레볼루트 해킹조직, 크립토 큰손 노려 모네로 300만 달러 몸값 24시간 시한 요구

레볼루트(Revolut) 이용자, 특히 암호화폐를 많이 보유한 계좌라면 자신의 개인정보가 해커 손에 넘어갔을 가능성을 확인해볼 필요가 있다. ‘iamnotavillain’이라는 해킹 조직이 여권 사본과 거래 내역을 포함한 고객 데이터를 훔쳤다며 24시간 안에 6000 모네로(XMR), 약 300만 달러(약 40억 8000만 원, 1달러 1,360원 기준)를 요구했다. 레볼루트는 이 그룹으로부터 직접 몸값 요구나 연락을 받은 적이 없다고 밝혔지만, 비슷한 시기 또 다른 조직들도 저마다 책임을 주장하며 혼란을 키우고 있다. 계좌에 큰 암호화폐 자산을 보유한 이용자일수록 표적이 됐을 가능성이 크다는 점에서, 지금 무엇이 새어나갔고 무엇을 조심해야 하는지 짚어본다.

블록체인으로 '크립토 큰손'만 골라 노렸다

iamnotavillain은 파이낸셜타임스(Financial Times)에 공격 대상을 온체인 분석(블록체인상 거래 데이터 추적)으로 골랐다고 밝혔다. 이 그룹은 “정확한 방법은 밝히지 않겠지만 온체인 분석을 통해서였다”며 표적이 된 이용자를 “크립토 고래”라고 불렀다. 스위스와 프랑스 계좌가 가장 많았고, 나머지는 영국·독일·스페인을 포함한 31개국에 흩어져 있었다고 주장했다.

이 그룹은 수요일(현지시각) 자체 제작한 웹사이트에 카운트다운 시계와 함께 “6000 XMR / $3,000,000”라는 몸값 요구를 올렸다. 사이트에는 “그렇지 않으면 모든 데이터가 팔릴 것이고, 그 피는 당신들 손에 있다”는 경고문도 함께 게시됐다. 모네로 1개당 약 500달러로 계산해 총 300만 달러를 요구한 셈이다.

온체인 투자자로 알려진 잭XBT(ZachXBT)는 앞서 유출이 “고액 자산가를 표적으로 한 것으로 보인다”고 언급했다. 디크립트(Decrypt)는 신원·주소·암호화폐 보유 사실이 한꺼번에 노출된 조합이, 최근 늘어난 암호화폐 보유자 대상 강압 범죄인 일명 ‘렌치 공격’의 표적 조건과 맞아떨어진다고 지목했다.

유출된 정보 중 무엇이 새고, 무엇은 안전한가

크립토뉴스 등의 보도를 종합하면, 유출된 자료에는 이름·생년월일·직업·주소·이메일·전화번호와 함께 여권·운전면허증 사본, 본인 확인(KYC)용 셀피 사진이 포함돼 있다. 계좌 정보로는 국제은행계좌번호, 계좌 개설일과 상태, 인출 기록, 전체 거래 내역이 담겼고 일부 계좌는 비트코인 지갑 참조번호와 비트코인 거래 기록까지 포함됐다.

반면 레볼루트는 얼굴 인식에 쓰이는 생체 인증 데이터(바이오메트릭 얼굴 데이터)는 이번에 유출되지 않았다고 밝혔다. 개인 키, 비밀번호, 보안코드, 카드 전체 정보도 노출 목록에 없다고 설명했다. 회사는 “레볼루트 시스템과 고객 자금은 영향을 받지 않았다”는 입장을 유지하고 있고, 영향을 받은 계좌 비중을 “매우 제한적”이라고 표현했다.

다만 이름과 주소, 여권 사본처럼 신원을 특정할 수 있는 정보와 비트코인 거래 내역이 함께 새어나간 것 자체가 문제다. 두 정보를 결합하면 특정인이 어떤 지갑 주소로 얼마나 많은 암호화폐를 갖고 있는지 외부에서 추정할 수 있는 여지가 생긴다.

