AI 악성코드 Volta란? 피해자 '몸값' 매기는 정보탈취와 코인 지갑 보호법
Volta 정보탈취 악성코드는 훔친 비밀번호·쿠키·코인 지갑 정보를 LLM에 보내 피해자 가치를 순위로 매겨요. 동작 구조와 지갑 분리·세션 정리·감염 대응 순서를 정리했어요.
목차8개 섹션
핵심 요약
- Volta(자칭 VOLTA-AUTODOXER)는 윈도우용 정보탈취 악성코드로, 훔친 데이터를 LLM에 보내 피해자 자산을 현금화 가치 순으로 매기게 해요.
- AI는 새로운 해킹 기술이 아니라 운영자의 분석 노동을 대신하는 역할이에요. 수집 대상은 브라우저 비밀번호·쿠키·결제 카드·지갑 시드 문구·메신저 세션 등이에요.
- 모델이 거절하면 최대 3개 모델로 넘어가는 대체 체인을 두었고, API 키가 없으면 AI 단계 없이도 동작해요.
- 시드 문구가 PC에 평문으로 있었다면 그 지갑은 완전히 노출된 것으로 보고, 새로 만든 지갑으로 자산을 옮기라고 탈로스는 권고해요.
- 2단계 인증은 꼭 켜야 하지만 이미 훔친 세션 쿠키까지 막지는 못하므로, 감염 의심 시 비밀번호 변경과 함께 로그인 세션·토큰을 모두 끊어야 해요.
AI 악성코드 Volta는 PC에서 비밀번호·쿠키·코인 지갑 정보를 훔친 뒤, 그 데이터를 LLM(대규모 언어 모델)에 보내 피해자가 얼마나 돈이 되는지 순위를 매기게 하는 정보탈취(인포스틸러) 악성코드예요. 시스코 보안 연구 조직 탈로스(Talos)가 2026년 10월 31일 공개한 분석에 따르면 AI는 해킹 기술을 새로 만든 것이 아니라, 훔친 기록을 읽고 공격 우선순위를 정하는 분석가 역할을 맡았어요. 이 글은 2026년 11월 1일 기준 공개된 탈로스 분석을 근거로 동작 범위를 정리하고, 코인 투자자가 지금 점검할 지갑·계정 보호 항목을 순서대로 안내해요.
AI 악성코드 Volta란? 피해자 가치를 매기는 구조
Volta는 스스로를 VOLTA-AUTODOXER라고 부르는 윈도우용 정보탈취 악성코드예요. 실행 후 자신을 지우는 자가 삭제 방식이며, 탈로스는 AI를 통합한 악성코드를 추적하는 CAIRN 연구 과정에서 이 샘플을 찾았다고 밝혔어요. 분석 자료의 샘플 정보에는 최초 관측 시점이 2026년 10월 11일(UTC)로 적혀 있어요. 기존 인포스틸러와 다른 점은 수집 이후 단계에 있어요. 훔친 데이터를 한데 묶어 LLM에 보내고, 모델이 피해자에 대한 '표적 평가서'를 써서 돌려주게 만들어요.
탈로스가 공개한 시스템 프롬프트는 모델에게 「표적 평가서를 작성하는 포렌식 정보 분석가」처럼 행동하라고 지시해요. 결과물에는 'WHAT THEY'RE WORTH'라는 항목이 있어 피해자의 자산을 현금화 가치 기준으로 낮음·중간·높음 등급으로 정렬하고, 'THEIR OPSEC' 항목에서는 피해자의 보안 습관과 비밀번호 관리 수준을 평가해요. 프롬프트는 이름·주소·출신 학교 같은 흩어진 정보와 비밀번호 패턴을 연결해 추론하라고도 요구해요. 즉 모델은 데이터를 찾는 것이 아니라, 이미 훔친 데이터에서 더 많은 쓸모를 끌어내는 역할이에요.
모델 거절에 대비한 대체 체인
분석에 따르면 Volta는 OpenRouter라는 모델 중개 API로 요청을 보내고, 기본 모델로 anthropic/claude-opus-4.6을 지정했어요. 응답에 'I can't' 같은 거절 문구가 있으면 moonshotai/kimi-k2, 그다음 google/gemini-2.5-flash로 넘어가 최대 3개 모델을 시도해요. 온도 값은 0.2로 고정해 결과를 일관되게 만들려 했어요. 탈로스는 이것을 공격자가 모델의 안전장치에 걸릴 것을 예상하고 미리 설계한 흔적으로 봤어요. 또 API 키가 없으면 AI 단계 없이도 실행되므로, AI 기능은 선택 옵션이라는 점도 기억해 둘 만해요.
훔친 데이터가 AI 평가서가 되기까지: 4단계 흐름
Volta의 동작은 크게 수집, 보강, AI 평가, 유출의 네 단계로 나눠 볼 수 있어요. 각 단계에서 무엇이 일어나는지 알면 어느 지점에서 피해를 줄일 수 있는지도 보여요.
