오늘은 가격 동향 대신, 코인을 다루는 분이라면 꼭 알아둘 만한 보안 이슈 하나를 정리해보려고 해요. 글로벌 보안업체 카스퍼스키(Kaspersky)가 크립토 투자자를 겨냥한 신종 악성코드 프레임워크 '오코봇(OkoBot)'을 공개했다고 코인텔레그래프가 보도했습니다. 렛저·트레저 같은 하드웨어 지갑 사용자까지 노린다는 점에서, 저희 블로그가 매번 강조해온 '개인키·시드문구 보호' 원칙과 정확히 맞닿아 있는 소식이라 자세히 짚어보겠습니다.
이 글은 투자 권유가 아니며, 정보 제공 목적으로 작성되었습니다. 투자 판단과 그 결과에 대한 책임은 본인에게 있습니다.
오코봇이란 무엇인가 — 툭PS에서 진화한 악성코드 프레임워크
코인텔레그래프 보도에 따르면 카스퍼스키가 자사 보안 연구 블로그 시큐어리스트(Securelist)를 통해 이번 주 오코봇 프레임워크를 상세히 공개했다고 합니다. 오코봇은 2025년 3월 처음 발견된 다운로더 악성코드 '툭PS(TookPS)'가 진화한 형태라고 하는데요, 2026년 1월부터 완전한 형태의 프레임워크로 확인되기 시작했다고 매체는 전했습니다.
특징적인 부분은 규모예요. 매체에 따르면 오코봇은 20개가 넘는 악성 페이로드를 SSH 터널을 통해 원격으로 조율하는 방식으로 작동한다고 합니다. 단일 악성코드가 아니라 여러 모듈이 유기적으로 연결된 하나의 '공격 체계'에 가깝다는 뜻이죠. 카스퍼스키는 이 캠페인이 1년 넘게 지속되고 있고, 지금도 계속 진화하며 활동 중이라고 밝혔습니다.
오늘의 코인 뉴스 더보기감염 경로 — 클릭픽스(ClickFix) 사회공학과 가짜 깃허브 저장소
감염 방식도 눈여겨볼 대목이에요. 오코봇은 '클릭픽스(ClickFix)'라 불리는 사회공학 기법과 깃허브(GitHub)를 통한 배포를 함께 활용한다고 알려졌습니다. 클릭픽스는 가짜 캡차나 오류 화면을 보여준 뒤, 사용자가 스스로 악성 명령어를 복사해 실행하도록 유도하는 수법이라고 해요.
깃허브 배포 사례도 꽤 정교했다고 하는데요, 카스퍼스키 연구진에 따르면 공격자들은 SQL 서버 관리 도구(SSMS)처럼 보이는 가짜 저장소를 만들고, 공식 문서 형식을 흉내 낸 '설치 가이드'까지 올려뒀다고 합니다. 그런데 정작 다운로드 링크를 누르면 실제로는 정상 오디오 편집 프로그램인 오다시티(Audacity)에 악성 코드를 심어 재컴파일한 파일이 내려받아졌다고 해요. 겉보기엔 멀쩡한 프로그램인데 내부에 악성 기능이 숨어 있는 셈입니다.
씨드헌터(SeedHunter)가 노리는 것 — 렛저·트레저 피싱 페이지
오코봇 안에서도 코인 투자자에게 가장 직접적인 위협은 '씨드헌터(SeedHunter)'라는 모듈이에요. 코인텔레그래프와 카스퍼스키 보고서에 따르면 이 모듈은 트레저 스위트(Trezor Suite), 렛저 라이브 같은 하드웨어 지갑 애플리케이션에 악성 코드를 주입한다고 합니다. 그러고는 정상 프로그램처럼 보이는 피싱 화면을 띄워 사용자에게 복구 시드문구 입력을 유도하고, 입력된 정보를 공격자 서버로 빼돌린다고 해요.
하드웨어 지갑은 원래 개인키를 인터넷과 분리된 기기 안에만 보관해 보안성이 높다고 알려진 방식이잖아요. 그런데 이번 사례처럼 지갑 관리 소프트웨어 자체가 조작되면, 하드웨어 지갑을 쓰고 있다는 사실만으로는 안전을 보장할 수 없다는 점을 다시 한번 확인하게 됩니다.
개인키·시드문구를 요구하는 이벤트는 절대 참여하지 마세요. 공식 채널(공식 홈페이지, 공식 SNS)을 반드시 재확인하세요.
