시드 플러딩: PhishDestroy가 공개적으로 활동하는 이유
“공격” 피싱 사이트
우리는 이를 숨기지 않습니다. PhishDestroy가 암호화폐 지갑 시드 문구를 수집하는 활성 피싱 사이트를 탐지하면, 해당 사이트에 유효한 형식의 시드 문구 항목을 대량으로 전송합니다. 다음은 우리가 정확히 무엇을 하는지, 왜 그렇게 하는지, 그리고 왜 이를 부끄러워하지 않는지에 대한 설명입니다.
문제: 현재 피싱 사이트가 운영 중입니다
구글 유료 광고를 게재하고 있는 암호화폐 지갑 피싱 페이지를 발견했다고 상상해 보세요. 겉보기에는 정당한 사이트처럼 보입니다. 트래픽도 꽤 있습니다. 몇 분마다 실제 사용자들이 이 페이지에 접속해 시드 문구를 입력하고, 결국 모든 자산을 잃고 맙니다.
구글에 신고하세요. 등록 기관에 신고하세요. 호스팅 업체에 악용 신고를 제출하세요. 그리고는 기다리면 됩니다.
한편, 사기꾼은 47번째 피해자를 확보한다. 그다음 48번째, 그리고 49번째 피해자도 확보한다.
일반적인 악용 신고 처리 절차는 영업일 기준 5~10일이 소요됩니다. 반면, 활성 상태인 피싱 사이트는 단 몇 시간 만에 돌이킬 수 없는 금전적 피해를 입힙니다. 이러한 시간 차이는 시스템의 결함이 아니라, 사기꾼들이 의도적으로 악용하는 구조적 취약점입니다.
‘씨드 플러딩’이란 무엇인가?
시드 플러딩은 피싱을 방어하기 위한 기법으로, 유효한 형식이지만 비어 있거나 무의미함 암호화폐 지갑의 시드 문구가 제어된 속도로 피싱 양식에 자동으로 입력됩니다.
이 방법이 통하는 이유: 저가형 피싱 키트의 구조
현재 운영 중인 암호화폐 피싱 사이트의 압도적 다수는 다음을 기반으로 구축된 복사-붙여넣기 키트입니다. 무료 요금제의 타사 서비스. 이것이 바로 이들의 가장 큰 취약점입니다. 더 자세한 분석은 다음을 참조하십시오. 우리의 철저한 조사.
| 모듈 | 무료 이용 한도 | 홍수의 영향 |
|---|---|---|
| EmailJS | 월 약 200건의 제출 | 몇 시간 만에 소진되어 이메일 발송이 중단됩니다 |
| Formspree | 월 50건의 제출 | 거의 즉시 작동이 중단되었다 |
| Web3Forms | 월 250건의 제출 | 순식간에 무력화되었다 |
| 텔레그램 봇 API | 초당 처리량 제한 | 타임아웃 루프에 빠져버렸다 |
| Firebase 무료 티어 | 읽기/쓰기 할당량 | 데이터베이스 비용 급증 또는 접근 차단 |
시드 플러딩으로 인해 알림 파이프라인이 포화 상태에 이르자 피싱 인프라가 중단되는 현상을 직접 목격한 바 있습니다. 사기꾼들은 왜 시스템이 작동하지 않게 되었는지 알지 못합니다. 그저 데이터 수신이 중단될 뿐입니다.
당사의 기술적 접근 방식: 봇넷이 아닌 Cloudflare Workers
저희는 Cloudflare Workers. 요청은 Cloudflare의 자체 엣지 네트워크에서 발생합니다. 일반 가정용 IP가 악용되지 않습니다. 봇넷도 없습니다. 제3자 서버에 부하가 걸리지도 않습니다. 오직 사기꾼의 데이터 수집 시스템에만 영향을 미칩니다.
홍수 유량
속도 제한: 엄격한 2 submissions per 10 seconds. DDoS 공격이 아닙니다. 수십 개의 표적을 동시에 겨냥한, 느리고 의도적이며 표적화된 오염 공격으로, 그 규모가 워낙 커서 각 사이트당 발생률이 미미하더라도 전체적으로 의미 있는 수준에 이릅니다.
우리는 서버를 마비시키려는 것이 아닙니다. 우리는 사기꾼들의 업무를 지옥처럼 만들고, 그들의 데이터베이스를 무용지물로 만들고 있습니다. 이 과정에서 합법적인 인프라에는 어떠한 부수적 영향도 미치지 않습니다.
