애플 앱스토어에 가짜 이더리움 지갑, 시드프레이즈 입력하자마자 자금 털렸다

무엇이 일어났나

보안성이 높다고 알려진 애플 앱스토어에 가짜 이더리움 지갑 앱이 등록돼 이용자 자금을 탈취한 사건이 확인됐다. 탈중앙화 금융(DeFi, 은행 같은 중개기관 없이 블록체인 위에서 예치·대출·거래 등을 구현한 금융 서비스) 정보 플랫폼 디파이라마의 창립자는 이 앱의 위험성을 검증하기 위해 소액의 이더리움이 든 테스트용 지갑을 만들어 앱에 시드프레이즈를 입력해봤다. 시드프레이즈를 넣자마자 지갑 속 자금은 다른 계좌로 빠져나갔다. 단 1회의 시도만으로 가짜 앱임이 명확히 드러난 셈이다. 논란이 확산하자 애플은 해당 앱을 앱스토어에서 삭제했지만, 어떤 방식으로 검수 절차를 통과했는지는 아직 밝혀지지 않았다.

시드프레이즈란 무엇인가

시드프레이즈는 가상자산 지갑을 복구할 때 쓰는 암호 문구로, 지갑을 통제할 수 있는 유일한 수단이다. 누군가 이 문구를 알게 되면 그 순간 지갑 속 자산에 대한 통제권도 함께 넘어간다고 볼 수 있다. 블록체인 거래는 중앙 관리자가 없어 한번 전송된 자금을 되돌리거나 추적하기가 매우 어렵다는 특성이 있어, 시드프레이즈 유출로 인한 피해는 복구가 사실상 불가능한 경우가 많다.

왜 중요한가

이번 사건이 주는 경고는 '플랫폼 신뢰'만으로는 안전을 담보할 수 없다는 점이다. 구글 플레이스토어에 비해 심사가 엄격하다고 알려진 애플조차 정교하게 위장한 가짜 앱을 걸러내지 못했다. 이용자들이 앱스토어라는 브랜드 자체를 신뢰해 별다른 의심 없이 앱을 설치하는 심리적 허점을, 범죄자들이 파고든 것으로 보인다.

이용자가 챙겨야 할 점

전문가들은 다음과 같은 점을 강조했다.

• 앱을 다운로드하기 전에 개발자 정보나 이용자 리뷰, 공식 홈페이지에 연결된 링크가 맞는지 스스로 대조해볼 필요가 있다.
• 시드프레이즈는 그 어떤 경우에도 모바일 앱이나 웹사이트 입력창에 넣어서는 안 된다.
• 플랫폼의 자율 심사에만 의존하기보다, 이용자 스스로 앱 출처를 검증하는 습관이 최소한의 방어선이 된다.

앞으로 볼 지점

애플이 이번 가짜 앱을 어떤 경로로 걸러내지 못했는지에 대한 설명을 내놓을지, 그리고 재발 방지를 위한 심사 절차 개선에 나설지가 관건이다. 이미 피해를 본 이용자들의 자금 회수 여부도 지켜볼 부분이다.