오코스파이웨어의 감시 범위와 실제 피해 규모
프레임워크의 또 다른 축인 '오코스파이웨어(OkoSpyware)'는 감시 범위가 상당히 넓어요. 카스퍼스키 보고서에 따르면 이 모듈은 익소더스(Exodus), 키패스(KeePass) 등을 포함해 100개가 넘는 애플리케이션을 모니터링하면서, 해당 창의 화면을 MP4 영상으로 녹화하는 동시에 키보드 입력까지 함께 기록한다고 합니다. 크로미움 기반 브라우저(크롬, 엣지 등)에는 악성 확장 프로그램을 심어 '라일라이드(Rilide)'라는 별도의 브라우저 정보 탈취 도구까지 추가로 내려받는다고 해요.
거래소 이벤트 모아보기피해 규모도 작지 않습니다. 카스퍼스키는 2026년 6월 기준으로 25개국 이상에서 수백 명의 피해자가 확인됐다고 밝혔는데요, 브라질·베트남·캐나다·멕시코·튀르키예에서 특히 피해가 집중됐다고 전했습니다. 배후는 아직 특정되지 않았지만, 코인텔레그래프는 공격 기법과 코드 흔적을 볼 때 러시아어권 사이버 범죄 조직과 연관이 있을 가능성이 제기된다고 보도했어요.
에어드랍·거래소 이벤트 참여자가 특히 조심해야 할 이유
이 소식을 굳이 저희 블로그에서 다루는 이유가 있어요. 에어드랍이나 거래소 이벤트에 참여하다 보면 지갑을 연결하고, 새로운 프로그램이나 확장 프로그램을 설치하고, 낯선 링크를 클릭하는 일이 자연스럽게 반복되죠. 오코봇이 파고드는 지점도 정확히 이 지점이거든요. '공식처럼 보이는' 다운로드 링크, '오류를 해결해준다는' 안내 창, '이벤트 참여를 도와준다는' 확장 프로그램이 실제로는 전부 악성코드 유입 경로가 될 수 있습니다.
그래서 항상 강조하지만, 에어드랍이나 이벤트에 참여할 때는 프로젝트의 공식 홈페이지·공식 트위터(X)·공식 디스코드 주소를 직접 재확인하는 습관이 가장 기본적인 방어선이 됩니다. 검색 광고나 커뮤니티 게시글에 올라온 링크만 믿고 클릭하는 건 되도록 피하는 게 좋아요.
지금 확인해야 할 예방 수칙 체크리스트
카스퍼스키 보고서와 코인텔레그래프 보도 내용을 바탕으로, 오늘부터 바로 점검해볼 수 있는 항목을 정리해봤습니다.
- 지갑·유틸리티 프로그램은 반드시 공식 홈페이지나 공식 스토어에서만 내려받기
- 깃허브 등에서 받은 파일이라면 저장소 소유자와 별점·이슈 내역을 한 번 더 확인하기
- 낯선 브라우저 확장 프로그램이 설치돼 있진 않은지 주기적으로 점검하기
- 하드웨어 지갑 앱이 시드문구 입력을 요구하는 화면이 뜨면 즉시 의심하기 (정상적인 지갑 소프트웨어는 컴퓨터 화면에 시드문구를 입력하라고 요구하지 않습니다)
- '오류 해결'을 이유로 명령어 복사·실행을 유도하는 팝업은 절대 따라 하지 않기
- 백신·보안 소프트웨어를 최신 상태로 유지하기
다만 이런 수칙을 지킨다고 100% 안전이 보장되는 건 아니에요. 공격 기법이 계속 진화하고 있는 만큼, 완벽한 예방법이라기보다는 위험을 크게 줄이는 최소한의 장치로 봐주시면 좋겠습니다.
마무리
오늘 정리한 오코봇 사례는 특정 코인의 가격이나 특정 프로젝트에 대한 이야기가 아니라, 코인 시장에 참여하는 모든 사람에게 해당하는 보안 이슈예요. 저희 블로그는 늘 '투자 판단'보다 '참여 조건과 위험 신호 점검'에 초점을 맞춰왔는데, 이번 소식도 딱 그 연장선에 있다고 볼 수 있습니다. 새로운 에어드랍이나 이벤트가 눈에 띄더라도 공식 채널부터 재확인하는 습관, 오늘 다시 한번 챙겨보시길 권해드려요.
에어드랍 최신 정보 보기출처
- Cointelegraph, "Kaspersky identifies malware framework targeting crypto investors" (2026.07.18) — cointelegraph.com
- Kaspersky Securelist, "OkoBot framework infection chain" — securelist.com