새로운 안드로이드 익스플로잇 '픽스냅'으로 암호화폐 지갑 시드 문구가 노출될 수 있습니다.

사이버 보안 연구원들은 악성 앱이 암호화폐 지갑 복구 문구, 2단계 인증(2FA) 코드 및 기타 민감한 정보를 포함하여 휴대폰 화면에 표시되는 내용을 몰래 훔칠 수 있는 위험한 새로운 Android 취약점인 '픽스냅핑'을 발견했습니다.

새로 발표된 연구 논문에 따르면 픽스냅은 Android의 일반적인 보안 보호 기능을 우회하고 브라우저 이외의 앱에서 데이터를 추출할 수도 있습니다. 이 익스플로잇은 스크린샷을 찍거나 화면의 내용을 직접 기록하지 않고, 대신 영리한 시각적 트릭을 사용하여 한 번에 한 픽셀씩 사용자가 보고 있는 내용을 재구성합니다.

먼저, 공격자의 앱은 다른 앱 위에 여러 개의 반투명 오버레이를 조용히 배치하여 단일 픽셀 영역만 노출시킵니다. 이러한 오버레이의 색상과 투명도를 변경하고 해당 픽셀이 반응하는 시간을 신중하게 조정함으로써 악성 앱은 그 아래에서 오는 색상 정보를 "읽을 수 있습니다".

이 과정을 여러 픽셀과 프레임에 걸쳐 반복함으로써 텍스트, 숫자, 심지어 암호화 시드 문구를 포함하여 화면에 표시되는 전체 이미지를 점진적으로 재구성합니다.

이 과정은 시간이 걸리기 때문에 빠르게 변화하는 화면에서는 효과가 떨어지지만, 지갑 복구 문구나 2FA 코드 복사 등 몇 초 동안 표시되는 정보를 노리는 경우 매우 위험할 수 있습니다.

위험에 처한 암호화 시드 문구

사용자의 암호화폐 지갑에 대한 전체 액세스 권한을 제공하는 고유 단어인 시드 문구는 특히 위험에 노출되어 있습니다. 많은 사용자가 이러한 문구를 수동으로 복사할 수 있을 만큼 오랫동안 표시하기 때문에 공격자가 이를 탈취할 수 있는 기회가 생깁니다.

연구원들은 실험실 테스트에서 대부분의 실험에서 Pixnapping이 Google Pixel 휴대폰에서 6자리 2FA 코드를 성공적으로 복구할 수 있음을 입증했습니다. 이 공격의 성공률은 픽셀 6에서 73%, 픽셀 7에서 53%, 픽셀 8에서 29%, 픽셀 9에서 53%였으며 평균 복구 시간은 14초에서 25초 사이였습니다.

전체 12단어 복구 문구를 재구성하는 데는 시간이 오래 걸리지만, 특히 고해상도 디스플레이에서 문구가 너무 오래 표시되는 경우 공격이 여전히 가능합니다.

연구원들은 구글의 픽셀 6~9와 삼성의 갤럭시 S25를 포함한 기기에서 안드로이드 버전 13~16에 걸쳐 이 익스플로잇을 테스트했습니다. 익스플로잇된 Android API는 널리 사용 가능하기 때문에 이 취약점은 다른 디바이스에도 영향을 미칠 수 있습니다.

구글은 처음에 앱이 동시에 흐리게 처리할 수 있는 오버레이 레이어의 수를 제한하여 이 결함을 패치하려고 시도했습니다. 그러나 연구팀은 공격의 실행 가능성을 유지하는 해결 방법을 빠르게 찾아냈습니다. 논문은 다음과 같이 언급했습니다.

"10월 13일 현재, 공개 일정 및 완화 조치와 관련하여 Google 및 삼성과 여전히 조율 중입니다."

구글은 이 취약점을 심각도가 높은 것으로 평가하고 연구진에게 버그 현상금 포상금을 지급했습니다. 또한 연구팀은 구글의 초기 패치가 갤럭시 기기를 완전히 보호하지 못했다고 삼성 측에 알렸습니다.

하드웨어 지갑이 여전히 가장 안전한 선택

전문가들은 Android 디바이스 또는 인터넷에 연결된 모든 디바이스에 시드 문구나 개인 키를 표시하지 말 것을 강력히 권고합니다. 가장 안전한 방법은 하드웨어 지갑을 사용하여 키를 저장하고 관리하는 것으로, 이는 개인 데이터를 완전히 오프라인 상태로 유지하고 잠재적으로 손상될 수 있는 앱이나 브라우저에 노출되지 않도록 합니다.

하드웨어 지갑은 휴대폰이나 컴퓨터에 민감한 정보를 노출하지 않고 독립적으로 거래에 서명하는 격리된 보안 장치 역할을 합니다. 사이버 보안 연구원 블라디미르 S의 표현을 빌리자면 X:

"휴대폰으로 암호화폐를 보호하지 마세요. 하드웨어 지갑을 사용하세요!"

픽스냅의 발견은 최신 스마트폰도 창의적인 새로운 공격으로부터 자유롭지 않다는 사실을 냉정하게 상기시켜 줍니다. 암호화폐 보유자에게 진정한 보안은 여전히 주의, 격리, 콜드 스토리지에 있다는 익숙한 진리를 다시 한 번 강조합니다.