실제 사례 연구: 실무에서의 오염 관리
아래의 작업 내역은 당사의 운영 로그에서 그대로 인용한 것입니다. 도메인과 제공업체 식별자는 공개 시 회피를 조장할 우려가 있는 경우에만 삭제되었으며, HTTP 통신 기록은 수정되지 않았습니다. 두 대상 모두 개입 당시 활성 상태였으며, 유료 광고를 통한 인바운드 트래픽이 확인되었고, 독립적으로 다음과 같이 분류되었습니다. 피싱 작성자: VirusTotal에 등록된 외부 공급업체가 2곳 이상인 경우 당사에서 어떠한 조치를 취하기 전에.
작전 교리
모든 시드 플러딩 작전은 동일한 5대 원칙의 범위 내에서 수행됩니다. 예외는 없으며, 이 5가지 원칙을 모두 충족하지 못하는 작전은 실행되지 않습니다.
사례 1 — Formspark Exfil Endpoint, 월간 할당량 소진
checkblochn.pages.dev 중화됨위협 양상: 지갑 복구 미끼(“Dapp Node Sync”)를 통해 12단어 BIP-39 시드 문구를 공격자가 제어하는 무료 티어 Formspark 엔드포인트로 유출. 참여 시작 시점에 두 광고 플랫폼에서 유입된 유료 광고 트래픽이 확인됨.
message작전 일정 (UTC, 개입 시점 T-0 기준으로 익명 처리됨)
submit-form.com/32BrdUqfX JS 페이지에서 추출; 페이로드 구조 역공학 분석. 분석2 req / 10 s, 단일 Cloudflare Worker, 식별된 UA 문자열, 서명된 오리진.200 OK ~와 함께 formspark-quota: 64. 기준선 측정 완료.formspark-quota 0을 통과하면 → 엔드포인트가 아무런 알림 없이 전달을 중지합니다. 배수용 블라인드formspark-quota: −18. 홍수 대응 요원이 해고되었다.전송 중인 제출 내용 (시드는 표현적인 미끼입니다 — 실제 지갑과는 무관한 12개의 무작위 BIP-39 단어)
응답 — T+01:02 (기준치, 할당량 잔여)
응답 — T+06:12 (할당량 소진, 엔드포인트는 200 오류를 계속 반환하지만 전달은 하지 않음)
눈에 띄는 효과. T+06:08부터 T+19:30에 최종 철수할 때까지 — a 13시간 22분의 시간대 — 연락을 취한 모든 실제 피해자 checkblochn.pages.dev 그리고 복구 절차를 완료한 후 시드 문구를 엔드포인트에 제출했고, 해당 엔드포인트는 다음과 같은 응답을 반환했습니다. 200 OK 하지만 더 이상 해당 페이로드를 운영자의 수신함으로 전달하지 않았습니다. 피싱 페이지 나타났다 피해자의 브라우저에서 정상적으로 작동해야 합니다(오류나 의심스러운 징후가 없어야 함). 이는 바람직한 결과입니다. ‘작동하지 않았다’는 반사적인 반응은 종종 사용자가 다음에 발견하는 가짜 사이트에서 동일한 인증 정보를 다시 입력하게 만들기 때문입니다. 여기서 상호작용은 운영자가 상황을 파악하지 못한 채 종료되었다.
유료 광고가 여전히 활발하게 진행되고 있던 사이트에 이후 방문하는 모든 이용자에게 13시간의 보호 기간이 부여되었습니다. 이 기간은 Cloudflare Pages가 당사의 병행 처리된 악용 신고에 대응했을 때 종료되었는데, 이는 설계된 대로 정확히 작동한 것이었습니다. 이 트래픽 급증은 합법적인 게시물 삭제 조치를 대체한 것이 아니라, 그 기간을 메운 것이었습니다. ~할 때까지 합법적인 제압이 성공했다.
사례 2 — EmailJS Relay, 운영자가 발행한 식별자
allsyncapp.pages.dev 작전 수행 중위협 양상: 지갑 “동기화”를 가장한 사기 수법으로, 피해자가 입력한 시드 문구를 다음을 통해 운영자의 메일함으로 전송하는 EmailJS — 정식 거래용 이메일 SaaS 서비스입니다. 이 피싱 페이지에는 운영자의 service_id, template_id 그리고 user_id 클라이언트 측 자바스크립트에서, 이러한 식별자가 없으면 피해자의 브라우저가 이메일을 발송하는 POST 요청을 완료할 수 없기 때문입니다. 따라서 이러한 식별자들은 운영자가 자발적으로 노출시킨 공개 공격 표면의 일부입니다.
