빗썸은 9월 정보보호 캠페인의 일환으로 가짜 인공지능(AI) 자동매매 프로그램과 투자 분석 도구를 이용한 악성코드 피해 예방 캠페인을 진행한다고 10일 밝혔다.
최근 AI 기반 가상자산 투자 서비스가 확산하자 이를 악용한 사이버 범죄도 늘고 있다. 사기범들은 'AI가 자동으로 매매해 고수익을 낸다', 'API 키만 연결하면 손실 없이 거래할 수 있다'는 문구로 이용자를 유인한 뒤 악성 프로그램 설치를 유도하는 것으로 나타났다.
악성코드에 감염되면 브라우저에 저장된 아이디와 비밀번호, 로그인 세션 쿠키는 물론 API 키와 개인 지갑의 개인키·시드 구문까지 유출될 수 있다. 공격자가 탈취한 로그인 세션이나 API 키 권한을 이용해 계정에 접근하고 자산을 빼돌릴 가능성도 있다.
빗썸은 검색광고와 사회관계망서비스(SNS), 메신저 링크 등을 통해 배포되는 출처 불명의 실행 파일이나 압축 파일을 내려받지 말 것을 당부했다. 자동매매 서비스를 이용할 때는 공식적으로 검증된 서비스를 선택해야 한다고 강조했다.
API 키와 개인키, 시드 구문 등 핵심 보안 정보는 외부 프로그램이나 웹사이트, AI 서비스에 직접 입력하지 않아야 한다. API 키를 발급할 때는 출금 권한을 제외하고 조회와 주문 등 필요한 권한만 부여하는 것이 안전하다. 사용하지 않거나 외부에 노출된 키는 즉시 폐기해야 한다.
비인가 프로그램을 설치한 뒤 알 수 없는 브라우저 확장 프로그램이 추가되거나 보안 설정 변경 알림이 나타난다면 인터넷 연결을 차단해야 한다. 이후 감염되지 않은 별도 기기를 이용해 비밀번호를 변경하고 API 키 삭제와 출금 주소 확인 등 계정 보호 조치를 해야 한다.
빗썸 관계자는 “AI에 대한 기대감과 고수익을 노리는 심리를 악용한 정보 탈취형 비인가 악성코드가 기승을 부리고 있어 이용자들의 각별한 주의가 필요하다”며 “고객이 당사의 공식 AI 서비스 등을 안심하고 이용하며 거래할 수 있는 안전한 환경을 조성하기 위해 보안 시스템을 지속적으로 강화하고 예방 캠페인을 확대해 나갈 것”이라고 밝혔다.
송혜영 기자 hybrid@etnews.com
