기계 속으로: 암호화폐 사기꾼들의 수법
Bing 및 DuckDuckGo 하이재킹

두 가지 공격 경로

우리의 조사 결과 밝혀진 바에 따르면 완전히 서로 다른 두 개의 병렬 작업 피싱 사이트를 Bing과 DuckDuckGo 검색 결과 상단에 노출시키기 위해 동시에 진행되고 있다.

벡터 A: 야후 검색 결과 페이지(SERP) 주입 공격

이것은 틀림없이 기술적으로 가장 우아한 2026년에 우리가 기록한 블랙햇 SEO 공격입니다. 이 공격은 Bing이 링크 권위를 평가하는 방식에 내재된 근본적인 결함을 악용하는데, 구체적으로는 신뢰할 수 있는 도메인에서 생성된 진정한 편집 링크와 동적으로 생성된 검색 결과 페이지를 구분하지 못하는 점을 노립니다.

야후에서 계승된 권위 점수(AS 24)가 모바일 검색 페이지를 통해 피싱 도메인으로 전달되는데, 빙은 이 신호를 합법적인 것으로 인정한다

원리 — 단계별 설명

1단계 — 신뢰할 수 있는 캐리어 URL 생성. 공격자들은 여러 국제 하위 도메인에 걸쳐 야후의 모바일 검색 엔드포인트에서 URL을 조작합니다: no.search.yahoo.com (노르웨이), fr.search.yahoo.com (프랑스), mx.search.yahoo.com (멕시코), pl.search.yahoo.com (폴란드), gr.search.yahoo.com (그리스), qc.search.yahoo.com (퀘벡), chfr.search.yahoo.com (스위스 프랑스어), co.search.yahoo.com (콜롬비아). 이 페이지들에는 야후에서 계승된 권위 점수(Authority Score)인 23–24가 표시되어 있습니다.

2단계 — 피싱 앵커 삽입. 각 URL에는 “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe”와 같이 완전히 무작위적이고 무해한 검색어가 포함되어 있지만, 앵커 텍스트에는 다음과 같이 적혀 있습니다: curvefi.co Curve Finance. 무작위 쿼리를 사용함으로써 스팸 필터에 의한 패턴 일치가 발생하지 않도록 합니다.

3단계 — 강제 크롤링 및 색인 생성. 공격자들은 대량 핑 서비스, 포럼/블로그 댓글 삽입, 자동 크롤링 유발 도구를 이용해 Bingbot이 해당 URL을 크롤링하도록 유도합니다.

SEMrush의 생생한 증거 — curvefi.co

잔혹한 아이러니: 이 사이트에는 0 자연 검색 키워드, 0 SEMrush 데이터베이스에는 트래픽이 기록되어 있지 않지만, 야후의 권위를 빌려온 덕분에 “Curve Finance”에 대한 Bing/DDG 검색 결과에 표시됩니다.

벡터 B: 조정된 PBN 네트워크

이 대목에서 수사는 정말로 우려스러운 국면을 맞이합니다. 총 5개의 별개의 피싱 사이트가 — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at, keplr.me — 모두 공통적으로 동일한 백링크 출처 집합. 이것은 우연이 아닙니다. 이것은 단일 조직 범죄 활동 단일 인프라를 통해 여러 피싱 캠페인을 진행하는 것.

운영자 1명, PBN 기부자 9명, 피싱 표적 5명 — 이것이 우연의 일치일 확률은 약 0.00001%입니다.

The Smoking Gun — 공유 인프라

피싱 도메인 프로필

AI 기반 기사 양산 공장

aster-dex.at 변종은 혼합 접근법, 베트남, 이탈리아, 인도네시아, 스위스 전역에 걸쳐 해킹당했거나 이 목적을 위해 특별히 제작된 사이트에 게시된 AI 생성 블로그 콘텐츠와 야후 인젝션을 결합한 방식입니다.