포착된 제출 내용 — 피싱 페이지 자체의 POST 요청에서 그대로 가져온 페이로드 형태
식별자 추출 (피싱 페이지 소스 코드에 대한 한 줄 정규식)
핵심 교리적 요점. 이 사례가 시사하는 바가 있는 이유는 바로 저희 측에서는 어떤 엔드포인트도 발견하지 못했습니다. 연산자 게시한다 EmailJS가 시드를 피해자의 메일함으로 전송하도록 하는 데 필요한 세 가지 식별자입니다. 피싱 페이지를 렌더링하는 모든 브라우저는 이 식별자들을 보유하고 있습니다. 우리의 워커는 피해자의 브라우저가 하는 것과 똑같은 작업을 수행합니다. 즉, 페이지 자체가 지시하는 정확한 형식과 식별자를 사용하여 양식을 제출합니다. 차이점은 페이로드에 있습니다. 실제 지갑 인증 정보 대신 무작위로 생성된 BIP-39 단어들이 사용됩니다.
결과 양상. 월별 한도에 도달하면 EmailJS는 다음을 반환합니다. 402 Payment Required 또는 429 Too Many Requests 그러면 템플릿이 발송되지 않습니다. 사기꾼의 메일함은 침묵에 빠집니다. 이와 동시에, EmailJS 신뢰 및 안전 팀은 서비스/템플릿/사용자 식별 정보와 당사가 공개한 증거 자료 모음에 대한 링크가 포함된 공식 신고를 접수하게 되며, 과거 사례에 비추어 볼 때 이로 인해 해당 운영자의 EmailJS 계정은 해지됨, 속도 제한이 적용되지 않습니다. 운영자는 새로운 EmailJS 계정을 생성하고, 식별자를 다시 생성하며, 배포된 피싱 페이지를 수정하고, 기존의 모든 배포 링크를 무효화해야 합니다. 이는 각 로테이션마다 수 시간이 소요되는 작업 흐름입니다.
공격 유형 비교: 시드 플러딩이 아닌 것
우리가 피싱 사이트를 대상으로 “공격”을 가한다는 비난이 끊임없이 제기되고 있습니다. 하지만 실제 트래픽 프로필을, 이를 혼동하고 있는 활동의 프로필과 나란히 비교해 보면, 그러한 주장은 즉시 무너집니다.
| 차원 | 종자 침수 (당사 방식) | DDoS / L7 플러드 | 스팸 게시물 남용 | LE 잠복 수사 |
|---|---|---|---|---|
| 목적 | 피해자 보호 — 다음 피해자가 나타나기 전에 사기꾼의 정보 유출 할당량을 채우세요 | 인프라 서비스 거부 공격 | 상업적 이익 / 메시지 확산 | 증거 수집, 통제된 기만 |
| 처리량 | 0.1 – 0.3 req/s — 아래 서비스 제공업체 이용약관 | 103 – 108 req/s — 포화 중심 | 버스트 / 자동화된 대량 처리 | 일반적으로 단일 상호작용은 |
| 대상 | 단일 엔드포인트 침투 공격자가 다음 내용을 공개했습니다. | 피해 조직의 웹 서버/네트워크 계층 | 신뢰할 수 있는 사이트의 문의 양식 | 의심스러운 인프라 또는 인물 |
| 인프라에 미치는 영향 | 없음 — 제공업체 카운터는 서비스 약관(ToS)에 명시된 예산 범위 내에서 정상적으로 작동합니다. | 서비스 중단, 상류망 정체 | 수신함 과부하, CAPTCHA 오류, 게시물 검토 업무량 | 작업에 따라 다릅니다 |
| 영향을 받은 정당한 사용자들 | 0 — 피싱 양식을 사용하는 정당한 사용자는 없습니다 | 그들 모두 | 양식 소유자 직원 / 관리자 | 설계 단계에서의 회피 |
| 원래의 정체성 | ‘PhishDestroy Cloudflare Workers’로 명명됨 — 감사 가능 | 봇넷, 발신자 위장, 반사 공격 | 일회용 프록시 | 기밀 인프라 |
| 승인 모델 | 엔드포인트는 초대받음: 양식에서 이 입력을 명시적으로 요청하며, 식별자는 페이지 내에서 공개적으로 배포됩니다 | 없음 — 요청량 자체가 문제입니다 | 의도된 용도를 우회하고, 악용 방지 신호를 무시합니다 | 법적 권한 |
| 병행 법적 조치 | 제기된 학대 신고 ~전에 flood 시작, 케이스 ID 포함 | 해당 사항 없음 | 해당 사항 없음 | 운영에 통합된 |
‘시드 플러드’ 공격은 서명된 오리진을 포함하는 하나의 Cloudflare Worker에서 발신되는 약 140바이트 크기의 단일 HTTPS POST 요청으로, 해당 제공업체가 허용 가능한 수준으로 공표한 비율의 극히 일부에 해당하는 빈도로, 운영자가 공개 웹 페이지에 삽입하기로 선택한 식별자를 가진 엔드포인트를 대상으로 합니다. 이것이 바로 관측 가능한 유물 전체. 요청을 “공격”으로 규정하는 모든 구조적 요소—무단 접근, 자원 고갈 의도, 대용량 포화 공격, 제3자 피해, 발신원 은폐—가 모두 결여되어 있다. 이하에 제시된 법적 분석은 창의적인 주장이 아니라, 바로 자연스러운 사실관계가 명확히 제시된 후의 법률 조항 해석.
