디스코드(Discord)는 왜 위험한가요?
여러분들 모두가 웹3 세계에서 계속해서 들어본 말이 있을 거예요. “디스코드는 끔찍해!”, “우리 프로젝트는 보안 위험 때문에 결코 디스코드를 쓰지 않을 것입니다.” 또는 제가 좋아하는 문구는 이거예요. “걍 DM 기능을 꺼 멍청아.”
트위터의 시시한 비평가들은 보통 그들이 왜 그렇게 느끼는지에 대해서는 얘기하지 않고, 막연한 글을 남기죠. 그들은 여러분에게 디엠이 왜 그렇게 위험한지는 알려주지 않습니다. 그래서, 다행히도 과학의 힘을 빌어 우리는 위험한 웹3 스캐머들의 뇌를 좀 가져와서 그들의 목표와 사고과정을 살펴보고, 여러분들이 진짜 충고는 DM을 끄지 않음으로써 절대 스캐머와 단 둘이 있지 않는 것임을 이해하게 하려고 합니다.
#1: DM에 관한 흔한 오해
디스코드에서 DM을 끄는 것은 좋은 조언이지만, _그 이유_에 대해서 이야기하지 않는 것은 혼란과 위험을 초래하곤 합니다.
이 앵무새들은 여러분들에게 친구 요청을 끄라고 하지도 않을 것이고, 아마도 상승장을 다시 살리기 위해 기우제를 지내듯이 300일째 트위터에 “gm”이라고 쓰러 가는 길일 수도 있습니다.
스캐머들에 대해 나 자신을 지키는 방법을 알기 위해서 스캐머처럼 생각하는 것은 가끔 아주 효과적이죠. 그럼 이제 스캐머의 머릿속을 들여다보고 그들의 생각하는 과정을 확인해보겠습니다:
스캐머 머릿 속 어딘가…: 목표는 하나, 지갑에 접근하기.. 접근하는 방법은 여러가지가 있지만, 꼭 하나 해야할 일이 있지.. 희생자가 혼자 있어야 해.
맞아, 우리가 희생자를 혼자 우리랑 같이 있게 할 수 있으면, 우리가 하는 스캠이 진짜라고 설득할 수 있지. 우리가 공개된 마켓플레이스에서 이야기하면 웬 오지랖넓은 웹3 인간이 와서 스캠이라고 소리지르니까! 그럴 순 없지.
디스코드 DM이 여기에 딱이지. 근데 DM 닫아둔 사람들은 어떡하지.. 뭐, 그건 피할 방법이 있지.
- 트위터 메시지! - 네, 맞습니다. 트위터 DM도 안전하지 않습니다. 여러분이 함께 아는 팔로워를 확인할 수 있기 때문에 더 안전하기는 하지만, 잘 만들어진 가짜 계정에서는 그것들 모두를 속일 수 있고, 더 안 좋게는, 해킹된 트위터 계정이 이용될 수도 있습니다!
- 디스코드 친구 요청 - 여러분의 디스코드 친구인 사람은 “DM 비활성화” 설정을 피해갈 수 있습니다. 그래서 그들은 DM을 보내는 대신 친구 요청을 보냅니다. 그리고 그들은 공개된 마켓플레이스에서 여러분들에게 친구 추가를 해달라고 상냥하게 요청할 수도 있습니다. (진짜 제대로된 트레이더들도 이렇게 합니다!)
- 사람이 적은 디스코드 서버 - 여러분이 잘 사용되지 않는 채널이나 스레드, 서버에서 활동하면, 다른 사람이 거기에 관계될 확률이 낮아집니다.
- 개인 스레드나 지원 티켓 - 스캐머가 지원 티켓(웹사이트에서 지원 관련 메시지를 보내고 스레드로 답변을 받는 것)을 악용하거나 희생자와 단 둘이 있으려고 개인 스레드를 생성할 위험이 있습니다.
- 이것은 정말 나쁜 경우입니다. 여러분의 기존 친구. 스캐머들이 여러분 친구의 디스코드 계정을 해킹하면, 여러분들로 하여금 돈을 보내거나 민팅에 참여하거나.. 여러분이 무엇이든 하게 만들 수도 있습니다. 왜냐하면 여러분은 친구를 믿으니까요. 그러나 아무도 믿지 마세요. 여러분이 상호작용하는 모든 사람을 의심하세요. 그게 여러분의 가장 절친한 친구더라도요.
