클로드 코드가 맥에 숨은 암호화폐 채굴기 적발…CPU 1175% 쓰고 112도까지 달궜다

AI 코딩 에이전트 클로드 코드(Claude Code)가 개발자의 맥(Mac)에 숨어 있던 암호화폐 채굴 프로그램을 찾아냈다. 레딧 이용자 UntilHEX는 맥 온도 모니터 앱을 클로드 코드와 함께 만들던 중이었다. 클로드 코드는 “당신의 맥에서 내가 심지 않은 암호화폐 채굴기가 돌아가고 있다”고 경고했다. 톰스하드웨어(Tom's Hardware)가 이 사례를 전했다.

센서 수치가 “너무 높아 보였다”

발단은 원시 온도 센서 값이었다. UntilHEX는 맥의 온도 센서 데이터를 뽑아 본 뒤 “수치가 너무 높아 보였다”고 레딧 게시물에 적었다. 클로드 코드는 이 값을 분석해 CPU 온도가 최고 섭씨 112도까지 올랐다고 짚었다.

원인으로 지목된 것은 지속적인 고부하였다. 클로드 코드는 “xmrig가 CPU를 약 1175% 쓰고 있었다. 대략 12코어 분량”이라고 설명했다. CPU 사용률은 코어 하나를 100%로 계산하는 방식이어서, 1175%는 코어 약 12개를 꽉 채워 쓴 것과 같다. XMRig는 암호화폐 채굴 프로그램이다.

UntilHEX가 쓴 맥의 코어 수는 게시물에 나오지 않는다. 톰스하드웨어는 12코어가 맥의 전체 코어일 수도 있다고 추측했다. 이 맥은 애플 실리콘(Apple Silicon) 컴퓨터다.

앱을 만든 계기가 감염이었을 수 있다

UntilHEX는 채굴 악성코드가 있다는 말을 듣고 “맥이 왜 그렇게 엉망으로 느려졌는지 설명이 된다”는 취지로 반응했다. 평소 맥이 심하게 버벅였다는 얘기다. 이 지점은 아이러니하다. 채굴 악성코드가 CPU를 독차지한 탓에 오히려 발견되고 제거됐을 수 있다는 것이다.

클로드 코드 화면 캡처에는 악성코드가 시작 프로그램 목록에 오른 시점이 단서로 남아 있다. 이 캡처를 근거로 보면 악성코드가 8월 29일(현지시각)경 맥의 시작 항목에 추가됐을 가능성이 있다. 확정된 날짜는 아니다.

온도 모니터 앱 개발 자체가 감염 이후에 시작됐을 가능성도 있다. 컴퓨터가 왜 이렇게 뜨거운지 추적하고 진단하려고 앱을 만들기 시작했을 수 있다는 얘기다.

바로 지우지 않고 허락부터 물었다

클로드 코드는 채굴 소프트웨어가 맥 안에 숨어 시작 시점부터 실행되도록 설정돼 있었다고 설명했다. 그러면서도 곧바로 무언가를 종료하거나 삭제하지는 않았다. 대신 정리를 제안하며 허락을 구했다.

클로드 코드가 제시한 문구는 다음과 같다. “지금 정리해도 될까요? 시작 항목과 채굴기를 멈추고, 파일은 격리 폴더로 옮기겠습니다.” 삭제가 아니라 격리 폴더로 옮기는 방식이었고, 실행 전에 사람의 동의를 받는 단계를 둔 셈이다.

직접 지운 파일은 1개, 이후 맬웨어바이트 검사

UntilHEX는 이후 댓글에서 실제로 클로드 코드에 정리를 맡겼다고 밝혔다. “클로드가 접근 권한 문제를 겪어서 파일 1개만 직접 지워야 했다. 그래도 매우 효과적이었다”고 썼다. 대부분의 작업은 에이전트가 처리했다는 뜻이다.

정리 후에는 맬웨어바이트(Malwarebytes) 검사를 돌려 제거가 제대로 됐는지 확인했다. 이 사례는 레딧 게시물과 댓글에 근거하고 있어 제3자 검증은 확인되지 않는다.

AI 코딩 에이전트의 역할은 코드 작성에만 머물지 않는다. 앞서 리눅스 창시자 리누스 토르발스가 클로드 코드로 커널 패치를 작성했다고 직접 밝힌 일도 있었다. 이번에는 개발 도중 시스템 이상 징후를 분석하고 악성코드 정리까지 맡은 사례다.