법적 분석 — 합법적인가? 윤리적인가?
대부분의 프레임워크에서 일반에 공개된 웹 양식에 데이터를 제출하는 행위 — 가짜 데이터라 할지라도 — 는 그 자체로 불법이 아닙니다. 우리는 비공개 시스템에 접근하거나, 승인되지 않은 취약점을 악용하거나, 통신을 가로채는 것이 아닙니다. 사기꾼이 함정을 설치했다. 우리는 그 함정에 돌을 채워 넣고 있다.
PhishDestroy는 법률 자문을 제공하지 않습니다. 이는 관할권에 따라 달라지는 명백한 회색 지대에 속하는 문제입니다. 당사는 이러한 복잡성을 충분히 인지한 상태에서 운영하고 있습니다.
사기꾼의 데이터베이스는 어떻게 되나요?
쓸모가 없어진다 — 수천 건의 항목에 대해 수동 검증이 필요해지면 신호 대 잡음 비율이 급격히 떨어집니다. 또는 부서진다 — Firebase Spark와 공유 MongoDB 인스턴스에는 엄격한 제한이 있습니다. 이 제한에 도달하면 그에 따른 결과가 발생합니다.
두 결과 모두 좋습니다
데이터베이스가 쓸모없는 또는 완전히 끊어진다 — 실제 피해자의 시드 문구는 공격자에게 유용한 형태로 전달되지 않습니다. 처리되지 않은 모든 시드 문구는 자금이 탈취되지 않는 지갑입니다.
시드 플러딩은 언제 활성화하나요?
| 기준 | 확인 | 그것이 중요한 이유 |
|---|---|---|
| 활성 트래픽 확인됨 | 필수 | 광고 플랫폼이나 트래픽 분석 도구를 통해 실제 사용자가 사이트에 방문하고 있는지 확인합니다 |
| 피싱의 구조 분석 | 필수 | 트래픽이 급증하기 전에 무료 요금제 데이터 유출 모듈을 식별했습니다 |
| 제기된 학대 신고 | 필수 | 우리는 항상 합법적인 경로를 병행하여 추구합니다 |
| SLA 기간 내에는 서비스 중단이 발생하지 않습니다. | 전형적인 유발 요인 | 등록 기관/호스팅 업체로부터 적정 시간 내에 응답이 없음 |
| 대량 / 유료 광고 사이트 | 즉각적인 유발 요인 | 유료 광고란 관료적인 절차를 거치지 않고 바로 행동에 나서는 것을 의미합니다. |
더 큰 그림
암호화폐 생태계는 손실을 입는다 연간 수십억 달러 피싱에 대해. 방어 측은 역사적으로 사후 대응에 그쳐 왔습니다. PhishDestroy는 이를 해결하기 위해 탄생했습니다. 선제적 간섭 이 순환 과정으로.
우리는 비밀리에 활동하지 않습니다. 우리는 연구 방법론을 공개하고, 기술적 기법을 설명하며, 분석한 피싱 키트를 문서화합니다. 보안 커뮤니티는 단순히 블랙박스 서비스를 이용하는 데 그치지 않고, 피싱 대응 방법을 직접 평가할 권리가 있습니다.
여러분이 할 수 있는 일
- 보고처: Google 안전 검색, PhishTank, 그리고 도메인 등록 기관
- 저희에게 제출해 주세요 — 우리는 발생 빈도가 높고 활동적인 위협을 우선적으로 처리합니다
- 확인 저희 해부학 데이터베이스 지금 보고 있는 것이 무엇인지 이해하기 위해
- 인식 확산 — 대부분의 피해자들은 이미 손쓸 수 없는 지경이 되어버릴 때까지 시드 문구를 노리는 피싱 페이지가 어떤 모습인지 알지 못합니다
만약 빈 지갑을 범죄자들에게 넘겨주는 것이 비윤리적이라고 생각하신다면 — 그건 당신의 입장이며, 그렇게 생각하셔도 좋습니다. 우리는 우리의 입장을 분명히 밝혔습니다.
관련 조사
