AI 코딩 암호화폐 피싱 작업이 885,000 전화번호를 표적으로 삼다

Rapid7 Labs는 Ledger, Trezor, Exodus 앱을 사칭하는 가짜 앱을 생성하기 위해 AI 코딩 어시스턴트를 활용한 암호화폐 사기 파이프라인인 ‘작전 ASTERIX’를 발견했다.

이 작업은 43,066개의 전화번호를 실제 거래소 계정에 매칭했다. 암호화폐를 자체 보관하는 모든 사용자가 잠재적 표적이 될 수 있다. 연구원들이 이를 발견했을 때 작전은 아직 진행 중이었다.

잘못 구성된 서버가 전체 매뉴얼을 노출

Rapid7 연구원 Anna Širokova와 Jan Recinsky는 캠페인 인프라에서 노출된 웹 디렉토리를 발견했다. 그 안에는 실제 사기 작업의 원재료가 담겨 있었다.

두 연구원의 8월 17일 보고서는 전화번호 데이터셋, 계정 검증 도구, 피싱 패널, 음성 다이얼링 스크립트, 가짜 지갑 애플리케이션 자체, 그리고 탈취된 데이터를 Telegram을 통해 유출하는 코드를 포함한 방대한 데이터 통계를 상세히 기술했다.

유출 당시 해당 도구 중 대부분이 여전히 사용 중이거나 개발 중이었다. Rapid7는 작전이 진행되는 동안 Apple 보안 팀을 포함한 제공업체 및 당국에 연락할 수 있다고 밝혔다.

이 작전은 서버에서 복구된 오픈 소스 전화 플랫폼인 Asterisk의 이름을 따서 명명되었다. 운영자는 이미 피해자가 받은 가짜 지원 이메일과 일치하도록 Asterisk를 사용하여 피싱(vishing) 전화를 걸었다.

공개 디렉토리에는 약 885,000개의 전화번호가 있었으며, 가장 큰 파일은 316,002개의 독일 모바일 번호 모음이었다. 홍콩, 불가리아, 영국, 미국, 캐나다 핀테크 고객, Ledger 관련 목록 등 더 작은 디렉토리도 포함되었다.

운영자들은 먼저 독일 번호를 계정 확인 도구로 확인한 결과, 43,066개가 암호화폐 거래소 사용자임을 확인했다. 이는 약 13.6%의 적중률로, 거의 7명 중 1명이다.

추가로 5,576개의 번호가 Binance 계정과 연결되어 공격을 위해 대기 중이었다. 보고서에는 Kraken 확인 도구와 Crypto.com을 사칭하는 가짜 이메일도 언급되었다.

검증된 표적의 수는 활동 로그와 이상하게 대조된다. 복구된 로그에 따르면 약 2주 동안 리드 조회가 단 20회만 이루어졌다.

또한 6개의 피싱 이메일이 발송되었으며, 이는 운영자들이 모든 번호에 연락하기보다 느리고 신중하게 표적을 선정하는 방식을 선호했음을 시사한다.

가짜 앱은 시드 구문을 요구했다

이 앱들은 Trezor Suite와 Ledger Live를 모방하며, Exodus도 스푸핑되었다. 이들은 사용자가 하드웨어 지갑을 제어하는 12~24자의 복구 구문을 입력하도록 요청한다.

이 구문은 자금의 마스터 키이며, 이를 가진 자는 지갑의 자금을 모두 비울 수 있다. 탈취된 구문은 이후 Telegram을 통해 유출되었다.

Rapid7 발견에 따르면 AI 코딩 어시스턴트는 고립된 코드 조각을 생성하는 것뿐만 아니라 전체 개발 과정 전반에 걸쳐 사용되었다.

복구된 프롬프트, 셸 기록 및 프로젝트 파일은 운영자가 Electron 앱을 패키징하고, 코드를 난독화하고, 빌드를 수정하며, 말웨어 배포를 준비하기 위해 AI 도구를 의존했음을 보여준다.

도구는 GitHub Copilot이었다. 한 모델이 작업의 일부를 거부하기 시작하자, 운영자는 제공업체를 전환하고 커스텀 재일브레이크 프롬프트를 사용하여 다음 모델의 안전 장치를 우회하려 했다. 이는 Rapid7의 보고 내용이다.

8월 초, Trezor는 배송 파트너 ShipMonk의 침해로 이름, 이메일, 전화번호 및 주소가 노출되자 13,689명의 고객에게 경고했다. 이는 Cryptopolitan이 보도한 바 있다.

Ledger 및 Trezor 소유자들도 2월 Cryptopolitan이 보도한 바와 같이 피싱 사이트로 이어지는 QR 코드가 포함된 물리적 서한을 받았다.

블록체인 보안 기업인 Hacken은 피싱 및 소셜 엔지니어링이 암호화폐 산업의 1분기 손실 4억 8,200만 달러 중 3억 600만 달러를 차지했다고 밝혔다.