해커들이 HBO Max 레딧 계정을 해킹해 암호화폐 탈취 악성코드를 유포하고 있다

해커들이 공식 인증된 HBO Max 레딧 계정을 탈취하여 사용자들에게 108개의 가짜 광고를 퍼뜨렸습니다. 이 광고들은 모두 암호화폐 지갑과 브라우저 자격 증명을 훔치도록 설계된 정교한 크로스 플랫폼 악성코드 공격으로, 연구원들은 이를 PasteSwitch라고 명명했습니다.

허드슨 록 연구진에 따르면 해킹당한 u/hbomax 계정은 48시간 동안 108개의 클릭픽스(ClickFix) 광고를 게재했습니다. 해당 계정은 인증된 계정이었기 때문에 레딧 사용자들은 광고 내용을 신뢰할 만한 충분한 이유가 있었습니다.

계정 해킹 캠페인 허드슨 록에 따르면, 인증된 u/hbomax 계정에서 48시간 동안 여러 개의 클릭픽스 광고가 게재되었다고 합니다. HBO Max의 레딧 계정이 악성코드 유포에 사용된 것으로 알려졌습니다.

해당 광고는 사용자를 합법적인 HBO Max 설치 프로그램처럼 보이는 가짜 다운로드 페이지로 유도했습니다. macOS 사용자는 터미널에 명령어를 붙여넣으라는 안내를 받았고, Windows 사용자는 실행(Run) 또는 PowerShell에 명령어를 붙여넣으라는 안내를 받았습니다. 이는 피해자가 악성 소프트웨어를 직접 실행하도록 유도하는 사회공학적 기법인 ClickFix의 전형적인 수법입니다.

Malwarebytes는 macOS 사용자가 MacSync 또는 Atomic macOS Stealer(AMOS)와 같은 악성 프로그램에 감염될 수 있다고 보고했습니다. 이 두 악성 프로그램은 모두 브라우저 자격 증명, 텔레그램 세션 데이터, 저장된 암호 및 암호화폐 지갑 복구 문구를 탈취하도록 설계되었습니다. Windows 사용자는 최소한의 포렌식 흔적만 남기는 메모리 내 정보 탈취 악성 프로그램인 Amatera에 노출될 수 있습니다.

공격자의 신원과 HBO Max 계정을 탈취하는 데 사용된 정확한 방법은 아직 공개적으로 확인되지 않았습니다. 하지만 PasteSwitch 공격에 사용된 블록체인 인프라는 더 명확한 흔적을 남겼습니다. 이는 가짜 CAPTCHA를 사용하여 유사한 클립보드 탈취 페이로드를 전달하는 BNB Chain 악성코드 캠페인에서 나타나는 패턴과 유사합니다.

암호화폐 탈취 악성코드 위협이 사용자에게 미칠 수 있는 영향은 무엇일까요? PasteSwitch는 단순한 정보 탈취 캠페인이 아닙니다. 허드슨 록의 조사에 따르면, 이 공격은 BNB 스마트 체인 스마트 계약을 변경 가능한 명령 및 제어 저장소로 활용하여 암호화폐 지갑 주소를 복사하는 악성 코드입니다. 피해자가 암호화폐 결제를 위해 지갑 주소를 복사하면, 악성 코드는 이를 공격자가 제어하는 ​​주소로 몰래 바꿔치기합니다.

연구원들은 2026년 3월과 7월 사이에 동일한 컨트롤러가 BSC 메인넷 계약을 36건 변경한 것을 관찰했는데, 이는 해당 운영이 수개월 동안 지속되었으며 차단 목록을 피하기 위해 인프라를 적극적으로 교체했음을 시사합니다.

PasteSwitch 인프라 Hudson Rock에 따르면, 2026년 3월과 7월 사이에 한 컨트롤러에서 BSC 메인넷 C2 계약 변경 사항이 관찰되었습니다.

스마트 계약을 C2 인프라로 활용하는 것은 계산된 전략입니다. 블록체인 거래는 변경 불가능하고 공개적이지만, 공격자는 특정 시점에 어떤 지갑 주소가 계약에 기록될지 제어할 수 있습니다. 피해자와 방어자는 블록체인 상에서 도난 발생을 목격하지만, 악성 도메인을 차단하는 것처럼 분산형 스마트 계약을 쉽게 차단할 수는 없습니다. 이러한 기법은 여러 블록체인에 걸쳐 발생하는 암호화폐 도난 사건과도 연관되어 있으며, 이로 인해 거래소에서 수백만 달러의 자금이 유출되었습니다.

Decrypt의 보도에 따르면, 이번 캠페인을 통해 발생한 피해자 수와 도난당한 암호화폐의 총액은 아직 확인되지 않았습니다. HBO Max나 Reddit 측의 공식 입장은 아직 찾아볼 수 없습니다.

암호화폐 사용자들이 레딧에서 의심스러운 게시물을 발견했을 때 해야 할 일 Malwarebytes에 따르면 Reddit 관리자들은 신고를 접수한 후 해당 광고를 일시 중단하고 보안 조사를 시작했습니다. 하지만 해당 광고는 48시간 동안 게재되었으며, 그 기간 동안 광고와 상호 작용한 사용자는 위험에 노출될 수 있습니다.

캠페인 기간 동안 u/hbomax 계정의 게시물을 클릭하거나 파일을 다운로드했다면, 가장 중요한 것은 암호화폐 지갑을 안전하게 관리하는 것입니다. 알 수 없는 사이트에 연결된 지갑은 즉시 연결을 해제하세요. 다른 작업을 하기 전에, 감염되지 않은 깨끗한 기기에서 새로 생성한 지갑으로 자산을 옮기십시오.

소셜 미디어 게시물을 통해 접속한 사이트에는 절대로 복구 문구나 개인 키를 입력하지 마세요. 인증된 계정이라 하더라도 마찬가지입니다. 인증 마크는 계정이 인증되었다는 의미일 뿐, 안전하다는 것을 의미하지는 않습니다. 공격자들은 바로 이러한 이유로 신뢰도가 높은 계정을 표적으로 삼습니다. 프로모션 및 앱 다운로드는 항상 공식 회사 웹사이트를 통해 직접 확인하세요.

의심스러운 게시물을 발견하면 레딧과 HBO Max의 공식 채널을 통해 신고해 주세요. 플랫폼 관리자에게 빨리 알릴수록 해킹된 계정을 더 빨리 잠글 수 있습니다. 대규모 거래소 해킹 사건조차도 신속한 대응으로 부분 복구가 가능했던 사례가 있으므로, 조기 신고는 매우 중요합니다.

클립보드 클리핑 악성코드가 점점 더 교묘한 소셜 엔지니어링 수법을 통해 확산됨에 따라, 이제는 신뢰받는 브랜드 계정이 다시 공격 대상이 될지 여부가 문제가 아니라, 어떤 계정이 다음으로 해킹당할지, 그리고 누가 알아차리기 전에 얼마나 많은 계좌 잔액이 소진될지가 관건입니다.

면책 조항: 본 글은 정보 제공 목적으로만 작성되었으며, 금융 또는 투자 자문으로 간주될 수 없습니다. 암호화폐 및 디지털 자산 시장은 상당한 위험을 수반합니다. 투자 결정을 내리기 전에 반드시 직접 조사하십시오.