블로그로 돌아가기
securitysocial-engineeringbitcointrezorinvestigation
2억 8,200만 달러 비트코인 도난: 암호화폐 역사상 최대의 사회공학 해킹
한 사용자가 트레저 지원팀을 사칭한 사기꾼에게 속아 2억 8,200만 달러의 비트코인과 라이트코인을 잃었습니다. 이것이 인간 검증이 하드웨어보다 중요한 이유입니다.
Miguel Treviño•
요약:
- 사건: 한 피해자가 트레저 지원팀을 사칭한 전화 기반 사회공학 공격으로 2억 8,200만 달러의 BTC와 LTC를 잃었습니다.
- 취약점: 이 공격은 코드 익스플로잇이나 하드웨어 결함이 아닌 "공유 가능한 비밀"(시드 구문)을 표적으로 삼았습니다.
- 교훈: 기존 보안은 피싱에 취약한 24단어 구문을 관리하는 인간에게 지나치게 의존합니다.
- 해결책: Zelf의 ZK Face Proof는 시드 구문의 필요성을 완전히 제거합니다—가지고 있지 않은 것은 유출할 수 없습니다.
2026년 1월 10일, 누군가가 단 한 번의 공격으로 2억 8,200만 달러를 잃었습니다.
스마트 컨트랙트 익스플로잇이 아닙니다. 제로데이 취약점이 아닙니다. 거래소 해킹이 아닙니다.
전화 한 통으로 일어난 일입니다.
공격 방법
블록체인 수사관 ZachXBT가 추적한 바에 따르면, 공격은 충격적으로 단순했습니다:
- 준비: 사기꾼이 트레저 하드웨어 지갑 지원팀을 사칭했습니다
- 사회공학: 피해자를 설득하여 시드 구문을 공유하게 했습니다
- 도난: 1,459 BTC(약 1억 3,900만 달러)와 200만+ LTC(약 1억 5,300만 달러)가 즉시 빠져나갔습니다
정교한 해킹 없이. 코드 익스플로잇 없이. 단순한 인간 조작이었습니다.
자금 추적
몇 시간 안에 공격자는 도난된 자금을 다음을 통해 세탁하기 시작했습니다:
- THORChain: KYC 없이 BTC를 ETH, XRP 및 기타 자산으로 교환
- Tornado Cash: 자금을 혼합하여 추적을 방해
- 다수의 CEX: KuCoin, WhiteBit, Huobi, ChangeNOW
- 모네로: 추적 불가능한 전환을 위한 최종 목적지
보안 회사 ZeroShadow는 20분 내에 약 70만 달러를 차단했지만, 대부분은 탈출했습니다.
하드웨어 지갑에 대한 불편한 진실
트레저나 레저와 같은 하드웨어 지갑은 암호화폐를 저장하는 "가장 안전한" 방법으로 홍보됩니다. 기술적으로는 맞습니다—올바르게 사용된다면.
하지만 마케팅이 말해주지 않는 것이 있습니다:
하드웨어 지갑은 그것을 운영하는 인간만큼만 안전합니다.
기기 자체는 결코 손상되지 않았습니다. 펌웨어는 정상이었습니다. 암호화는 유지되었습니다. 약점은 사람이었습니다.
이것은 트레저의 문제가 아닙니다. 인간의 문제입니다. 모든 지갑, 모든 기기, 모든 보안 시스템에 해당됩니다.
시드 구문이 설계 결함인 이유
솔직히 말해서, 인간에게 다음을 기대하는 것은:
- 24개의 무작위 단어를 적어두고
- 영원히 안전하게 보관하고
- 절대 누구에게도 공유하지 않으며
- 수년 후에도 어디에 있는지 기억하는 것
...실패를 자초하는 것입니다.
시드 구문은 암호화 보안을 위해 설계되었지, 인간의 사용성을 위한 것이 아닙니다. 보안이 사용성과 충돌할 때, 사용성이 이깁니다—종종 치명적인 결과를 낳으며.
Zelf의 접근법: 비밀 없는 인증
Zelf에서는 근본적인 원칙을 중심으로 인증을 구축했습니다:
가지고 있지 않은 것은 유출할 수 없습니다.
ZK Face Proof는 다르게 작동합니다:
- 공유할 시드 구문 없음: 당신의 얼굴이 곧 인증입니다
- 추출할 비밀 없음: 증명은 영지식—민감한 정보가 전송되지 않습니다
- 지원 전화 불필요: 도와줄 것이 없기 때문에 사기꾼의 "도움"을 받을 수 없습니다
사회공학 공격은 공유 가능한 비밀을 표적으로 합니다. 비밀을 제거하면 공격 벡터가 제거됩니다.
이 2억 8,200만 달러를 구할 수 있었던 방법은?
피해자가 ZK 기반 인증 시스템을 사용했다면:
- 공유할 시드 구문이 없었을 것입니다
- 사기꾼은 복구할 비밀이 없기 때문에 "지원팀"을 사칭할 수 없었을 것입니다
- 인증은 생체 인식 기반이며 양도 불가능합니다
공격자의 전체 전략이 무용지물이 됩니다.
교훈
- 시드 구문을 절대 공유하지 마십시오: 합법적인 지원팀은 절대 이것을 요구하지 않습니다
- "지원" 전화에 의심을 가지십시오: 실제 회사는 콜드콜하지 않습니다
- 공유 가능한 비밀에 의문을 제기하십시오: 다른 사람에게 말할 수 있는 것에 의존하는 인증은 취약합니다
- 인적 요소를 고려하십시오: 최고의 보안은 실수로 우회할 수 없는 것입니다
인증의 미래
2억 8,200만 달러 해킹은 이상 현상이 아닙니다—인간 심리를 고려하지 않고 설계된 인증 시스템의 자연스러운 결과입니다.
Zelf는 차세대를 대표합니다: 암호학적으로 안전하면서도 사회적으로 조작 불가능한 인증.
당신의 얼굴은 피싱당할 수 없습니다. 당신의 생체 인증은 전화로 공유할 수 없습니다. 당신의 신원은 사칭당할 수 없습니다.