공식 앱인 줄 알았더니 함정…맥 앱스토어서 비트코인 40만달러 털렸다

이번 사례는 앱 장터에 올라온 위장 앱이 하드웨어 지갑 이용자의 복구 문구를 노릴 수 있다는 점을 드러냈다. [사진 셔터스톡]

[디지털투데이 홍진주 기자] 애플 맥 앱스토어에 등록된 가짜 레저(Ledger) 앱이 이용자의 시드 문구를 빼내 40만달러가 넘는 비트코인(BTC)을 탈취한 것으로 나타났다.

11일 블록체인 매체 비인크립토에 따르면, 뮤지션 G. 러브(G. Love)로 알려진 개릿 더튼(Garrett Dutton)은 새 애플 컴퓨터로 레저 지갑 환경을 옮기는 과정에서 5.9BTC를 잃었다고 밝혔다.

피해는 사용자가 앱스토어에서 '레저 라이브'(Ledger Live)를 검색한 뒤, 정식 앱처럼 보이는 프로그램을 내려받으면서 발생했다. 해당 앱은 실행 뒤 24개 단어로 된 시드 문구 입력을 요구했고, 더튼이 이를 입력하자 보관 중이던 비트코인이 곧바로 빠져나갔다. 탈취된 물량 가치는 42만4000달러를 넘었다.

더튼은 엑스(구 트위터)에 올린 글에서 도난 자금이 자신의 은퇴자금이었다고 밝혔다. 그는 "5.9BTC를 잃었다. 10년 동안 내가 가진 전부였다. 조심하라"고 적었다.

온체인 조사자 잭XBT(ZachXBT)는 탈취된 5.92BTC의 이동 경로를 추적한 결과, 자금이 쿠코인(KuCoin) 입금 주소로 확인된 지갑들을 거쳤다고 밝혔다. 그는 피해 자금 회수 가능성을 묻는 질문에 쿠코인이 개입할 것으로 보지 않는다고 말했다.

잭XBT는 쿠코인이 필요할 때만 규정 준수 이미지를 내세운다고 비판했다. 또 쿠코인이 2026년 2월 MiCA 라이선스를 취득한 지 3개월 만에 이를 잃은 점을 거론하며, 규정 준수 체계에 더 깊은 문제가 있다고 주장했다. 이어 불법 서비스들이 여전히 브로커 계정과 개인 계정을 이용하고 있고, 대량의 입금 주소가 사용된 점을 보면 범인들이 즉시 교환 서비스를 통해 자금을 우회했을 가능성이 있다고 덧붙였다.

이번 사건은 앱 장터에 올라온 위장형 암호화폐 지갑 앱의 위험을 다시 드러냈다. 특히 하드웨어 지갑 사용자가 공식 소프트웨어로 보이는 앱에 안심하고 복구 문구를 입력할 경우, 보관 자산 전체를 즉시 잃을 수 있다는 점이 확인됐다.

퍼지펭귄 보안 책임자 보(Bo)도 하드웨어 지갑의 시드 문구를 노트북이나 스마트폰처럼 인터넷에 연결된 기기에 입력해서는 안 된다고 경고했다. 그는 사기범들이 이메일, 허위 광고, 심지어 우편물까지 동원해 가짜 지갑 앱을 유포한다며, 지갑 소프트웨어를 내려받거나 업데이트하라는 메시지는 사용자가 독립적으로 확인하기 전까지 모두 사기로 간주해야 한다고 밝혔다.

이에 따라 이용자들은 검색 결과만 믿고 지갑 앱을 설치하기보다, 공식 사이트와 개발사 정보, 복구 문구 요구 여부를 먼저 확인해야 할 필요가 커졌다. 특히 시드 문구를 요구하는 순간 자산 탈취 시도가 진행 중일 수 있다는 점이 이번 피해 사례에서 드러났다.

I had a really tough day today I lost my retirement fund in a hack/Scam when I switched my @Ledger over to my new computer and by accident downloaded a malicious ledger app from the @Apple store. All my BTC gone in an instant.
— G. Love (@glove) April 11, 2026