[서울=뉴스핌] 김양섭 기자 = 빗썸은 9월 정보보호 캠페인의 일환으로 '가짜 AI 자동매매 프로그램 및 투자 분석 도구'를 통한 악성코드 피해 예방 캠페인을 진행한다고 10일 밝혔다.

이번 캠페인은 최근 AI 기술을 접목한 가상자산 투자 서비스가 대중화되면서 이를 악용한 신종 사이버 범죄가 급증한 데 따른 조치다.

사기범들은 'AI가 알아서 매매해 고수익을 낸다', 'API Key만 연결하면 무손실 자동매매가 가능하다' 등의 문구로 투자자를 현혹해, 실제로는 기기 내 민감 정보를 탈취하는 비인가 악성코드를 설치하도록 유도하고 있다.

이 같은 가짜 프로그램에 감염될 경우, 브라우저에 저장된 아이디·비밀번호, 로그인 세션 쿠키는 물론 API Key, 개인 지갑의 Private Key(개인키) 및 시드 구문까지 통째로 유출될 수 있다. 특히 공격자는 탈취한 로그인 세션을 가로채 비밀번호 없이도 계정에 접근하거나, API Key 권한을 악용해 무단으로 자산을 빼돌리는 등 심각한 피해를 주는 것으로 나타났다.

이에 빗썸은 출처가 불분명한 비인가 AI 프로그램 사용에 대한 각별한 주의를 요구하며, 안전한 가상자산 거래를 위한 '실천 수칙'을 안내했다.

우선 검색광고나 SNS, 메신저 링크를 통해 배포되는 실행 파일(.exe)이나 압축 파일(.zip) 형태의 비인가 프로그램은 절대 다운로드하지 말고 공식 검증 채널을 이용해야 한다. 가짜 웹사이트는 정상 서비스처럼 정교하게 위장돼 있더라도 배포 경로가 불명확한 경우가 많다.

AI 자동매매를 원할 경우, 빗썸이 공식적으로 제공하는 '빗썸 AI 트레이드 킷(AI TradeKit)'과 같이 안전성이 검증된 공식 서비스를 이용하는 것이 권장된다. 빗썸 AI 트레이드 킷은 사용자 기기 내 API Key 관련 정보를 별도로 저장하지 않아 정보 유출의 우려가 없으며, 챗GPT(ChatGPT), 클로드(Claude) 등 익숙한 AI와 연동해 코딩 없이 안전하게 24시간 자동 매매를 지원한다.

또한 자산 접근 권한이 담긴 핵심 보안 정보(API Key, Private Key, 시드 구문 등)는 외부 비인가 프로그램이나 웹사이트, 그리고 AI에게 직접 입력하거나 알려주어서는 절대 안 된다. 공식 자동매매 서비스 연동을 위해 API Key를 발급받더라도 원치 않는 출금을 막기 위해 '출금 권한'은 부여하지 않고 조회 및 주문 등 필수 권한만 허용하는 것이 안전하다.

아울러 공용 PC가 아닌 신뢰할 수 있는 개인 PC 환경에서만 실행하고, 노출되었거나 사용하지 않는 Key는 즉시 폐기해 유출 위험을 원천 차단해야 한다.

비인가 프로그램 설치 후 알 수 없는 브라우저 확장 프로그램이 추가되거나 보안 설정 변경 알림이 뜬다면 즉시 악성코드 감염을 의심해야 한다. 이 경우 신속히 인터넷 연결을 차단하고, 감염되지 않은 안전한 별도 기기를 이용해 빗썸 비밀번호 변경, API Key 삭제, 출금 주소 목록 확인 등 계정 보호 조치를 취해야 한다.

빗썸 관계자는 "AI에 대한 기대감과 고수익을 노리는 심리를 악용한 정보 탈취형 비인가 악성코드가 기승을 부리고 있어 이용자들의 각별한 주의가 필요하다"며 "앞으로도 빗썸은 고객이 당사의 공식 AI 서비스 등을 안심하고 이용하며 거래할 수 있는 안전한 환경을 조성하기 위해 보안 시스템을 지속적으로 강화하고 예방 캠페인을 확대해 나갈 것"이라고 밝혔다.

ssup825@newspim.com