자, 그래서 우리가 위에서 알게된 사실은, 개인적인 장소에서 누군가와 대화를 나눌때 각별히 주의하라는 것입니다. 트위터, 텔레그램, 디스코드, 어쩌면 틴더까지? 어디든지요. 스캐머들은 여러분들을 거기서 찾아내서, 개인적인 장소로 데려갈 것이고, 스캠은 다른 사람의 방해 없이 시작될 것입니다.
#2 표적을 찾는 방법
이름 없는 사기꾼들이 수 세기 동안 해온 말이 있죠. “봉은 일 분에 하나씩 태어난다.”
웹3에서 이것은 사실입니다. 이런 신생 세계, 그것도 여러 사람에게 암호화폐로 가는 시작점이 되는 곳에서, 웹3는 표적이 아주 많은 환경입니다. 잘못된 방법으로 얻는 수천달러의 보상을 위해서는 악성 웹사이트에서의 클릭 두어번만이 필요하다는 사실을 기억하세요.
그럼 어떤 표적이 스캐머들에게 최고의 표적인지, 그리고 그들 중 하나가 되는 것을 피하는 방법은 무엇인지 알아봅시다.
스캐머의 머릿 속 깊은 곳: 좋아, 큰 표적이 필요해. 우리는 세금 까먹는 서비스가 아니니까 모든 사람을 표적으로 삼지 않을 거야. 블루칩 NFT, 디파이 토큰, ETH가 필요해. 팔기 쉽고, 옮기기 쉽고, 결국 Robux를 살 수 있는 것. 그리고 더 쉬운 뉴비 표적이 필요하지…
그래서 사기꾼들은 종종 한 곳에 많은 돈을 가진 걸 보여주는 사람들을 찾습니다. 메타마스크에 보유한 대량의 ETH 스크린샷을 게시하는 사람, 지루한 원숭이를 공개 ENS 지갑에 잔뜩 보유한 사람, 그리고 물론 스캐머들은 프로필 사진에 따라 표적을 타겟팅합니다.
여러분이 Ledger를 사용하더라도, 그것을 정기적으로 사용하고 자주 거래에 서명한다면 여러분은 주요 타겟이 됩니다.
여러분은 위에 언급된 위험한 행동을 할 수도 있지만, 그렇다면 여러분은 표적이 될 위험이 더 높아지기 때문에 더 많은 주의를 기울여야 하고 최신 스캠을 잘 알고 있어야 합니다.
또한, 이러한 스캐머들은 디스코드 채널을 지켜보며 초보적인 질문을 하거나, 그들이 뉴비라고 말하거나, 더 나쁘게는 방금 스캠을 당했다고 말하는 사람들을 표적으로 삼을 것입니다.
스캠을 막 당한 사람들은 다시 새로운 사기꾼에 의해 타겟이 되기도 하는데, 새로운 사기꾼들은 희생자의 판단력을 둘러싼 공포와 불확실성을 이용해 가짜 revoke.cash 웹사이트나 그들의 자금을 ‘복구’해줄 가짜 서비스로 유도합니다. 암호화폐와 그 연장에 있는 NFT는 돌이킬 수 없습니다. 여러분은 자금이 어디로 가는지 추적하여 중앙화 거래에서 그 일부를 되찾을 수도 있지만, 그건 빼앗긴 것의 극히 일부입니다.
디스코드 서버는 디스코드 클라이언트와 상호작용할 때 보이는 것보다 더 많은 정보를 제공합니다. 공격자는 디스코드 전체 멤버나 그들이 가진 역할, 멤버들이 있는 공통 서버와 같은 정보들을 악용할 수 있습니다. 모든 NFT 서버에는 홀더에 해당하는 역할이 있기 때문에, 공격자는 쉽게 여러분이 가치있는 NFT를 가지고 있음을 알 수 있으며, 심지어 가치 있는 표적의 긴 목록을 만들어낼 수도 있습니다.
항상 스캐머들이 여러분보다 더 많은 정보를 가지고 있다고 생각해야 합니다. 디스코드 플랫폼을 악용해서 그들은 여러분이 그들을 모름에도 여러분에 대해 아주 잘 알고 있을 것입니다.
