다. 유출된 데이터베이스에서 이름, 주소, 생년월일, 카드 번호 마지막 네 자리를 얻습니다. 소셜 미디어에서 통신사가 여전히 묻는 지식 기반 답변의 나머지를 얻습니다. 가상자산 보유량을 공개적으로 자랑하는 행위에서 동기를 얻으며, 포트폴리오 스크린샷을 올리는 사람은 어딘가의 명단에 올라 있는 이유가 여기에 있습니다.

그다음이 번호 이동입니다. 경로는 세 가지이며 셋 모두 아직 쓰이고 있습니다. 그럴듯한 위조 신분증을 들고 매장에 직접 가는 것, 고객센터에 전화해 본인 확인 질문을 통과하는 것, 내부자를 매수하는 것입니다. 미국의 기소 사례에서는 통신사나 공인 판매점 직원이 건당 수백 달러를 받은 일이 반복해서 나왔으며, “우리 통신사는 절대 그러지 않는다”라는 말이 보안 모델이 될 수 없는 이유가 여기에 있습니다.

번호가 넘어가는 순간 여러분의 휴대전화는 서비스가 끊기고 공격자의 전화가 문자를 받기 시작합니다. 이어지는 순서는 늘 비슷합니다. 먼저 이메일입니다. 대부분의 서비스 제공자가 SMS로 재설정을 허용하고, 이메일은 나머지 모든 것의 마스터 키이기 때문입니다. 다음은 거래소이며, 여기서는 비밀번호 재설정과 SMS 일회용 코드만으로 충분한 경우가 많습니다. 그다음이 출금이며, 시각은 여러분 기준 새벽 3시입니다.

SMS는 애초에 이런 용도로 설계되지 않았고, 표준 기구들도 그렇게 밝혔습니다. 2017년에 발표된 NIST의 SP 800-63B는 공중 전화망으로 전달되는 일회용 코드를 “제한된” 인증 수단으로 분류하며, 이는 구현하는 쪽이 바로 이 공격의 위험을 받아들이고 공개해야 한다는 뜻입니다.

비트코인을 구매할 때 이것이 중요한 이유

이 사이트에서 리뷰하는 대형 거래소는 모두 SMS보다 나은 수단을 제공하지만, 이를 켜는 사람은 거의 없습니다.

Kraken은 FIDO2 보안 키와, 여러분이 의도적으로 잠금을 해제할 때까지 보안 및 출금 설정 변경을 동결하는 Global Settings Lock을 지원합니다. Coinbase는 보안 키와 패스키를 지원합니다. Binance, Bitstamp, Bitpanda는 모두 최소한 인증 앱 코드를 지원합니다. 하드웨어 보안 키는 사이트 도메인에 묶여 있어 피싱과 SIM 스와프를 모두 막을 수 있고 전화선으로 읽어 낼 수 없다는 점에서 이 가운데 가장 강력합니다.

사람들이 놓치는 단계는 두 번째입니다. 계좌를 여전히 문자로 복구할 수 있다면 인증 앱을 켜도 소용이 없으므로, 전화번호를 로그인 요소에서만 빼지 말고 복구 수단에서도 빼야 합니다. 2단계 인증 페이지가 아니라 계좌 복구 페이지를 확인하십시오.

통신사에 번호 이동 PIN이나 번호 이전 잠금을 요청하십시오. 미국에서는 2023년에 채택된 FCC 규정이 통신사에 번호를 이전하거나 SIM을 변경하기 전에 고객을 인증하고, 둘 중 하나가 요청되면 고객에게 알리도록 요구합니다. 그 알림이 경보입니다. 이유 없이 휴대전화 서비스가 끊긴다면 진행 중인 공격으로 보고 컴퓨터로 가십시오.

그다음은 어떤 거래소 설정으로도 고칠 수 없는 부분입니다. SIM 스와프는 어떤 회사가 여러분을 위해 보관하는 코인에만 닿을 수 있습니다. 하드웨어 지갑에 있는 비트코인에는 전화번호도, 계좌 복구 절차도, 설득할 수 있는 지원 상담원도 없습니다. 거래소에서 구매한 뒤 출금하십시오. 이 습관 하나면 거래 잔액을 제외한 모든 것에서 이 공격 유형 전체가 문제에서 사라집니다.

Terpin v. Truglia, 2,400만 달러짜리 전화 한 통

Michael Terpin의 사건은 기록이 남아 있는 사례이며, 그 안의 수치는 공개 법원 기록입니다.

2018년 1월 7일에 공격자들은 Terpin의 전화번호를 탈취하고 약 2,400만 달러어치의 가상자산을 빼냈습니다. 2019년 5월에 캘리포니아주 법원은 이 절도에 대해 Nicholas Truglia를 상대로 7,580만 달러의 판결을 내렸습니다. Truglia는 이후 연방 차원에서 기소되었고, 2022년 12월에 징역 18개월을 선고받고 약 2,040만 달러의 배상을 명령받았습니다. Terpin은 통신사 직원이 스와프를 가능하게 했다며 AT&T를 상대로 별도로 2.24억 달러 소송을 제기했습니다.

결말을 주의 깊게 읽으십시오. 교훈이 거기에 있습니다. 수년간의 소송이 낳은 것은 판결이지 코인이 아닙니다. 배상 명령은 유죄 판결을 받은 사람에게 남아 있는 자산에 대한 청구권이며, 이미 옮겨지고 섞인 비트코인은 그 자산에 들어 있지 않습니다. 도난당한 가상자산의 회수율은 도난당한 신용카드의 회수율이 아닙니다.

SIM 스와프 vs 피싱

SIM 스와프와 피싱 공격은 둘 다 다른 사람이 여러분의 계좌에 로그인하는 것으로 끝나지만, 여러분에게 요구하는 것이 다릅니다. 피싱은 여러분의 실수를 필요로 합니다. 링크를 누르거나, 코드를 잘못된 칸에 입력하거나, 가짜 지원 상담원을 믿는 것입니다. SIM 스와프는 여러분에게 아무것도 요구하지 않으며, 보통 여러분이 잠든 사이 협탁 위에 화면을 아래로 둔 휴대전화에 신호가 뜨지 않는 동안 일어납니다. 보안 인식 교육은 전자에 도움이 되고 후자에는 쓸모가 없습니다.

SIM 스와프 vs 2단계 인증

2단계 인증은 방어이고, SIM 스와프는 그 취약한 한 가지 형태를 무너뜨리는 공격입니다. 흔한 세 가지 구현은 서로 동등하지 않습니다. SMS 코드는 통신사 직원이 제 일을 해 주는 데 의존하며, 여기서 표적이 되는 것이 바로 이것입니다. 인증 앱 코드는 여러분의 기기에 있고 SIM 스와프를 견디지만, 그럴듯한 가짜 로그인 페이지로 여전히 전달될 수 있습니다. 하드웨어 보안 키는 여러분이 통신하고 있는 실제 도메인에 서명하므로 둘 다 견딥니다. “2FA가 켜져 있음”을 답으로 고르면 유일하게 중요한 질문, 즉 어느 종류인지를 건너뛰는 것입니다.