하이퍼리퀴드 사칭한 가짜 구글광고에 속아 이용자 USDC 55만개, 7억8000만원 날렸다

하이퍼리퀴드(Hyperliquid)를 사칭한 가짜 구글 검색광고에 속아 한 이용자가 USDC 550,019개, 약 7억8000만원(1달러 1,415원 기준)을 잃는 사건이 발생했다. 자산 구조 전문업체 플래시레스큐(FlashRescue) 공동창업자 다시(Darcy)가 8월 13일(현지시각) 이 피해를 공개했다. 탈취된 자금은 세 개 지갑 주소로 나뉘어 빠져나간 것으로 온체인 데이터에서 확인됐다. 구글은 문제가 된 광고주 계정을 정지했지만, 이번 사건이 실제로 구글 광고 때문에 벌어졌는지는 다시의 조사와 피해자 증언에 근거한 주장이라는 점도 함께 짚어야 한다. 보안업체 고플러스 시큐리티(GoPlus Security)도 같은 주소 중 두 곳을 별도 경고 목록에 올렸다.

550,019 USDC, 세 개 지갑으로 쪼개져 사라졌다

온체인 기록을 보면 탈취 자금은 약 440,015 USDC, 82,503 USDC, 27,501 USDC로 나뉘어 세 개 주소(0x98b276…13C55, 0x93b6B2…d6D1, 0x6fE314…B566)로 흘러갔다. 합산하면 다시가 추산한 약 55만 달러 규모와 일치한다.

다만 블록체인 기록만으로는 자금이 이동했다는 사실만 증명할 뿐, 피해자가 어떤 경로로 속았는지까지는 알 수 없다. 다시는 하이퍼리퀴드를 사칭한 구글 유료 광고를 원인으로 지목했다. 시큐리티얼라이언스(Security Alliance, SEAL)도 개별 광고와 피해를 직접 연결하려면 피해자의 직접 증언과 추가적인 침해 흔적이 필요하다고 밝힌 바 있어, 이번 사건의 인과관계는 여전히 다시 측 주장에 의존하는 상태다.

구글, 광고주는 정지했지만…연간 수십억 건 걸러내도 사각지대는 남는다

구글은 이번 사건과 관련된 광고주 계정을 정지했다고 밝혔다. 구글 관계자는 더 블록(The Block)에 회사가 “사기에 대해 무관용 원칙”을 적용하고 있다며, 2025년 한 해 정책 위반 광고의 99% 이상을 사전에 걸러냈다고 설명했다. 하이퍼리퀴드 측은 관련 문의에 별다른 답변을 내놓지 않았다.

구글이 발표한 2025년 광고 안전 보고서에 따르면 회사는 지난해 광고 83억 건 이상을 차단·삭제했고, 광고주 계정 2,490만 개를 정지시켰다. 이 중 사기와 관련된 광고는 6억200만 건, 관련 계정은 400만 개에 달했다. 다만 이 수치는 구글의 전 세계 단속 실적을 집계한 것으로, 이번 하이퍼리퀴드 사건 하나만을 겨냥한 통계는 아니다. 결국 아무리 대규모로 차단해도 개별 피싱 광고가 뚫고 들어올 여지는 남아있다는 뜻이다.

하이퍼리퀴드 사칭 사이트만 17곳…구글 광고 노린 피싱, 반복되는 패턴

이번 사건은 암호화폐 이용자를 겨냥한 스폰서 검색광고 피싱 캠페인의 연장선으로 보인다. SEAL은 올해 4월 관련 캠페인을 문서화하면서 몇 주 사이 악성 광고 URL 356개 이상을 차단했다고 밝혔다. 당시 데이터셋에는 하이퍼리퀴드를 사칭한 사이트가 17곳 포함돼 있었는데, 이는 브랜드별 분류에 포함된 352개 항목 중 약 5%에 해당한다.

SEAL에 따르면 공격자들은 해킹당했거나 불법으로 구매한 인증된 광고주 계정을 이용하고, 클로킹(cloaking·자동 탐지를 피하기 위해 콘텐츠를 위장하는 기법)과 핑거프린팅 기법을 함께 활용해 자동 검증을 우회한다. 일부 캠페인은 겉보기엔 무해한 구글 호스팅 페이지를 앞에 내세우고, 실제 악성 콘텐츠는 별도 프레임을 통해 전달하는 방식을 쓴다. 이렇게 하면 보안 시스템이 보는 화면과 실제 피해자에게 노출되는 화면이 서로 다를 수 있다. SEAL은 암호화폐 이용자에게 구글 검색을 통해 관련 애플리케이션에 접근하지 말고, 대신 검증된 북마크를 이용하라고 권고했다.

비슷한 피해는 이번이 처음이 아니다. 지난 5월에는 가짜 유니스왑(Uniswap) 광고로 최소 40만 달러의 피해가 발생한 것으로 알려졌다. SEAL은 3월 13일부터 30일 사이 악성 구글 광고와 관련해 확인되거나 의심되는 손실 규모가 127만 달러에 이른다고 집계했다. 이달 초에는 트레저(Trezor) 이용자도 스폰서 검색 결과를 통한 피싱으로 자금을 잃었다고 보고했고, 트레저 측은 스폰서 검색 결과가 공식 사이트를 그대로 흉내낼 수 있으니 무조건 신뢰하지 말라고 고객들에게 경고했다.

하이퍼리퀴드 프로토콜은 안전…남은 문제는 이용자의 URL 확인

현재까지 나온 근거로는 하이퍼리퀴드의 블록체인이나 거래 프로토콜 자체가 뚫렸다는 증거는 없다. 이번 공격은 이용자가 정식 플랫폼에 접속하기 전, 이를 사칭한 외부 피싱 사이트로 유도된 결과로 보인다. 이는 공개된 보안 보고서를 바탕으로 한 추정이며, 하이퍼리퀴드 측이 직접 조사해 내린 결론은 아니다.

하이퍼리퀴드의 공식 지원 문서는 이미 사기범들이 비슷하게 생긴 도메인을 쓴다는 점을 경고하며 이용자에게 전체 웹사이트 주소를 꼼꼼히 확인하라고 안내하고 있다. 또한 승인되지 않은 거래, 사라진 자금, 알 수 없는 멀티시그(multisig·다중 서명) 변경이 발견되면 지갑이 이미 탈취됐을 가능성을 의심해야 한다고 안내한다.

구글은 이번 사건과 관련된 광고주를 정지했고, 자금이 흘러간 세 개 주소는 여전히 온체인상에서 추적이 가능한 상태다. 다만 8월 14일(현지시각) 기준으로 이번 손실과 직접 관련된 수사기관 조사나 자산 회수 소식은 공개적으로 나오지 않았다. 다음 확인 지점은 해당 지갑에서 추가 자금 이동이 발생하거나, 거래소나 브리지 등 자금이 거쳐갈 서비스가 특정돼 수사에 필요한 추가 정보가 확보되는 시점이 될 것으로 보인다. 현재로선 약 55만 달러 규모의 피해는 온체인 자금 이동 기록으로 뒷받침되지만, 구글 광고가 원인이라는 주장은 여전히 플래시레스큐 다시 측의 귀속에 의존하고 있다.