- 1
1. 수집
크로미움 계열 브라우저의 저장 비밀번호·쿠키·결제 카드, 파이어폭스·썬더버드·아웃룩 프로필, 슬랙·디스코드·텔레그램·스팀·로블록스 세션, 마이크로소프트 OAuth 토큰, SSH·클라우드 설정 파일, 저장된 와이파이 비밀번호, 화면 캡처를 한 번에 가져가요. 코인 지갑은 복사에 그치지 않고 내장 크래커로 금고 암호를 풀려고 시도해요.
- 2
2. 보강
훔친 세션을 그대로 사용해 피해자의 지메일에서 아마존·도어대시·우버이츠·월마트·페이팔 등의 영수증을 검색해 집 주소를 확인하고, 배달 앱 주문 기록과 디스코드 프로필, 로블록스 아이템 시세까지 조회해요.
- 3
3. AI 평가
모은 정보를 Identity_Report.txt로 정리해 JSON으로 묶은 뒤 시스템 프롬프트와 함께 LLM에 보내요. 이 호출은 피해자 PC와 피해자의 네트워크 연결을 통해 이뤄지고, 결과는 AI_Analysis.txt로 저장돼요.
- 4
4. 유출
탈취 직후, AI 호출 후, 네트워크 보강 결과가 있을 때의 3단계에 걸쳐 압축 파일을 내보내요. 탈로스는 관찰된 엔드포인트가 모두 제3자 서비스이며 공격자 소유 서버가 없다고 밝혔어요.
배포 방식도 눈여겨볼 부분이에요. Volta는 텔레그램 채널·API 키 등을 넣는 6개의 교체 가능한 슬롯을 가진 템플릿 구조여서, 탈로스는 판매자가 구매자마다 맞춤 실행 파일을 만들어 주는 빌더 모델일 가능성이 높다고 봤어요. 그렇다면 실력이 낮은 구매자도 순위가 매겨진 표적 평가서를 텔레그램으로 받아볼 수 있다는 뜻이에요. 한편 이 분석은 악성코드가 처음 어떤 경로(피싱 메일, 가짜 설치 파일 등)로 PC에 들어오는지는 구체적으로 밝히지 않았어요. 특정 배포 경로를 단정하는 글은 원문 근거를 확인할 필요가 있어요.
무엇이 표적이 되나: 데이터 종류별 위험과 대응
정보탈취 악성코드가 노리는 데이터는 종류마다 피해 방식이 달라요. 특히 세션 쿠키는 이미 로그인된 상태 자체여서, 비밀번호와 2단계 인증을 모두 건너뛰고 계정에 들어갈 수 있게 해요. 아래 표는 Volta 분석에 등장한 수집 대상을 기준으로 개인이 할 수 있는 대응을 정리한 것이에요.
브라우저 저장 비밀번호
- 공격자가 얻는 것
- 다른 사이트 재사용 시 연쇄 로그인
- 개인 대응
- 전용 비밀번호 관리자 사용, 사이트별 다른 비밀번호
세션 쿠키·OAuth 토큰
- 공격자가 얻는 것
- 2단계 인증을 거치지 않은 계정 접근
- 개인 대응
- 의심 시 모든 기기 로그아웃, 연결 앱 권한 해제
코인 지갑 금고·시드 문구
- 공격자가 얻는 것
- 지갑 자산 이전
- 개인 대응
- 시드 문구를 PC에 저장하지 않기, 하드웨어 지갑 분리
메일함 영수증·배달 기록
- 공격자가 얻는 것
- 집 주소·생활 패턴 확인
- 개인 대응
- 메일 계정 보안 최우선, 사용하지 않는 세션 정리
SSH·클라우드 설정 파일
- 공격자가 얻는 것
- 서버·클라우드 계정 접근
- 개인 대응
- 키 교체, 클라우드 콘솔의 접근 기록 확인
저장된 와이파이 비밀번호
- 공격자가 얻는 것
- 네트워크 정보 노출
- 개인 대응
- 공유기 비밀번호 변경 검토
크롬은 이런 쿠키 탈취를 어렵게 하려고 2024년 크롬 127부터 윈도우에서 앱 바운드 암호화(App-Bound Encryption)를 도입했어요. 구글 보안 블로그는 기존 윈도우 DPAPI가 사용자 권한으로 실행되는 악성 앱을 막지 못한다는 한계를 설명하고, 앱 신원을 확인하는 방식으로 다른 프로그램의 복호화를 막는다고 밝혔어요. 하지만 탈로스는 Volta의 토큰 탈취 상당 부분이 크롬을 --headless 옵션으로 띄워 이 보호를 우회하는 기법에 기대고 있다고 분석했어요. 브라우저 보호 기능은 비용을 높일 뿐, 감염된 PC에서 완전한 방어선이 되지는 않는다는 뜻이에요.
코인 지갑 해킹 예방과 계정 보호: 지금 점검할 항목
Volta 같은 인포스틸러는 한 번 실행되면 짧은 시간 안에 여러 계정을 털어 가요. 그래서 감염 이후 대응보다 '털려도 피해가 작게' 구조를 나눠 두는 것이 중요해요. 아래 항목은 개인 투자자가 직접 점검할 수 있는 순서예요.
