며칠 전, 연말 휴가를 맞아 가족과 함께 좋은 호텔에서 3일을 보냈다. 호텔을 떠난 지 하루 만에 내 지갑이 완전히 비워졌다. 무슨 일이 일어난 건지 이해할 수 없었다. 피싱 링크를 클릭한 적도 없고, 의심스러운 트랜잭션에 서명한 적도 없었다.
몇 시간 동안 조사하고 전문가의 도움을 받은 끝에, 마침내 어떻게 털렸는지 알아냈다. 이 모든 일은 호텔 Wi-Fi 네트워크, 짧은 통화, 그리고 일련의 멍청한 실수들 때문에 발생했다.
대부분의 암호화폐 중독자들처럼, 나도 호텔에 머무는 동안 일을 조금 하려고 노트북을 가져갔다. 아내는 3일 동안 일하지 말라고 강력히 말했는데, 아내 말을 들었어야 했다.
다른 사람들처럼 호텔 Wi-Fi에 연결했다. 비밀번호도 없고, 그냥 반응형 포털만 있었다.
평소처럼 일했다. 위험한 건 아무것도 없었다. 지갑 생성도 없고, 이상한 링크도 없고, 의심스러운 dApp도 없었다. 그저 X, 잔액, 디스코드, 텔레그램 등을 확인했을 뿐이다.
어느 순간, 친구에게서 전화가 왔다. 시장 상황, 비트코인, 그리고 암호화폐 전반에 대해 이야기를 나눴다.
내가 몰랐던 것은, 근처에 있던 누군가가 그 대화를 듣고 내가 암호화폐에 관여하고 있다는 걸 알아챘다는 것이다. 그게 내 첫 번째 실수였다. 그 사람은 내가 팬텀을 사용하고 있고 자산을 꽤 많이 보유하고 있다는 걸 파악했다.
그게 그가 나를 타겟으로 삼을 수 있게끔 했다.
공용 와이파이에서는 모두가 같은 네트워크를 공유하고, 기기들이 생각하는 것보다 훨씬 더 자세히 서로를 확인할 수 있다. 사용자들 사이에 실질적인 보호 장치가 없다. 이것이 이른바 중간자 공격(man-in-the-middle attack)을 가능하게 한다. 공격자는 당신과 인터넷 사이에 자신을 위치시킨다. 마치 누군가가 편지가 당신에게 도착하기 전에 몰래 읽고 수정하는 것과 같다.
호텔 와이파이를 사용하는 동안, 한 웹사이트가 정상적으로 로드됐지만, 뒤에서 추가적인 악성 코드가 페이지에 주입됐다. 이상한 점을 전혀 눈치채지 못했다. 특정 보안 도구를 설치했다면 알아챌 수 있었겠지만, 설치하지 않았다.
일반적으로 웹사이트는 지갑에 무언가에 서명하도록 요청할 수 있다. 팬텀이 팝업을 표시하면, 승인하거나 거부한다. 보통은 웹사이트와 사용 중인 브라우저를 신뢰하기 때문에 이를 신뢰한다. 그날은 그러지 말았어야 했다.
주피터에서 스왑을 하는 동안, 악성 코드가 평소의 스왑 작업 대신 지갑 요청을 트리거했다. 트랜잭션 세부 사항을 주의 깊게 확인했다면 악성 요청임을 알아챌 수 있었겠지만, 이미 주피터에서 스왑 중이었기 때문에 의심하지 않았다.
그날 내 자금을 이동시키는 트랜잭션에 서명한 게 아니라, 권한을 부여하는 무언가에 서명했다.
그래서 며칠 후에 도난이 발생한 것이다.
악성 코드는 솔라나를 보내라고 요청하지 않았다. 그랬다면 너무 뻔해서 티가 났을 것이다. 대신 "액세스 승인", "계정 승인" 또는 "세션 확인"을 요청했다.
간단히 말해, 다른 주소가 내 대신 행동할 수 있는 권한을 준 것이다.
주피터 활동과 관련된 거라고 생각해서 승인했다. 팬텀은은 기술적인 메시지를 표시했고, 금액도 없었고, 즉각적인 전송도 없었다.
그 시점에서 공격자는 필요한 모든 것을 확보했다. 내가 호텔을 떠날 때까지 기다렸다가 내 솔라나를 전송하고, 토큰을 이동시키고, NFT를 다른 주소로 보냈다.
이런 일이 나에게 일어날 거라곤 전혀 생각하지 못했다. 다행히 메인 지갑은 아니었고, 특정 작업에 사용하던 핫 월렛이었다. 장기 보유용이 아니었다. 그래도 많은 실수를 했고, 주된 책임은 나에게 있다고 생각한다.
첫째, 호텔의 공용 와이파이에 절대 연결하지 말았어야 했다. 대신 휴대폰의 모바일 핫스팟을 사용했어야 했다.
두 번째 실수는 호텔의 공용 공간에서 암호화폐에 대해 이야기할 만큼 안전하다고 느낀 것이다. 많은 사람들이 대화를 엿들을 수 있는 곳이었다. 아버지는 항상 내가 암호화폐에 관여하고 있다는 걸 아무도 모르게 하라고 말씀하셨다. 훨씬 더 나쁜 상황이 될 수도 있었다. 암호화폐 때문에 납치되거나 살해당하는 사람들도 있다.
또 다른 실수는 지갑 요청을 완전히 주의를 기울이지 않고 승인한 것이다. 주피터에서 온 거라고 확신했기 때문에, 주의 깊게 분석하지 않았다. 모든 지갑 요청은 신뢰할 수 있는 애플리케이션에서라도 최대한의 주의를 기울여 검토해야 한다. 요청이 가로채질 수 있고, 실제로는 생각하는 앱에서 온 게 아닐 수도 있다.
결국 보조 지갑에서 약 5,000달러를 잃었다. 훨씬 더 심각할 수도 있었지만, 여전히 답답하다.