해킹당한 사이트에 게시된 AI 생성 기사 — 제목은 똑같고 도메인은 다르며, 모두 동일한 피싱 사이트로 연결됨

블로그 게시물들의 제목은 모두 거의 똑같습니다: “왜 토큰 스왑과 유동성 풀이 노련한 DEX 트레이더들조차 여전히 당황하게 만드는가”, “왜 자동화된 시장 조성자들이 여전히 트레이더들을 놀라게 하는가”. 이들은 AI가 생성한 기사 AS 21–36이 할당된 사이트에 배치되었으며, 모두 aster-dex.at로 연결됩니다.

댓글 스팸 유입

keplr.me는 완전히 다른 방식을 취합니다. 바로 관련성이 없는 권위 높은 사이트에 순수한 댓글 스팸을 올리는 것입니다. “ZackaryThymn”, “Fritzkah”, “Jamesboach”와 같은 가짜 사용자 이름으로 철학 교육 사이트에 암호화폐 지갑 앵커 링크를 삽입합니다 (filozofija.edu.rs, AS 45), 직원 참여 플랫폼 (bavave.com, AS 63), 그리고 예술 축제(lea-festival.com, AS 50).

정상적인 사이트들이 자신도 모르게 피싱 링크를 호스팅하고 있는데, 이 링크들은 겉보기에는 평범해 보이는 사용자 댓글 사이에 숨겨져 있다

최악의 수준: 자동화된 도구 스팸

bscscan.cfd 가장 조잡한 방법을 사용하는데, 말 그대로 이름이 rankongoogle.agency 그리고 linksjump.click. 모든 출처의 AS 값은 0입니다. .cfd 최상위 도메인(TLD)은 알려진 스팸 지표입니다. 하지만 Bing에서는 이 방법조차 부분적으로 효과가 있습니다. 즉, 부정적인 이력이 전혀 없는 신규 도메인의 경우, 품질이 낮은 링크의 양이 검색 순위에 영향을 미칠 수 있습니다.

“백링크 1,000개, 9.99달러” — 가장 저렴한 SEO 사기 도구들이 여전히 Bing에서는 부분적으로 효과가 있다

빙(Bing)과 덕덕고(DuckDuckGo)가 특히 취약한 이유

구글의 다층적 스팸 방어 체계 대 빙의 미흡한 탐지 능력 — 사기꾼들이 악용하는 격차

키워드 타겟팅 전략

키워드 프로필을 살펴보면 외과적 정밀도 타겟 선정 과정에서. 운영자들은 주요 브랜드 검색어뿐만 아니라 타이포스쿼트(“랍비 지갑”, “루비 지갑”, “dexscrenner”)는 물론 중국어 검색어(“아스터 거래소” (25위).

다국어 타겟팅: 영어, 프랑스어, 중국어, 베트남어 — 이 사업은 대륙을 아우릅니다

역사적 배경: 트러스트 월렛(Trust Wallet) / 덕덕고(DuckDuckGo) 문제

트러스트 월렛이 기본 검색 엔진으로 DDG를 사용하지 않게 된 후에도 근본적인 취약점은 여전히 남아 있습니다. 어떤 사용자가든 개인 정보 보호를 위해 DuckDuckGo를 직접 선택한다 — 암호화폐 사용자와 상당 부분 겹치는 이 인구 집단 —은 오늘날에도 여전히 바로 이러한 공격에 노출되어 있습니다. 본 보고서에 기록된 사기 조직들은 이 기법의 다양한 변형을 활용해 몇 년, 검색 엔진들이 개별 벡터를 서서히 수정해 나가는 데 맞춰 적응해 나간다.

