CertiK, 아이폰 DarkSword 공격 경고…암호화폐 지갑 위험

2026년 11월 7일 | 암호화폐 보안·모바일 취약점 분석

암호화폐 지갑을 노리는 공격이 스마트컨트랙트나 가짜 거래 승인 화면을 넘어 스마트폰 운영체제 자체로 확대되고 있다.

블록체인 보안업체 CertiK는 11월 6일 아이폰의 취약점을 악용하는 DarkSword 공격 도구의 새로운 변종이 암호화폐 지갑을 위협하고 있다고 경고했다. 보안 업데이트를 적용하지 않은 일부 아이폰에서는 악성 웹페이지에 접속하는 것만으로도 민감한 정보가 노출될 가능성이 있다는 설명이다.

이번 경고에서 주목할 부분은 공격자가 이용자에게 지갑 연결이나 거래 서명을 요구하지 않아도 된다는 점이다. 공격 대상이 블록체인 네트워크가 아니라 지갑을 사용하는 기기 자체이기 때문이다.

다만 DarkSword는 11월에 처음 발견된 공격 도구가 아니다. 구글 위협정보그룹(GTIG)과 모바일 보안업체 Lookout 등이 올해 3월 공개한 취약점 공격 체계이며, 이후 변종과 새로운 유포 경로가 계속 확인되고 있다.

지갑 연결도, 거래 승인도 필요 없었다

일반적인 암호화폐 탈취 사건에서는 이용자가 악성 스마트컨트랙트에 서명하거나 가짜 사이트에 복구 문구를 입력하는 과정이 발생한다.

DarkSword는 다른 방식으로 작동한다.

공격자는 Safari 등 브라우저에서 처리되는 악성 콘텐츠를 통해 운영체제의 취약점을 악용한다. 공격이 성공하면 브라우저의 보안 경계를 넘어 기기에 저장된 민감한 정보에 접근할 수 있다.

이때 공격자는 이용자의 지갑 애플리케이션과 직접 상호작용하지 않고도 저장된 인증정보를 수집할 가능성이 있다.

따라서 지갑 연결 요청을 거부하거나 거래 서명 화면을 확인하는 습관만으로는 이러한 유형의 공격을 완전히 막기 어렵다.

다만 악성 사이트를 방문한 모든 아이폰이 자동으로 감염된다는 뜻은 아니다. 실제 공격 성공 여부는 기기의 iOS 버전과 보안 패치 상태, 공격 코드의 작동 조건에 따라 달라진다.

DarkSword는 여섯 개 취약점을 연결해 작동한다

구글 위협정보그룹이 3월 18일 발표한 분석에 따르면 DarkSword는 여러 취약점을 순차적으로 악용하는 공격 체계다.

연구진은 iOS 18.4부터 18.7까지의 버전을 대상으로 작동하는 공격 경로에서 총 여섯 개의 취약점을 확인했다.

공격은 웹 콘텐츠 처리 과정에서 시작해 브라우저의 보안 제한을 우회하고, 이후 운영체제의 추가 취약점을 이용해 더 높은 접근 권한을 확보하는 방식으로 진행된다.

이러한 구조를 보안 분야에서는 익스플로잇 체인(Exploit Chain)이라고 부른다.

단일 취약점만으로는 접근할 수 없는 영역도 여러 취약점을 결합하면 공격 대상이 될 수 있다.

구글은 당시 DarkSword 공격 이후 배포되는 악성코드를 GHOSTBLADE, GHOSTKNIFE, GHOSTSABER 등으로 분류했다.

각 악성코드는 정보 수집 방식과 실행 기능에서 차이가 있었다.

중요한 점은 DarkSword가 특정 암호화폐 지갑의 스마트컨트랙트 오류를 이용하는 공격이 아니라는 사실이다.

운영체제 수준에서 기기가 침해되면 여러 지갑 애플리케이션에 저장된 정보가 동시에 위험해질 수 있다.

복구 문구는 어디에서 노출되는가

암호화폐 지갑의 복구 문구는 지갑 자산을 다시 복원할 수 있는 핵심 정보다.

