레볼루트를 속였던 해커들이 이제 6,000 XMR을 요구하고 있다

파이낸셜 타임스(FT)와 단독 인터뷰를 진행한 해커들에 따르면, 레볼루트가 고객 데이터를 유출한 것은 해커들이 서버를 해킹했기 때문이 아니라, 공격자들이 단순히 데이터를 요청했기 때문이라고 한다. 수개월 동안 이탈리아 법 집행 기관을 사칭하고 합법적인 정부 이메일 시스템을 이용한 ‘iamnotavillain’이라는 이름의 해커 집단은 특정 암호화폐 사용자에 대한 파일을 요청하는 데 수개월을 보냈다. 해커들의 주장은 FT 기자인 톰 윌슨(Tom Wilson), 라이스 알-칼라프(Laith Al-Khalaf), 에이미 카즈민(Amy Kazmin)에게 “일련의 메시지”를 통해 전달되었다. 레볼루트는 이 요청에 응해 여권, 셀카, 거래 내역 등이 포함된 기록을 보낸 것으로 알려졌다. 현재 이 그룹은 약 680명의 데이터를 보유하고 있으며 6,000 모네로(XMR), 약 300만 달러를 요구하고 있는 가운데, 공개된 카운트다운 시계는 해당 신원 정보를 다른 범죄자들에게 넘기겠다고 위협하고 있다.

침입한 게 아니라 요청했을 뿐이다

보도에 따르면, 이번 레볼루트 데이터 유출 사건은 공격자들이 법적 및 정부 통신에 사용되는 인증 이메일 네트워크인 이탈리아의 Posta Elettronica Certificata(PEC) 시스템을 이용했기 때문에 성공한 것으로 알려졌다. 해킹된 채널을 통해 전송된 메시지에는 정당한 도메인 인증 정보가 포함되어 있었기 때문에, 레볼루트는 실제 정부 기관에서 보낸 것처럼 보이는 이메일을 수신하게 되었다.

그것이 함정이었습니다. 인증을 통해 이메일이 합법적인 도메인에서 발송된 것임은 확인할 수 있었지만, 계정 소유자가 실제로 권한을 부여받은 공무원이라는 사실은 증명할 수 없었습니다. 공격자들은 레볼루트의 보안 시스템을 뚫은 것이 아니라, 합법적인 정부 요청을 처리하기 위해 설계된 절차를 악용했다고 주장합니다.

피해자는 사전에 선별되었다

이는 무작위적인 데이터 탈취가 아니었습니다. 이 그룹은 온체인 분석을 통해 암호화폐 거래 활동이 활발한 레볼루트 사용자를 식별한 뒤, 해당 인물들의 이름을 명시하여 기록을 요청했다고 주장합니다. FT의 보도에 따르면, 피해를 입은 그룹은 31개국에 걸쳐 플랫폼을 이용한 약 680명으로, 그중 상당수가 스위스와 프랑스에 거주하는 것으로 나타났습니다.

유출된 파일에는 이름, 주소, 전화번호, 계정 ID, 암호화폐 입출금 내역, 법정화폐 이체 내역, KYC(고객 신원 확인) 서류, 본인 확인용 셀카 등이 포함된 것으로 알려졌다. 쉽게 말해, 이 조직은 단순한 연락처 정보를 수집한 것이 아니라 표적으로 삼을 가치가 있다고 판단한 사람들에 대한 상세한 신원 정보를 체계적으로 구축하고 있었던 것이다.

그리고 모네로(Monero) 요구가 이어졌다

9월 16일, ‘Iamnotavillain’은 바로 그 이름의 웹사이트에 공개 최후통첩을 게시하며, 24시간 이내에 6,000 XMR(약 300만 달러 상당)을 지불하지 않으면 도난당한 파일을 다른 범죄 조직에 판매하겠다고 위협했다. 이보다 앞서 텔레그램을 통해 10,000 비트코인(BTC)을 요구하는 메시지가 유포되었으나, 이 단체는 나중에 그 금액을 사칭자나 전직 동료의 소행이라고 주장했습니다.

많은 관측통들에게 모네로(XMR)로의 전환은 갈취 요구로서는 타당해 보인다. 비트코인 거래 내역은 공개 원장에 노출되는 반면, XMR은 거래 세부 정보를 숨기도록 설계되었다. 한편, 레볼루트(Revolut)는 카운트다운이 시작되었을 때 범행을 자처한 측으로부터 직접적인 요구를 받은 적이 없다고 언론에 밝혔으며, 이로 인해 카운트다운은 협상만큼이나 대중을 향한 압박 캠페인으로 여겨졌다.

Revolut은 자사의 시스템과 고객 자금이 영향을 받지 않았다고 주장한다. 범죄자들은 회사의 핵심 네트워크에 침투하지도 않았고, 고객 계좌에서 자금을 빼내지도 않은 것으로 보인다. 현재 알려진 바에 따르면, 이들은 합법적인 공식 요청으로 위장하여 Revolut 측을 설득해 정보를 넘겨받았다고 한다.

그렇다고 해서 유출된 기록이 무해한 것은 아닙니다. 여권, 셀카, 거주지 주소, 전화번호, 거래 내역 등은 신원 도용, 계정 재설정, 가짜 고객 지원 전화, 그리고 다른 금융 서비스를 대상으로 한 후속 공격을 가능하게 할 수 있습니다. 진정한 위험은 레볼루트에서 유출된 정보 그 자체뿐만 아니라, 해당 파일들이 다른 곳에서 어떤 문제를 야기할 수 있는지에 있습니다.

더 큰 문제는 KYC 신뢰 채널이다

레볼루트는 9월 12일 테크크런치에 신원 도용 사기를 파악하고 해당 주소를 차단했으며, 관련 기관, 법 집행 기관 및 규제 당국에 통보했다고 밝혔다. 수사 당국은 현재 합법적인 정부 통신 채널이 어떻게 이 작전의 일부가 되었는지 조사 중이다.

이는 해당 암호화폐 기업 자체를 넘어 불편한 의문을 남깁니다. 단 하나의 정부 메일박스가 해킹당해 수개월 동안 설득력 있는 정보 요청을 생성할 수 있었다면, 다른 암호화폐 기관들도 유사한 메시지를 받았을 가능성이 있습니다. 공격자들은 금고를 뚫은 것이 아닙니다. 그들은 금고를 열도록 요청할 법적 권한이 있는 사람인 것처럼 위장한 것입니다.