가짜 Claude 데스크톱 앱이 RevStealer 멀웨어를 퍼뜨려 50개 이상의 크립토 지갑이 위험에 노출됐다

크립토 사용자를 노리는 최신 Windows 멀웨어 유포는 익숙한 패턴을 따른다. 신뢰할 수 있는 브랜드, 혹하게 만드는 다운로드, 그리고 브라우저에 저장된 모든 정보를 훔치도록 설계된 숨겨진 페이로드가 그것이다. 이번에는 공격자들이 가짜 Claude 데스크톱 설치 프로그램을 이용해 RevStealer를 배포하고 있다. 이 데이터 탈취형 멀웨어는 자격 증명, 세션 데이터, 지갑 관련 정보를 대규모로 수집하도록 만들어진 것으로 보인다.

크립토에 적극적으로 참여하는 사람이라면, 이것은 단순한 일반 피싱 이야기가 아니다. 가장 위험한 위협은 블록체인 자체를 직접 공격하는 것이 아니라, 사용자가 브라우저를 열고 승인하고 서명하고 자산을 관리하는 그 기기 자체를 노리는 경우가 많다는 점을 다시 한 번 상기시켜 준다.

가짜 AI 앱이 왜 효과적인 크립토 미끼인가

AI 도구는 트레이더, 창업자, 분석가, 빌더들의 일상 업무에 이미 깊숙이 들어와 있다. 그렇기 때문에 훌륭한 미끼가 된다. 인기 있는 어시스턴트의 가짜 “무료” 데스크톱 버전은 사용자가 생산성 소프트웨어를 설치한다고 믿게 만들어 경계를 낮춘다. 즉, 비밀번호를 훔치는 도구의 문을 열고 있다는 사실을 눈치채지 못하게 되는 것이다.

이 패턴은 사이버 범죄 전반에서 나타나는 더 큰 흐름과도 맞닿아 있다. 공격자들은 점점 더 유용해 보이거나, 최신 유행이거나, 한정판처럼 느껴지는 소프트웨어 안에 멀웨어를 포장하고 있다. “Free Pro”, “cracked”, “desktop mod” 같은 설치 파일이 여전히 흔한 이유는 호기심과 긴박감을 동시에 자극하기 때문이다.

정상 제품을 원한다면, 서드파티 미러나 재게시물, 다운로드 묶음이 아니라 항상 공식 Claude 웹사이트인 claude.ai에서 시작해야 한다.

RevStealer가 노리는 것

보안 연구자들에 따르면 이 멀웨어는 다음을 포함한 다양한 민감 정보를 수집하도록 설계됐다.

• 브라우저 사용자 이름과 비밀번호
• 쿠키 및 세션 토큰
• 비밀번호 관리자 데이터
• VPN 및 원격 접속 설정
• 메시징 앱 데이터
• 스크린샷
• 선택한 문서
• 50개 이상의 크립토 지갑과 연결된 정보

이 조합은 크립토 사용자에게 특히 위험하다. 침해가 대개 개인키 유출로 시작되는 것은 아니기 때문이다. 공격자는 보통 먼저 브라우저 세션, 지갑 확장 프로그램 데이터, 클라우드 로그인 정보, 복구 자료를 훔친다. 그런 다음 거래소 계정, 트레이딩 대시보드, 이메일, 비밀번호 관리자로까지 범위를 넓혀 간다.

이 위협 모델을 이해하는 데 도움이 되는 기본 자료로는 Microsoft의 멀웨어 개요가 있다. 여기서는 현대의 악성 소프트웨어가 노골적인 파괴보다 절도, 지속성, 은닉에 집중하는 경우가 많다는 점을 설명한다.

크립토 지갑이 이렇게 매력적인 표적인 이유

크립토 사용자는 대개 가치 있는 활동을 하나의 엔드포인트에 집중시키는 경향이 있다. 같은 노트북에 거래소 로그인 정보, 온체인 대시보드, 지갑 확장 프로그램, 시드 백업, 그리고 거래나 커뮤니티 업무에 쓰는 메시징 앱이 함께 들어 있는 식이다. 이처럼 집중도가 높을수록 Windows 침해는 훨씬 더 큰 피해로 이어진다.

개인키가 직접 탈취되지 않더라도 공격자는 여전히 다음을 악용할 수 있다.

1. 브라우저 쿠키와 세션을 이용해 비밀번호를 다시 입력하지 않고도 계정을 탈취
2. 저장된 자격 증명을 통해 이메일, 클라우드 저장소, 거래소 접근
3. 비밀번호 관리자 데이터를 이용해 더 많은 서비스를 열람
4. 스크린샷과 문서를 통해 복구 문구, API 키, 포트폴리오 정보 노출

크립토 보유자에게는 엔드포인트 보안이 온체인 보안만큼이나 중요하다. 지갑의 안전은 단지 지갑 앱 자체의 문제가 아니라, 그 지갑을 사용하는 환경의 문제이기도 하다.

RevStealer는 분석가의 눈도 피하려 한다

조사에 따르면 이 멀웨어는 메모리, CPU 코어 수, 사용자 이름, 호스트명, 그래픽 하드웨어를 확인해 실제 사용자 기기에서 실행 중인지 판단한다. 디버깅이나 가상화의 흔적이 감지되면 동작을 멈추거나 악성 행위를 줄일 수도 있다.

