‘Offside Wallet Theft Factory’: 암호화폐 지갑 노린 파이어폭스 확장 프로그램 40개 확인

Socket 위협 연구팀이 ‘Offside Wallet Theft Factory’라고 부르는 조직적 파이어폭스 애드온 작전을 발견했습니다. 연구팀은 소스 코드, 인프라, 게시 흔적, 버전 이력이 겹치는 확장 프로그램 정체성 77개를 연결했으며, 이 가운데 40개는 암호화폐 지갑 비밀 정보나 계정 자격 증명을 탈취하는 악성 프로그램으로 확인됐습니다. 나머지 37개는 스포츠 점수 표시 확장 프로그램으로 위장한 셸 또는 준비용 빌드로 파악됐습니다.

이 활동은 적어도 2026년 3월부터 진행된 것으로 추정됩니다. 다만 연구진은 현재까지 알려진 특정 공격자나 조직과 이 작전을 연결하지는 못했습니다.

무엇을 노렸나

악성 애드온은 OKX, Rabby Wallet, TronLink 등 웹3 제품을 사칭했습니다. 공격 대상에는 다음 정보가 포함됐습니다.

• 암호화폐 복구 문구와 개인 키
• 지갑 키링 및 기타 직렬화된 지갑 데이터
• 계정 로그인 정보
• 복사한 지갑 주소나 비밀 정보가 남을 수 있는 클립보드 내용

특히 Rabby Wallet을 겨냥한 하위 그룹에서는 사칭 확장 프로그램 13개가 확인됐습니다. 이들은 Rabby가 데이터를 로컬에서 암호화하기 전, 직렬화된 지갑 키링 정보를 먼저 외부로 전송하도록 설계됐습니다. 즉, 로컬 암호화가 적용되기 전 단계의 데이터를 탈취한 것입니다.

스포츠 점수를 보여준 37개 확장 프로그램이 지갑 탈취 기능을 수행했다는 점은 제공된 분석에서 확인되지 않았습니다. 이 확장 프로그램들이 악성 애드온과 연결된 근거는 코드와 인프라의 중복, 게시 방식, 확장 프로그램의 변경 이력 등이었습니다.

네 개의 악성 클러스터와 원격 제어 인프라

Socket은 전체 활동을 네 개의 악성 클러스터로 분류했습니다. 각 클러스터가 동일한 확장 프로그램 설계를 그대로 사용한 것은 아니지만, 코드 재사용과 운영 방식 등 여러 기술적·운영적 흔적을 공유했습니다. 이를 통해 공격자는 여러 지갑 브랜드와 애드온 정체성으로 작전을 분산할 수 있었습니다.

일부 확장 프로그램은 다음과 같은 서비스를 이용했습니다.

• Cloudflare Workers: 탈취한 데이터를 외부로 보내는 통로로 활용됐습니다.
• Supabase 호스팅 인프라: 원격으로 제어되는 피싱 콘텐츠를 지원했습니다.
• 하드코딩된 명령제어 서버: 일부 애드온에서 계정 정보와 클립보드 데이터를 수집하는 데 사용됐습니다.

이런 구조에서는 악성 동작을 모든 배포 버전에 고정해 넣을 필요가 없습니다. 운영자는 새 버전을 다시 제출하지 않고도 원격 피싱 페이지를 켜거나 끌 수 있습니다. 따라서 확장 프로그램 심사나 사후 점검이 특정 시점에 이뤄졌다면, 당시에는 활성화된 악성 동작이 포착되지 않았을 가능성이 있습니다.

정상 앱으로 시작한 뒤 지갑 악성코드로 변경

이번 작전에서 특히 주목되는 부분은 이미 서명된 확장 프로그램을 시간이 지나면서 다른 용도로 바꾼 방식입니다. 최소 9개 확장 프로그램은 처음에는 스포츠 점수 앱으로 시작했지만, 이후 업데이트를 거쳐 지갑 악성코드로 변경됐습니다.

이 방식은 초기 게시 시점에 확장 프로그램을 덜 의심스럽게 보이게 할 수 있습니다. 먼저 정상적인 앱으로 게시 이력을 만들고 사용자의 신뢰를 얻은 뒤, 후속 버전에서 동작을 바꾸는 방식입니다.

연구진은 Mozilla의 서명 기록과 확장 프로그램의 공통 코드, 겹치는 인프라, 서로 연결된 정체성을 분석해 겉보기에는 별개의 애드온들을 하나의 작전으로 묶었습니다.

Mozilla 서명 기록은 활동 시점이 적어도 2026년 3월까지 거슬러 올라간다는 점도 보여줬습니다. 또한 공통 코드와 인프라 정보와 함께 분석했을 때, 77개 정체성이 서로 무관한 악성 제출물이 아니라 조직적으로 연결된 캠페인이라는 Socket의 판단을 뒷받침했습니다.

의심스러운 확장 프로그램을 설치했다면

지갑 복구 문구, 개인 키, 비밀번호 또는 지갑 키링을 의심스러운 확장 프로그램에 입력했다면, 아직 자산 도난이 확인되지 않았더라도 해당 정보가 유출됐다고 보고 대응해야 합니다.

1. 확장 프로그램을 즉시 삭제하세요. 문제가 된 애드온 하나만이 아니라 파이어폭스에 설치된 모든 확장 프로그램을 점검해야 합니다.
2. 새 복구 문구로 만든 지갑으로 암호화폐 자산을 옮기세요. 노출된 시드 문구나 개인 키는 다시 사용하지 마세요.
3. 확장 프로그램에 입력한 비밀번호를 변경하세요. 이메일, 거래소 등 자산 복구에 사용될 수 있는 계정부터 바꾸고, 가능한 경우 다중 인증을 활성화하며 활성 세션과 API 키를 폐기하세요.
4. 지갑과 계정의 비정상 활동을 모니터링하세요. 승인되지 않은 거래나 로그인 기록이 있는지 확인해야 합니다.
5. Mozilla와 사칭된 정식 지갑 제공업체에 해당 확장 프로그램을 신고하세요.

복구 문구, 개인 키 또는 가져온 지갑 키링은 아직 도난 기록이 없다는 이유만으로 안전하다고 볼 수 없습니다. 이번 작전은 나중에 계정이나 자산에 접근할 수 있는 정보를 수집하도록 설계됐기 때문에, 의심스러운 활동이 나타나기 전에 조치를 끝내는 것이 중요합니다.

이번 사건이 보여주는 것

공식 마켓에 올라와 있거나 브라우저 확장 프로그램 서명을 받았다는 사실만으로는 신뢰성을 보장할 수 없습니다. 이번 작전은 가짜 웹3 브랜드, 재사용 코드, 용도가 바뀐 서명 확장 프로그램, 원격으로 전환 가능한 피싱 페이지, 공유 인프라를 함께 활용했습니다. 각각의 애드온을 따로 봤을 때보다 여러 신호를 함께 분석했을 때 연결 관계가 더 분명해졌습니다.

현재 공개된 증거는 77개 확장 프로그램으로 구성된 캠페인과 Rabby 키링 탈취 행위를 뒷받침합니다. 그러나 네 개의 클러스터를 각각 어떤 확장 프로그램 계열에 배정할 수 있는지, 배후 인물이 누구인지를 확정할 만큼 상세한 정보는 공개되지 않았습니다.