이 정보가 공격자에게 노출되면 공격자는 별도의 기기에서 지갑을 복원해 자산에 접근할 수 있다.

DarkSword 관련 보안 분석에서는 아이폰에 저장된 비밀번호와 각종 인증정보를 수집하는 기능이 확인됐다.

또한 일부 변종은 사진과 메모 등에서 암호화폐 지갑과 관련된 정보를 탐색할 수 있다.

특히 복구 문구를 화면 캡처로 저장하거나 메모 애플리케이션에 기록한 경우 위험이 커질 수 있다.

공격자가 기기의 사진 또는 메모 데이터에 접근하는 데 성공하면 해당 정보가 노출될 가능성이 있기 때문이다.

CertiK 관련 보도에서는 MetaMask, Trust Wallet, Phantom, Exodus, Coinbase 등의 지갑이 공격 대상이 될 수 있다고 언급됐다.

이는 해당 지갑들의 블록체인 보안 체계가 모두 뚫렸다는 의미가 아니다.

공격자가 지갑 자체의 암호화 기능을 해독하는 것이 아니라, 침해된 기기에 저장된 지갑 관련 정보를 수집하는 구조이기 때문이다.

10월 확인된 P7 변종, 공격 방식도 달라졌다

DarkSword가 다시 주목받는 배경에는 새로운 변종의 확산이 있다.

모바일 보안업체 iVerify는 2026년 10월 P7 DarkSword 변종을 분석한 결과를 공개했다.

해당 변종은 기기 내 활동 흔적을 줄이고 외부 명령을 처리하는 기능을 개선한 것으로 보고됐다.

공격자는 감염된 기기의 정보를 수집하고, 특정 파일을 외부로 전송하거나 추가 명령을 실행할 수 있다.

이후 10월 21일 iVerify와 Report URI가 발표한 공동 조사에서는 악성 광고를 통한 공격 전달 방식도 확인됐다.

이용자가 공격자가 통제하는 광고 콘텐츠를 불러오는 과정에서 취약한 기기에 악성코드가 전달될 수 있다는 것이다.

연구진은 인스타그램 광고와 만료된 도메인을 악용한 광고·분석 스크립트 경로를 조사했다.

이는 공격자가 이용자에게 직접 악성 파일 설치를 요구하지 않고도 웹 콘텐츠 전달 체계를 공격 경로로 활용할 수 있음을 보여준다.

그러나 모든 온라인 광고가 위험하다는 의미는 아니다. 실제로 공격 코드가 포함된 특정 광고나 웹 리소스에 접근하고, 기기에 관련 취약점이 남아 있어야 공격이 성립한다.

보안 패치가 이미 나왔는데도 위험이 계속되는 이유

DarkSword의 주요 취약점은 새로운 패치가 전혀 없는 상태가 아니다.

구글은 3월 보고서에서 관련 취약점들이 iOS 26.3 배포 시점까지 수정됐으며, 상당수는 그 이전에 패치됐다고 밝혔다.

그럼에도 공격 위험이 계속 제기되는 이유는 모든 사용자가 운영체제를 최신 상태로 유지하지 않기 때문이다.

업데이트를 장기간 미루거나 보안 지원이 제한된 기기를 계속 사용하는 경우 이미 알려진 취약점도 실제 공격에 악용될 수 있다.

따라서 이번 뉴스를 모든 최신 아이폰이 새롭게 해킹될 수 있다는 의미로 해석해서는 안 된다.

현재 확인된 핵심 위험은 보안 업데이트가 적용되지 않은 취약한 기기와 공격 도구의 지속적인 재사용이다.

또한 공격 도구의 변종이 계속 등장하고 있으므로 사용 중인 기기의 보안 지원 여부와 최신 업데이트 상태를 확인할 필요가 있다.

하드웨어 지갑을 사용하면 안전할까

하드웨어 지갑은 개인키를 일반 스마트폰 환경과 분리해 보관한다는 점에서 보안상 이점이 있다.

