"AI가 알아서 고수익"…빗썸, 가짜 자동매매 악성코드 경고

빗썸이 9월 10일 가짜 AI 자동매매 프로그램과 투자 분석 도구를 통한 악성코드 피해 예방 캠페인을 진행한다고 밝혔다. 9월 정보보호 캠페인의 일환으로, AI 기술을 접목한 가상자산 투자 서비스가 대중화되면서 이를 악용해 민감 정보를 탈취하는 신종 사이버 범죄가 급증한 데 따른 조치다.

사기범들은 “AI가 알아서 매매해 고수익을 낸다”거나 “응용 프로그램 인터페이스(API) Key만 연결하면 무손실 자동매매가 가능하다”는 문구로 투자자를 유인한 뒤, 실제로는 기기 내 민감 정보를 탈취하는 비인가 악성코드 설치를 유도하고 있다.

목차

01

“무손실 자동매매” 문구로 설치 유도

02

유출되는 정보의 범위

03

빗썸이 권고한 이용 수칙

04

감염이 의심될 때 대응

“무손실 자동매매” 문구로 설치 유도

빗썸에 따르면 이 같은 프로그램은 고수익과 무손실 자동매매를 내세워 투자자를 현혹해 설치를 유도한다. 정상 서비스처럼 보이는 웹사이트라도 배포 경로가 불명확하면 주의가 필요하다고 빗썸은 당부했다.

유출되는 정보의 범위

가짜 프로그램에 감염될 경우 브라우저에 저장된 아이디와 비밀번호, 로그인 세션 쿠키뿐 아니라 API Key, 개인 지갑의 개인키와 시드 구문까지 유출될 수 있다. 공격자는 탈취한 로그인 세션을 이용해 비밀번호 없이 계정에 접근할 수 있고, API Key 권한을 악용해 자산을 무단으로 이동시킬 가능성도 있다.

빗썸이 권고한 이용 수칙

빗썸은 출처가 불분명한 비인가 AI 프로그램 사용을 피해야 한다고 당부했다. 검색광고, 사회관계망서비스(SNS), 메신저 링크를 통해 배포되는 실행 파일이나 압축 파일은 다운로드하지 말고 공식 검증 채널을 이용해야 한다.

AI 자동매매를 이용하려면 빗썸이 공식 제공하는 '빗썸 AI 트레이드 킷' 등 검증된 서비스를 활용하는 것이 권장된다. 빗썸은 이 서비스가 사용자 기기 내 API Key 관련 정보를 별도로 저장하지 않으며, 챗GPT와 클로드 등 AI와 연동해 코딩 없이 자동매매를 지원한다고 설명했다.

또한 API Key, 개인키, 시드 구문 등 자산 접근 권한이 담긴 정보는 외부 비인가 프로그램이나 웹사이트, AI에 직접 입력해서는 안 된다. 공식 자동매매 서비스 연동을 위해 API Key를 발급하더라도 출금 권한은 부여하지 않고 조회와 주문 등 필수 권한만 허용하는 것이 안전하다. 아울러 공용 PC가 아닌 개인 PC 환경에서만 프로그램을 실행하고, 노출됐거나 사용하지 않는 키는 즉시 폐기해 유출 위험을 원천 차단해야 한다고 덧붙였다.

감염이 의심될 때 대응

빗썸은 비인가 프로그램 설치 후 알 수 없는 브라우저 확장 프로그램이 추가되거나 보안 설정 변경 알림이 나타나면 악성코드 감염을 의심해야 한다고 밝혔다. 이 경우 즉시 인터넷 연결을 차단하고, 감염되지 않은 별도 기기에서 빗썸 비밀번호 변경, API Key 삭제, 출금 주소 목록 확인 등 계정 보호 조치를 취해야 한다.

빗썸 관계자는 “AI에 대한 기대감과 고수익을 노리는 심리를 악용한 정보 탈취형 비인가 악성코드가 기승을 부리고 있다”며 “앞으로도 공식 AI 서비스 등을 안심하고 이용할 수 있도록 보안 시스템을 강화하고 예방 캠페인을 확대해 나가겠다”고 말했다.

가상자산 거래에서는 출처가 확인되지 않은 프로그램에 자산 접근 권한을 넘기지 않는 것이 기본이며, 수익을 보장한다는 문구는 그 자체로 경계 신호로 삼는 것이 안전하다.