이 기능은 샌드박스나 분석 환경에서 조기 탐지를 피하는 데 도움이 된다. 실제로는 검사 과정에서 무해해 보이다가, 진짜 피해자 기기에서만 완전히 활성화될 수 있다는 뜻이다.

가짜 설치 파일이 특히 효과적인 이유도 여기에 있다. 이것들은 요란한 랜섬웨어 폭탄처럼 시끄럽지 않다. 공격자가 충분한 데이터를 확보할 때까지 조용히 기다리는 비밀번호·세션 탈취기일 뿐이다.

크립토 보안의 교훈: 약속이 아니라 출처를 믿어라

“무료 프리미엄” AI 앱이라는 약속은 대개 함정이다. 크립토 세계에서도 같은 경고가 적용된다. 지갑 도구, 트레이딩 봇, 에어드롭 대시보드, “특별한” 브라우저 확장 프로그램 모두 마찬가지다. 다운로드 경로가 비공식적이라면 그 위험은 결코 추상적이지 않다.

다음과 같은 항목은 경고 신호로 봐야 한다.

• 공식 공급업체 웹사이트 밖에서 제공되는 다운로드
• “free Pro”, “cracked”, “unlocked” 소프트웨어를 내세우는 경우
• 무작위 저장소나 포럼을 통해 공유되는 설치 파일
• 번들로 포함된 추가 구성 요소, 스크립트, 서명되지 않은 실행 파일
• 설치 중 보안 도구 비활성화를 요구하는 경우

피싱과 사회공학 전반에 대한 위생 수칙으로는 CISA의 피싱 가이드와 Secure Our World 이니셔티브가 소비자와 팀 모두에게 실용적인 체크리스트를 제공한다.

크립토 사용자가 지금 당장 노출을 줄이는 방법

디지털 자산과 관련된 작업에 Windows를 사용한다면, 몇 가지 습관만으로도 위험을 크게 낮출 수 있다.

1. AI 및 지갑 소프트웨어는 공식 출처로만 제한하기

반드시 공식 사이트나 검증된 앱 스토어에서만 다운로드하자. 미러 사이트, “portable” 빌드, 소셜 미디어 링크는 피해야 한다.

2. 크립토 활동과 일상 브라우징을 분리하기

거래소 접속, DeFi, 지갑 관리를 위한 전용 브라우저 프로필이나, 가능하면 전용 기기를 사용하자. 확장 프로그램이 적을수록 토큰 탈취 기회도 줄어든다.

3. 비밀번호 관리자 사용 방식을 재점검하기

비밀번호 관리자는 여전히 유용하지만, 엔드포인트가 침해되면 그 안의 데이터는 매우 민감해진다. 마스터 비밀번호를 강하게 설정하고, 강력한 MFA를 활성화하며, 감염이 의심되면 중요한 비밀번호는 깨끗한 기기에서만 변경하자.

4. 복구 자료는 오프라인으로 보관하기

시드 문구, 복구 공유, 백업 메모는 스크린샷, 클라우드 메모, 데스크톱 폴더에 절대 두어서는 안 된다.

5. 긴박감에 의심을 유지하기

멀웨어 캠페인은 대개 시간 압박을 건다. 한정 제공, 한정 베타, 한정 초대, 한정 해제 같은 식이다. 그 압박 자체가 공격의 일부다.

6. 의미 있는 잔액에는 하드웨어 기반 서명을 사용하기

데스크톱에서 지갑 침해가 시작된다면, 개인키를 그 기기 밖에 보관하는 것만으로도 공격자가 직접 추출하는 것을 막을 수 있다.

하드웨어 지갑은 어디에 해당할까

하드웨어 지갑이 피싱을 없애 주는 것은 아니지만, 실패의 비용을 바꿔 놓는다. 내 컴퓨터가 RevStealer 같은 탈취형 멀웨어에 감염되더라도, 개인키를 오프라인에 두면 브라우저 수준의 침해가 전체 자산 손실로 이어지는 것을 막는 데 도움이 될 수 있다.

그래서 많은 장기 보유자와 온체인 활동 사용자들은 고가 자금에 하드웨어 지갑 방식을 선호한다. OneKey 같은 장치는 감염된 PC로부터 개인키를 분리하고, 거래 승인을 보다 신중하게 만들 수 있다. 특히 데스크톱 환경을 더 이상 신뢰할 수 없을 때는 이런 점이 중요하다.

핵심은 단순하다. 노트북이 브라우징과 거래를 하는 곳이라면, 가장 민감한 키까지 함께 보관하는 장소가 되어서는 안 된다.

마무리

가짜 Claude 데스크톱 캠페인은 크립토 탈취가 어떻게 진화했는지를 보여주는 좋은 사례다. 공격자들은 더 이상 블록체인을 깨뜨릴 필요가 없다. 사용자가 로그인하고, 서명하고, 복구 데이터를 저장하는 엔드포인트만 장악하면 된다.

크립토 보유자에게 가장 좋은 방어는 여러 겹의 방어다. 신뢰할 수 있는 출처에서만 설치하고, 브라우저 노출을 줄이며, 복구 데이터는 오프라인에 보관하고, 중요한 자산은 하드웨어 기반 저장소로 옮겨야 한다. 탈취형 멀웨어가 한 번에 수십 개의 지갑을 노릴 수 있는 위협 환경에서는, 그런 규율이 더 이상 선택 사항이 아니다.