사회공학

이런 공격에서는 사람의 판단력 말고는 아무것도 깨지지 않습니다. 공격자는 고객만큼이나 직원을 노립니다. 2020년 7월 15일에 Twitter 직원들을 겨냥한 전화 공작은 130개의 계정에 도달했고 단 한나절 만에 약 12.86 BTC를 거둬들였습니다. 확인된 비트코인 결제는 되돌릴 수 없기 때문에, 사기 전체는 한 번만 성공하면 됩니다.

작동 방식

모든 사회공학 공격은 같은 네 가지 요소를 같은 순서로 갖춥니다.

구실은 공격자에게 여러분과 이야기할 이유를 만들어 줍니다. 사기 대응 부서, 거래소 고객 지원, 배송 문제, 채용 제안, 데이팅 앱에서 새로 맺어진 상대 등입니다. 권위 또는 친숙함은 그 구실을 굳혀 주는데, 조작된 발신자 번호, 유출된 데이터베이스에 있던 실제 정보, 또는 여러분의 이름과 여러분이 어느 거래소를 쓰는지 아는 것만으로도 공급됩니다. 급박함은 여러분이 확인할 여지를 없앱니다. 계정이 침해되었거나 기회가 곧 만료된다면 결정은 지금 내려야 하기 때문입니다. 마지막은 되돌릴 수 없는 행동입니다. 코인을 보내거나, 코드를 소리 내어 읽거나, 원격 접속 도구를 설치하거나, 문구를 입력하게 하는 것입니다.

비트코인은 마지막 단계를 더 날카롭게 만듭니다. 카드 사기는 결제를 취소할 수 있는 발급사와 손실 일부를 떠안는 은행이 있습니다. 확인된 온체인 결제에는 둘 다 없습니다. 그래서 공격자의 수확은 첫 번째 확인이 이루어지는 순간, 보통 여러분이 전송을 누른 뒤 약 10분 후에 최종적으로 확정됩니다.

가장 피해가 큰 공작은 고객을 완전히 건너뛰고 회사의 직원을 노리며, 여기에서는 한 번의 성공으로 수천 개의 계정에 도달합니다. Coinbase는 2025년 5월 15일에 해외 고객 지원 계약 직원들이 고객 데이터를 넘겨주는 대가로 뇌물을 받았고, 그 데이터가 나중에 "귀하의 계정이 침해되었습니다"라는 그럴듯한 전화를 거는 데 쓰였다고 공개했습니다. 이 회사는 2,000만 달러의 몸값 요구를 거절했고 교정 및 배상 비용을 1.8억~4억 달러로 추산했습니다.

확인할 수 있는 곳

여섯 가지 사회공학 패턴이 손실의 압도적 다수를 차지하며, 각각에는 이를 무력화하는 기계적인 규칙이 있습니다.

안전한 지갑이라는 전화. 여러분의 거래소나 지갑 제조사를 사칭하는 누군가가 여러분의 계정이 침해되었다고 말하며 자금을 그들이 알려주는 "안전한 주소"로 옮기도록 안내합니다. 정당한 회사는 절대 코인을 옮기라고 요구하지 않습니다. 그렇게 요구하는 발신자는 그 자체가 공격이므로 전화를 끊으십시오.

검색과 채팅에서의 고객 지원 사칭. 검색 유료 광고와 올바른 로고를 단 Telegram 또는 Discord 계정은 여러분이 공개적으로 불만을 올리는 순간 나타납니다. 진짜 고객 지원은 먼저 메시지를 보내지 않습니다. 고객 지원에는 여러분이 직접 찾아 들어간 페이지를 통해서만 연락하십시오.

복구 사기. 손실을 입은 뒤, 두 번째 공격자가 선불 수수료를 받고 코인을 추적해 복구해 주겠다고 제안합니다. 피해자 명단은 바로 이 목적으로 되팔립니다. 어떤 민간 서비스도 비트코인 트랜잭션을 되돌릴 수 없습니다.

내부자 접근. 뇌물을 받은 고객 지원 계약 직원과 통신사 직원은 회사의 평범한 도구를 공격 표면으로 바꿉니다. Coinbase의 공개가 이를 보여 주었습니다. 거래소가 여러분의 보유량과 주소를 알고 있다고 가정하고, 장기 보유 자산은 거래소가 손댈 수 없는 곳에 두십시오.

가짜 채용 면접과 코드. 개발자는 정보 탈취 프로그램을 설치하는 "과제"나 화상 통화 플러그인을 받게 되고, 그 프로그램은 이어서 디스크에서 지갑 파일과 시드 백업을 찾아 헤맵니다.

물리적 강압. 유출된 고객 주소 명단은 알려진 보유자를 겨냥한 주거 침입으로 이어졌습니다. 그러므로 보유 자산은 이야기하지도, 드러내지도 않는 것으로 여기십시오.

두 가지 규칙이 여섯 가지 모두를 포괄합니다. 들어온 연락 때문에 코인에 관한 어떤 행동도 하지 말고, 항상 여러분이 직접 찾아본 번호로 다시 전화하십시오. 계획에 없던 송금에는 24시간의 개인 냉각 기간을 두십시오. 급박함은 어떤 공격자도 빼놓을 수 없는 재료이기 때문입니다.