스마트폰이 악성코드에 감염되더라도 하드웨어 지갑 내부에 안전하게 보관된 개인키가 자동으로 노출되는 것은 아니다.

하지만 하드웨어 지갑을 사용한다는 사실만으로 모든 위험이 사라지는 것은 아니다.

복구 문구를 아이폰 사진이나 메모에 별도로 저장했다면 공격자가 해당 정보를 탈취할 가능성이 남아 있다.

또한 감염된 기기에서 거래 정보를 조작하거나 악성 주소를 제시하는 위험도 고려해야 한다.

따라서 하드웨어 지갑 이용자는 실제 기기 화면에서 수신 주소와 거래 내용을 직접 확인하고, 복구 문구를 인터넷에 연결된 기기에 저장하지 않는 것이 중요하다.

이미 의심스러운 사이트에 접속했다면

DarkSword 관련 위험을 줄이기 위해 가장 먼저 확인해야 할 것은 iOS 업데이트 상태다.

애플이 제공하는 최신 보안 업데이트를 적용하고, 보안 지원이 종료된 기기는 암호화폐 자산 관리 용도로 계속 사용하지 않는 편이 안전하다.

복구 문구를 사진이나 메모에 저장했다면 해당 보관 방식도 재검토해야 한다.

다만 감염이 의심되는 기기에서 단순히 메모를 삭제하는 것만으로 이미 유출된 복구 문구의 위험이 사라지는 것은 아니다.

복구 문구가 노출됐다고 판단된다면 신뢰할 수 있는 별도의 기기에서 새로운 지갑을 생성하고, 새로운 복구 문구로 자산을 이전하는 방안을 검토해야 한다.

기존 복구 문구를 그대로 사용하는 지갑 애플리케이션만 교체하는 것은 충분한 대응이 아니다.

비밀번호와 다른 인증정보까지 유출됐을 가능성이 있다면 관련 계정의 접근 권한과 인증 수단도 함께 점검해야 한다.

구글은 보안 업데이트가 어려운 경우 추가적인 보호 수단으로 애플의 잠금 모드(Lockdown Mode)를 권고했다.

다만 잠금 모드 역시 이미 탈취된 복구 문구를 무효화하거나 감염된 기기를 자동으로 복구하는 기능은 아니다.

암호화폐 보안의 취약점이 이동하고 있다

DarkSword 사례는 암호화폐 자산의 안전성이 블록체인 네트워크나 지갑 애플리케이션의 보안 수준만으로 결정되지 않는다는 사실을 보여준다.

개인키와 복구 문구가 안전하게 생성되더라도 이를 사용하는 기기가 침해되면 자산 보호 체계가 무너질 수 있다.

특히 모바일 지갑은 편리한 접근성을 제공하지만 웹브라우저, 메신저, 광고 콘텐츠 등 다양한 외부 데이터와 같은 기기 환경을 공유한다.

이러한 구조에서는 운영체제 보안과 개인정보 저장 습관이 자산 보호의 중요한 요소가 된다.

DarkSword가 기존 보안 취약점을 반복적으로 악용하고 새로운 유포 방식을 확보하는 현상은, 알려진 취약점의 패치와 실제 이용자의 업데이트 사이에 존재하는 간극을 드러낸다.

이번 CertiK 경고의 의미도 여기에 있다. 새로운 지갑 해킹 기술이 등장했다는 사실보다, 이미 알려진 운영체제 취약점이 암호화폐 탈취 공격에 계속 활용되고 있다는 점이 더 중요하다.

암호화폐 보안은 이제 거래 서명과 스마트컨트랙트 검증을 넘어, 개인키가 사용되는 기기의 보안 상태까지 함께 관리해야 하는 영역으로 확대되고 있다.

---

공식 참고 자료

1. Google Threat Intelligence — DarkSword 취약점 및 공격 구조 분석
https://cloud.google.com/blog/topics/threat-intelligence/darksword-ios-exploit-chain

2. iVerify — DarkSword 악성 광고 유포 방식 분석
https://www.iverify.com/blog/malvertising-coruna-darksword-iphone-exploits