자신을 보호하는 방법

• 절대 검색 결과에서 지갑을 연결하세요
• 즐겨찾기 합법적인 사이트를 직접
• DDG를 사용하세요 !bang 바로가기: !g curve finance Google 검색을 강제합니다
• MetaMask의 피싱 탐지 확장 프로그램 설치하기
• 다음에서 원하는 도메인을 확인해 보세요 PhishDestroy 연결하기 전에

마이크로소프트/빙에 대한 제안

1. 동적 페이지 감지: 검색 결과 페이지(야후, 바이두, 구글)를 분류하고, 외부 링크에서 링크 권위를 제거합니다.
2. 협동 PBN 탐지: 9개의 도메인이 동일한 패턴을 보이는 5개의 서로 다른 사이트로 링크되어 있을 경우, 조작으로 표시하십시오.
3. 브랜드 사칭 방지 계층: TLD 대체 공격 탐지 (dexscreener.at ≈ dexscreener.com)
4. .AT 도메인 모니터링: 암호화폐 검색 결과 페이지(SERP)에서 새로 등록된 .at 도메인에 대한 심사가 강화됨
5. DuckDuckGo 빠른 검색: DDG가 직접 액세스할 수 있는 전용 스팸 제거 API를 생성합니다.

증거는 공개되어 있습니다. 도메인 정보도 기록되어 있습니다. 피해자들은 실존합니다. 해결책은 마이크로소프트의 손에 달려 있습니다.

운영자 1명. 빙(Bing) 내 피싱 유인 장치 26개. 비용: 도메인당 2달러.

운영사 1곳, 도메인 26개, 등록기관 1곳

우리는 총 26개의 피싱 도메인 모두에 대해 RDAP 쿼리를 실행했습니다. 모든 도메인에서 동일한 등록 기관이 반환되었습니다: NiceNIC 인터내셔널 그룹 유한공사. ‘대부분’이 아니다. ‘다수’도 아니다. 23건 중 23건 모두 쿼리 성공 — 동일한 등록 기관이며, 인증 전에 3건의 속도 제한 오류가 발생했습니다(두 기관의 인프라 패턴이 일치합니다).

23건 중 23건 모두 확인됨. 동일한 등록기관. 동일한 고객. 악용 조치 없음.

RDAP 등록 데이터 — 일괄 등록 증빙 자료

2달러 플레이북 — 단계별 안내

복잡한 SEO는 잊어버리세요. 몇 달에 걸친 링크 구축도 잊어버리세요. 바로 여기, Bing 검색 결과 1위를 차지하게 해주는 완벽하고 검증된 공격 순서가 있습니다.

단 4단계, 2달러면 빙이 피싱 사이트를 1위로 선정한다

1단계: 타이포스쿼트 레지스트리

2단계: 타이틀 태그 복제 ($0, 5분)

운영자는 정확히 그 내용을 복사합니다. <title> 실제 프로젝트 웹사이트의 태그와 메타 설명. 이것이 가장 중요한 단계입니다. 이 페이지 자체가 지갑 자금을 털어가는 사이트이거나 시드 문구를 탈취하는 사이트입니다 — 하지만 <title> 이것이 바로 Bing이 순위를 매기는 기준입니다.

3단계: 클로크드 PBN에 제출하기 ($0, 1분)

운영자는 15곳의 PBN 사이트 중 한 곳을 방문합니다 (bye.fyi, atomizelink.icu, 등), “URL 입력”이라고 표시된 양식에 도메인을 입력한 뒤 “축약”을 클릭합니다. 한 번의 제출로 15개 사이트 모두에 동시에 페이지가 생성됩니다. 이 사이트들은 하나의 데이터베이스를 공유하기 때문입니다.

4단계: 대기 (2~8주, $0)

총 비용 내역

클로킹 엔진의 내부

저희는 PBN 네트워크에서 실제 HTML 소스 코드를 수집하여 분석했습니다. 모든 도메인의 모든 페이지에서 동일한 클로킹 엔진이 작동하고 있습니다.