- 지갑 역할을 나눠요
- 장기 보관 자산은 하드웨어 지갑처럼 서명 키가 PC 밖에 있는 지갑에 두고, 브라우저 확장 지갑에는 소액 거래용 자금만 둬요.
- 시드 문구를 메모장·사진·클라우드·이메일에 저장하지 않아요. Volta는 지갑 금고를 해독하려고 시도해요.
- 2단계 인증을 강한 방식으로 바꿔요
- CISA 안내는 널리 쓸 수 있는 피싱 저항형 인증으로 FIDO/WebAuthn을 꼽고, 어떤 2단계 인증이든 없는 것보다 낫다고 설명해요. 거래소·메일 계정부터 보안 키나 패스키를 검토해요.
- 거래소 출금 보호를 따로 걸어요
- 출금 주소 화이트리스트, 출금 시 추가 인증, 새 기기 로그인 알림을 켜요. 세션을 훔쳐도 바로 출금되지 않도록 단계를 늘리는 목적이에요.
- 로그인 세션을 주기적으로 정리해요
- 구글·마이크로소프트·텔레그램·디스코드의 활성 세션 목록에서 모르는 기기를 종료하고, 쓰지 않는 연결 앱 권한을 해제해요.
- 투자용 PC에서 출처 불명 파일을 실행하지 않아요
- 크랙 프로그램, 게임 핵, 메신저로 받은 실행 파일은 인포스틸러 감염 위험이 커요. 관리자 권한 실행을 줄이면 앱 바운드 암호화 같은 보호를 우회하기 어려워진다고 구글은 설명해요.
코인 해킹이나 피싱 사기 소식은 텔레그램 채널에서 먼저 퍼지는 경우가 많아요. 더따리 텔레그램 트렌드에서 크립토·AI 채널에 어떤 보안 이슈가 언급되는지 흐름을 확인하고, 실제 조치는 거래소·지갑 공식 공지와 보안 기관 원문으로 교차 확인하세요. 트렌드 도구는 화제를 보여 줄 뿐 특정 파일이나 링크의 안전성을 판별하지 않아요.
감염이 의심될 때 대응 순서
Volta는 실행 파일을 스스로 지우기 때문에 백신 검사만으로 흔적을 찾기 어려울 수 있어요. 탈로스는 감염 시 %APPDATA%\volta_debug.txt 파일을 보존하라고 권고했어요. 이 파일에는 시간대별로 무엇을 수집했고 LLM 호출이 성공했는지가 기록돼 있어 피해 범위를 파악하는 데 쓰여요.
- 1
감염 PC를 격리해요
네트워크에서 분리하고, 그 PC로는 더 이상 로그인하지 않아요. 기록 파일과 의심 파일은 지우지 말고 남겨 둬요.
- 2
깨끗한 기기에서 계정을 지켜요
다른 기기로 메일·거래소·메신저 비밀번호를 바꾸고, 모든 기기 로그아웃과 토큰 해제를 실행해요. 탈로스도 노출 가능성이 있는 토큰 폐기와 비밀번호 변경을 권고했어요.
- 3
지갑을 새로 만들어 옮겨요
시드 문구가 PC에 평문으로 있었다면 그 지갑은 완전히 노출된 것으로 봐요. 탈로스는 인터넷과 분리된 기기에서 새 시드를 만들고 자산을 옮기라고 권고해요. 같은 시드를 다른 지갑 앱에 다시 불러오는 것은 해결책이 아니에요.
- 4
신고하고 기록을 남겨요
한국에서는 KISA 보호나라의 해킹·개인정보침해 상담 번호 118로 상담할 수 있어요. 금전 피해가 있다면 경찰 사이버범죄 신고와 거래소 고객센터 연락을 병행해요.
과장과 사실 구분: 이번 사례가 말해 주는 것
Volta 사례를 'AI가 스스로 해킹한다'로 읽으면 과장이에요. 원문이 보여 주는 것은 AI가 공격자의 가장 손이 많이 가는 단계, 즉 대량의 탈취 기록을 읽고 누구를 먼저 노릴지 고르는 일을 대신한다는 점이에요. 탈로스는 다른 AI 통합 악성코드에서도 같은 논리, 즉 사람의 집중이 가장 많이 필요한 단계를 모델 호출로 바꾸는 흐름이 보인다고 정리했어요. 넓게 던진 그물이 스스로 분류까지 해 주는 셈이라, 자산이 많아 보이는 피해자가 더 빨리, 더 정교하게 노려질 수 있어요.
반대로 이번 분석이 말하지 않는 것도 있어요. 감염 규모, 피해 금액, 초기 배포 경로는 원문에 구체적으로 나오지 않아요. 또 분석에 등장한 모델 이름은 공격자가 지정한 설정값이며, 해당 모델 회사가 공격에 협력했다는 뜻이 아니에요. 개인이 할 수 있는 핵심은 여전히 기본기예요. 시드 문구를 PC에 두지 않고, 장기 자산과 거래용 자금을 분리하고, 강한 2단계 인증과 세션 정리를 습관으로 만들면 AI가 붙은 인포스틸러에도 피해 범위를 줄일 수 있어요.
