이야기는 늘 똑같이 흘러갑니다. 밤에 MacBook을 덮을 때만 해도 지갑 잔액은 멀쩡했는데, 아침에는 텅 비어 있습니다. 거래는 노트북이 잠든 새벽 3시에 나갔습니다. Mac이 꺼져 있었으니 불가능해 보입니다. 하지만 불가능하지 않으며, 그 이유를 아는 것이 Mac에서 핫 월렛을 쓰는 데 가장 도움이 되는 지식입니다. MacHabits의 Mac 핫 월렛 위협 모델 가이드에서 차근차근 설명합니다.
잠든 Mac은 아무것도 지켜 주지 않습니다. 공격자는 돈을 빼 가는 데 당신의 Mac을 쓴 적이 없기 때문입니다.
잠자기가 상관없는 이유
MetaMask 같은 브라우저 지갑은 키를 디스크의 암호화된 보관함에 저장하고, 지갑 비밀번호로 엽니다. 도둑에게 필요한 것은 두 가지입니다. 그 보관함의 사본, 그리고 비밀번호 또는 모든 것을 복원하는 복구 문구입니다.
그것을 손에 넣으면 당신의 Mac은 필요 없어집니다. 자기 컴퓨터에서 지갑을 열고 거기서 거래에 서명합니다. 자금이 털리는 시점은 도난 몇 분 뒤일 수도, 몇 주 뒤일 수도 있고, 지켜보는 사람이 없으니 당신의 시간대로는 밤인 경우가 많습니다.
그러니 진짜 손실은 더 일찍 일어난 것입니다. 무언가가 보관함을 복사하고 비밀번호를 가로챘을 때, 또는 복구 문구를 입력하면 안 되는 곳에 입력했을 때입니다.
보관함과 비밀번호를 얻는 방법
- 정보 탈취 악성코드. MacSync 같은 악성코드는 브라우저 지갑 확장 프로그램의 데이터, 브라우저에 저장된 비밀번호, 키체인 파일, 그리고 가짜 창으로 직접 요구하는 Mac 비밀번호를 복사합니다. 지갑 비밀번호가 이 중 하나와 같거나 비슷하면 보관함이 열립니다.
- 변조된 지갑 확장 프로그램. 보안 연구자들은 암호화폐와 Web3 개발자를 노린 캠페인을 확인했습니다. MetaMask 확장 프로그램을 변조해 지갑 비밀번호와 암호화된 보관함을 공격자에게 그대로 보내게 한 것입니다. MacSync의 백도어에는 브라우저 확장 프로그램을 설치하는 명령도 있습니다.
- 비슷하게 만든 확장 프로그램과 사이트. 검색 광고나 가짜 후기로 퍼뜨리는 가짜 MetaMask 확장 프로그램과 다운로드 페이지는, 자금을 넣을 때까지는 진짜처럼 동작합니다.
- 문구를 노린 피싱. MetaMask를 사칭하며 “2026년 필수 업그레이드”나 가짜 2단계 인증 설정을 내세운 이메일과 페이지가 올해 수백 개의 지갑을 털었습니다. 모두 마지막에는 복구 문구를 요구합니다.
- 이미 서명한 승인. 악성 사이트는 토큰의 무제한 지출을 승인하도록 속일 수 있습니다. 공격자가 그것을 쓰기 전에는 아무 일도 없고, 그 시점은 Mac이 잠든 사이 언제든 될 수 있습니다.
macOS가 지켜 주는 것과 그렇지 않은 것
- Gatekeeper와 공증은 많은 악성 앱을 막지만, 비밀번호를 입력해 허용한 앱이나 터미널에 붙여 넣은 명령은 막지 못합니다.
- FileVault는 Mac이 꺼진 채 도난당했을 때 데이터를 지켜 줍니다. 로그인한 동안 실행되는 악성코드에는 아무 소용이 없습니다.
- 개인정보 보호 권한은 앱이 읽을 수 있는 것을 제한하지만, 브라우저 확장 프로그램은 브라우저 안에서 실행되며 이미 지갑에 접근할 수 있습니다.
쉽게 말해, Mac에서든 어떤 컴퓨터에서든 핫 월렛의 안전은 그 컴퓨터와 그 브라우저에서 돌아가는 다른 모든 것의 안전과 같습니다. 효과 있는 핫 월렛 설정은 이 사실에서 출발합니다.
효과 있는 위협 모델
- 돈을 나눠 두세요. 핫 월렛에는 쓸 돈만 넣습니다. 저축은 모든 거래를 기기 자체 화면에서 확인해야 하는 하드웨어 지갑에 둡니다.
- 지갑 전용 브라우저 프로필을 만드세요. 가능하면 macOS 전용 사용자 계정이 더 좋습니다. 그곳에는 지갑 확장 프로그램만 설치하고, 암호화폐 용도로만 씁니다.
- 지갑 전용 비밀번호를 쓰세요. Mac 비밀번호와 다르고, 브라우저에 저장하지 않으며, 어디에도 재사용하지 않는 것이어야 합니다.
- 지갑을 자동으로 잠그세요. 설정에서 몇 분 뒤 잠기도록 합니다.
- 토큰 승인을 정기적으로 확인하고 취소하세요. 신뢰할 수 있는 승인 확인 도구를 쓰고, 특히 무제한 승인을 살펴봅니다.
- 지갑 확장 프로그램은 지갑 공식 사이트의 링크로만 설치하세요. 확장 프로그램 스토어에서 게시자도 확인합니다.
- 복구 문구를 요구하면 공격으로 간주하세요. MetaMask, Ledger, Trezor는 이메일, 팝업, 브라우저 탭에서 절대 그것을 묻지 않습니다.
- macOS와 브라우저를 최신으로 유지하세요. 이번 주라면 27.0.1, 26.7.1 또는 15.8.1입니다.
이미 당했다면
- 다른 깨끗한 기기에서 새 복구 문구로 새 지갑을 만들고, 옛 지갑과 그 문구나 비밀번호를 공유한 모든 지갑에 남은 것을 옮기세요.
- 옛 주소에 남아 있는 토큰 승인을 취소하세요.
- MacSync 가이드에 나온 징후가 Mac에 있는지 확인하세요. 하나라도 발견되면 Mac을 지우고 macOS를 다시 설치한 뒤에 암호화폐에 다시 쓰세요.
- 깨끗한 기기에서 이메일, 거래소, Apple 계정의 비밀번호를 바꾸세요.
- 수수료를 받고 자금을 되찾아 주겠다는 사람을 경계하세요. 복구 사기는 손실 직후의 사람을 노립니다.
요약
MacBook이 잠든 사이 털린 핫 월렛은 Mac을 통해 털린 것이 아닙니다. 그보다 앞서 무언가가 보관함과 비밀번호를 복사했거나 복구 문구를 어딘가에 입력했고, 도둑이 자기 기기에서 거래에 서명한 것입니다. 핫 월렛에는 적은 금액만 두고, 전용 브라우저 프로필이나 사용자 계정으로 격리하고, 고유한 비밀번호를 쓰고, 승인을 취소하고, 저축은 하드웨어 지갑에 두세요. MacHabits의 Mac에서 핫 월렛이 털리는 과정 해설에 점검 항목이 한곳에 모여 있습니다. 출처: machabits.info/articles/hot-wallet-on-mac-threat-model