사용자가 보는 것과 Bingbot이 보는 것 — z-index: 1000000 벽 뒤에는 3,500개의 링크가 숨겨져 있다

페이지 구조: 400KB HTML, 3,500개 이상의 링크, 4개 레이어

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

증명: 하나의 네트워크, 하나의 데이터베이스

orbit-protocol-lending.net 여러 PBN 도메인에 걸쳐 나타나며 동일한 데이터베이스의 연속 ID:

단 하나의 데이터베이스. 15개의 프론트엔드 도메인. 모든 화면은 동일한 백엔드에서 제공되는 동일한 콘텐츠를 표시합니다.

서로 다른 “브랜드” 간에 동일한 ID = 단일 백엔드, 단일 운영자. 15개의 도메인. 동일한 HTML 템플릿. 동일한 CSS (style.css). 동일한 자바스크립트 (work.js). 여전히 3,500개의 링크가 포함된 페이지들입니다.

두 번째 PBN — 도메인 체커 네트워크

별도로 구축된, 더욱 공격적인 링크 네트워크는 선별된 대상에 도팔로우 백링크를 제공합니다. 마스터 서버: all-aged-domains.com — 50~80개의 위성 도메인에 CSS, JS 및 템플릿을 제공하는 WordPress 6.6.2 설치 환경.

빙이 왜 이런 것에 속아 넘어가는가

구글의 장갑을 입은 로봇은 입구에서 피싱을 차단합니다. 빙의 친절한 문지기는 문을 열어줍니다.

타이틀 매치의 취약점

app.thnuster.cc 백링크가 딱 하나뿐인데, 바로 캐시된 야후 검색 결과 페이지입니다. 이 페이지는 빙에서 “Thruster Finance” 검색 시 1위를 차지하고 있습니다. 이는 경쟁이 적은 브랜드 관련 검색어에 대한 빙의 순위 결정이 주로 다음 요소에 의존한다는 것을 보여줍니다:

1. 타이틀 태그의 정확한 일치 검색어에
2. 도메인이 색인되었습니다 (어떤 신호든 — 노팔로우 링크 하나만 있어도 — 충분합니다)
3. 부정적인 신뢰 신호가 없음 (도메인이 새로 개설되었으며, 이력이 깨끗합니다)

구글은 상당한 신뢰도 신호를 요구하며, 알려진 브랜드 도메인과 대조 확인을 거칩니다. 반면 빙은 그렇지 않습니다.

Bing 검색 결과 1위 (SerpAPI를 통해 확인, 2026년 4월)

업데이트된 보호 목록 (제2부 브랜드)

권고 사항 (제2부)

마이크로소프트/빙 담당자께:

1. 타이틀전만으로는 권위를 인정받을 수 없다. 일치하는 제목만으로는 새로운 도메인이 브랜드 관련 검색어에서 1위를 차지해서는 안 됩니다. 도메인 운영 기간, 백링크 권위 또는 브랜드 인증 신호를 필수 조건으로 삼아야 합니다.
2. CSS 기반 클로킹을 탐지합니다. 사용자에게는 콘텐츠를 숨기지만 크롤러에게는 표시하는 z-index 오버레이를 사용하는 페이지는 표시되어야 합니다.
3. 조직적으로 운영되는 PBN 네트워크를 탐지합니다. 하나의 백엔드를 공유하며 동일한 대상 페이지로 연결되는 15개의 도메인은 유기적인 링크 구축이 아닙니다.
4. 암호화폐 검색 결과 페이지(SERP)에서 NiceNIC에 등록된 도메인을 표시 더 철저한 검토를 위해.
5. DuckDuckGo 스팸 신속 처리 절차를 마련하십시오. DDG는 Bing의 모든 취약점을 그대로 물려받았으나, 독립적인 스팸 신고 기능은 갖추고 있지 않습니다.

NiceNIC International Group Co., Limited 귀하:

Cloudflare 담당자께:

총 26개의 도메인 모두 Cloudflare DNS와 프록시를 사용하고 있습니다. 이 도메인들은 Cloudflare 인프라를 통해 지갑 자금을 탈취하는 프로그램과 시드 문구를 수집하는 프로그램을 운영하고 있습니다.