사이버 범죄자들이 X 광고 기능을 악용하여 정교한 암호화폐 사기를 시작했습니다.

사이버 보안 분석가들이 X(구 Twitter)의 광고 URL 표시 시스템을 악용하여 사용자들을 가짜 암호화폐 프로모션에 속이기 위한 위험한 새로운 사기를 발견했습니다.

Silent Push의 위협 연구원들은 공격자들이 X의 광고 URL 미리보기 기능을 조작하여 신뢰할 수 있는 도메인(예: CNN.com)을 표시하도록 했지만, 실제 링크는 피해자들을 애플을 사칭하는 사기 웹사이트로 안내하고 가짜 "Apple iToken" 암호화폐 프리세일을 홍보했다고 밝혔습니다.

이 계획은 X가 링크 미리보기 카드 생성하는 방식을 악용합니다. URL이 광고에 게시되면, X의 봇은 고정된 사용자 에이전트 문자열을 사용하여 메타데이터를 가져옵니다. 공격자들은 자신의 웹 서버를 설정하여 해당 사용자 에이전트를 인식하고 봇을 합법적인 사이트(예: cnn[.]com)로 리디렉션하여 깔끔한 미리보기를 생성합니다. 그러나 일반 사용자가 클릭하면 고요하게 사기 도메인인 ipresale[.]world로 리디렉션됩니다.

일부 경우 공격자들은 처음에 평판이 좋은 사이트를 미리보기 생성을 위해 가리키는 bit[.]ly와 같은 링크 단축기를 사용하고 광고가 라이브가 되면서 악의적인 페이지로 변경합니다.

이러한 피싱 링크는 종종 여러 번의 리디렉션(예: t[.]co)을 거쳐 전문적으로 설계된 사기 사이트에 도착합니다. 피해자들은 애플 CEO 팀 쿡의 가짜 추천서를 보여 받고 비트코인, 이더리움, 솔라나 네트워크 전반에 걸쳐 22개의 암호화폐 지갑 중 하나에 자금을 입금하도록 유도됩니다.

추가 조사에서는 2024년 이후 활성화된 약 90개의 관련 도메인이 발견되었습니다. 공격자들은 일관된 인프라(공유 파일, 아이콘, IP 주소(예: 51.15.17[.]214), 네임 서버(ns1.chsw.host))를 사용하여 사기 네트워크를 운영했습니다.

캠페인의 두 번째 물결은 2025년 5월 5일 새로운 X 광고를 통해 시작되어 사용자들을 chopinkos[.]digital에서 itokensale[.]live로 리디렉션하였으며, 거의 동일한 사기 콘텐츠와 애플 브랜드 악용을 특징으로 했습니다.

일부 연관 도메인은 의심스러운 .ru 지역으로 다시 연결되기도 했지만, 특정 그룹에 대한 확실한 귀속은 확인되지 않았습니다.

이 사건은 현대 소셜 미디어 광고 사기의 정교함과 강력한 URL 검증 없이 클라이언트 측 리디렉션에 의존하는 플랫폼의 위험성을 강조합니다. Silent Push는 X의 광고 검토 및 메타데이터 시스템에 대한 긴급한 개선과 사용자 경각심을 촉구하고 있습니다.

광고 사기가 점점 더 교묘해짐에 따라, 사용자는 클릭하기 전에 두 번 생각해야 할 뿐만 아니라 과거 콘텐츠를 정기적으로 정리해야 합니다.  TweetDeleter와 같은 도구를 사용하면 오래된 트윗을 삭제하고 소셜 미디어 기록을 관리할 수 있으며, 이는 온라인에서 안전을 유지하는 데 필수적인 단계입니다.

출처: gbhackers.com