빗썸, 가짜 AI 자동매매 악성코드 주의 캠페인

(사진=빗썸)

빗썸은 9월 정보보호 캠페인의 일환으로 ‘가짜 AI 자동매매 프로그램 및 투자 분석 도구’를 통한 악성코드 피해 예방 캠페인을 진행한다고 10일 밝혔다.

이번 캠페인은 AI 기술을 접목한 가상자산 투자 서비스가 대중화되는 가운데 이를 악용한 신종 사이버 범죄가 늘어난 데 따른 조치다. 사기범들은 “AI가 알아서 매매해 고수익을 낸다”거나 “응용 프로그램 인터페이스(API) Key만 연결하면 무손실 자동매매가 가능하다”는 문구로 투자자를 유인하고, 실제로는 기기 내 민감 정보를 탈취하는 비인가 악성코드 설치를 유도하고 있다.

가짜 프로그램에 감염될 경우 브라우저에 저장된 아이디와 비밀번호, 로그인 세션 쿠키뿐 아니라 API Key, 개인 지갑의 개인키와 시드 구문까지 유출될 수 있다. 공격자가 탈취한 로그인 세션을 이용하면 비밀번호 없이 계정에 접근할 수 있고, API Key 권한을 악용해 자산을 무단 이동시킬 가능성도 있다.

빗썸은 출처가 불분명한 비인가 AI 프로그램 사용을 피해야 한다고 당부했다. 검색광고, SNS, 메신저 링크를 통해 배포되는 실행 파일이나 압축 파일은 다운로드하지 말고 공식 검증 채널을 이용해야 한다. 정상 서비스처럼 보이는 웹사이트라도 배포 경로가 불명확하면 주의가 필요하다.

AI 자동매매를 이용하려면 빗썸이 공식 제공하는 ‘빗썸 AI 트레이드 킷’ 등 검증된 서비스를 활용하는 것이 권장된다. 빗썸 AI 트레이드 킷은 사용자 기기 내 API Key 관련 정보를 별도로 저장하지 않으며, 챗GPT와 클로드 등 AI와 연동해 코딩 없이 자동매매를 지원한다.

API Key, 개인키, 시드 구문 등 자산 접근 권한이 담긴 정보는 외부 비인가 프로그램이나 웹사이트, AI에 직접 입력해서는 안 된다. 공식 자동매매 서비스 연동을 위해 API Key를 발급하더라도 출금 권한은 부여하지 않고 조회와 주문 등 필수 권한만 허용하는 것이 안전하다.

비인가 프로그램 설치 후 알 수 없는 브라우저 확장 프로그램이 추가되거나 보안 설정 변경 알림이 나타나면 악성코드 감염을 의심해야 한다. 이 경우 즉시 인터넷 연결을 차단하고, 감염되지 않은 별도 기기에서 빗썸 비밀번호 변경, API Key 삭제, 출금 주소 목록 확인 등 계정 보호 조치를 취해야 한다.

빗썸 관계자는 “AI에 대한 기대감과 고수익을 노리는 심리를 악용한 정보 탈취형 비인가 악성코드가 기승을 부리고 있다”며 “앞으로도 공식 AI 서비스 등을 안심하고 이용할 수 있도록 보안 시스템을 강화하고 예방 캠페인을 확대해 나가겠다”고 말했다.