지금 이용자가 확인해야 할 것

가장 먼저 확인할 점은 레볼루트가 해커 그룹으로부터 어떤 직접 연락이나 요구도 받은 적이 없다고 밝혔다는 사실이다. 따라서 ‘iamnotavillain’이나 다른 조직을 자처하며 개인에게 직접 접근해 돈을 요구하거나 데이터 삭제를 조건으로 결제를 유도하는 메시지가 있다면, 회사가 인정한 소통 경로가 아니라는 뜻이다. 이런 접근에는 응답하거나 개인정보·결제 정보를 추가로 제공해서는 안 된다.

또 하나 눈여겨볼 대목은 이번 유출이 시작된 방식이다. 레볼루트는 실제 정부기관 도메인의 이메일 계정이 유효한 인증까지 통과해 자사 확인 절차를 속였다고 설명했다. 회사 수준의 검증 절차마저 뚫렸다는 점에서, 이용자 역시 공식 기관이나 은행을 사칭해 신분증 재제출이나 계좌 확인을 요구하는 이메일·문자를 받으면 발신 주소나 링크를 그대로 믿지 말고 레볼루트 앱이나 공식 고객센터를 통해 별도로 확인하는 절차가 필요하다.

영국 금융감독청은 시티에이엠 보도에서 레볼루트와 협력해 영향과 피해 완화 조치를 파악하고 있다고 밝혔고, 영국 정보위원회도 신고를 접수해 사안을 검토하고 있다고 전했다. 회사나 당국의 공식 공지 외에 유포되는 확인되지 않은 명단이나 파일에 접근하는 것도 추가 위험을 부를 수 있어 피해야 한다.

몸값 요구가 세 갈래로 늘어난 배경

혼란을 더하는 지점은 몸값을 요구하는 쪽이 하나가 아니라는 사실이다. iamnotavillain에 앞서 ‘Revolut Smilik’이라는 이름의 조직이 1만 비트코인, 당시 시세로 약 7억 8000만 달러(약 1조 600억 원, 1달러 1,360원 기준)를 요구했다는 보도가 나왔다. iamnotavillain의 300만 달러 요구와는 비교가 안 되는 규모다.

iamnotavillain은 자신들의 웹사이트에서 이 경쟁 주장을 정면으로 반박했다. 과거 협력자였던 인물이 데이터의 일부 샘플만 받은 뒤 전체를 가진 것처럼 행세하고 있다는 주장이었고, 다른 이들에게는 그 상대와 거래하지 말라고 경고했다. 다크웹 인포머는 여기에 더해 ‘revoloot.lol’이라는 또 다른 사이트를 언급하며 세 번째 주체가 책임을 주장하고 있다고 전했다. 코인텔레그래프 확인 결과 이 사이트와 iamnotavillain의 사이트 모두 접속이 되지 않는 상태였다.

이탈리아에서는 레조 칼라브리아 검찰이 시청 청사의 인증 이메일 계정에 대한 무단 접근 의혹을 수사하고 있다. 이 계정은 내무부 도메인에서 이탈리아 우편경찰 명의로 서명된 요청을 여러 달에 걸쳐 발송하는 데 쓰인 것으로 알려졌다. 이탈리아 반마피아·반테러 검찰청도 사건을 함께 추적하고 있으며, 이탈리아 개인정보보호당국은 자국 은행들에 유사한 침입 여부를 점검하라고 요청하고 레볼루트의 법적 소재지인 리투아니아 당국과도 접촉했다. 해당 그룹은 이탈리아 경찰 문서와 경찰관들의 대화 내용을 포함해 147기가바이트 분량의 자료를 갖고 있다고 주장했으며, 이 주장은 이탈리아 매체 안사 보도를 통해 사실 확인이 진행되고 있다. 레볼루트는 아직 협상 여부나 몸값 지불 계획을 밝히지 않았다.