그러나 본질적으로, 수많은 표적과 자동화된 봇을 이용한 스캠을 시도하는 스캐머들을 고려할 때, 웹3의 모든 유저는 표적이 될 수 있습니다.
#3 믿게 만드는 방법, 신뢰
표적이 스캐머와 단 둘이 한 곳에 있는데, 스캠은 어떻게 성공하게 될까요?
지갑에 있는 자산을 다 가져가는 웹사이트로 연결되는 링크를 보내는 것은 항상 성공하지는 않습니다. 스캐머는 어떻게 해서 피해자가 피해자가 될 가능성을 극대화할 수 있을까요?
스캐머 머릿속: 우리의 fakemint.com 링크를 클릭하게 만들 수 있는 방법이 몇가지 있지… 그치만 먼저 할 일이 있어. 표적이 우릴 믿게 만들어야 해. 다행히도 그런 신뢰를 얻기 위한 속임수가 또 몇가지 있지…
스캐머의 첫번째 수법은 신뢰를 구축하는 것입니다. 사기꾼이 신뢰를 쌓는 방법에는 여러가지가 있습니다. 거기에는 여러가지 단점이 있기도 합니다. 디스코드는 스캐머에 대한 잘못된 신뢰를 쌓는데 다음과 같이 여러가지 도움을 줍니다.
사칭: 디스코드는 사용자 아이디에 여러가지 문자를 쓸 수 있고, 그래서 스캐머는 아이디 뒤에 붙는 숫자 #0000까지 똑같이 써서 픽셀 단위의 정확함으로 사용자를 사칭할 수 있습니다.
스캐머들이 사칭하지 못하는 것은 이전에 나눈 DM, 또는 여러분이 디스코드 계정 프로필에 입력하는 메모(Note)입니다. 그러므로 항상 대화 상대가 실제 당사자인지 다시 한 번 확인하세요. 의심스러운 경우에는 트위터와 같은 2차 소통 수단을 통해 이야기하도록 하세요. 사칭에 대한 더 자세한 내용은 여기를 참조하세요:
🚨🚨🚨 디스코드 보안 팁 🚨🚨🚨
사칭 공격에 대해 며칠간 생각해봤는데요.
피싱하는 사람들이 일반 유저에게 스캠을 시도하기 위해 프로젝트 팀 멤버인 척 하는 경우가 많죠.
좀 더 파고들어 볼게요. 이 사칭하는 사람에 대해 알려준 @crystalgroves 에게 감사합니다: pic.twitter.com/kQ7GKb0OgK
— Jon_HQ (@Jon_HQ) May 30, 2022
해킹: 그들의 실제 계정에 접근할 수 있다면 누군가를 사칭할 필요가 없겠죠. 디스코드 계정은 해킹하기가 정말 쉽습니다. 너무 자세히 설명하지 않고도, 한 계정으로부터 메시지를 보내고 받기 위해 공격자가 접근할 필요가 있는 것은 여러분의 디스코드 토큰이라고 불리는, 보통 암호화가 되지 않은 문자열 뿐입니다.
여러분의 디스코드 토큰이 해킹된다면, 비밀번호를 재설정해서 토큰을 무효화하고 새로운 토큰을 생성하세요. 여러분의 디스코드 토큰을 얻기 위해 공격자들이 이용하는 다양한 스캠은 또 다른 글로 다루어야 하겠지만, 보통 피해자가 악성 exe 파일이나 자바스크립트를 열거나, 악성 북마크, 크롬 확장 프로그램을 이용하거나, 개발자 도구에서 뭔가를 잘못 건드리는 경우가 있습니다. 해킹되는 디스코드 계정이 아주 많다는 점을 고려할 때, 여러분은 사람들의 실제 계정으로부터 오는 것들도 믿어서는 안됩니다.
이것은 실제 디스코드 서버에도 적용됩니다. 수많은 NFT 프로젝트가 디스코드 서버 해킹을 당해서 공식 공지 채널에 악성 링크가 포스팅되었습니다. 디스코드에서 읽는 모든 메시지에 주의하세요. 디스코드 토큰 피싱에 관해서는 여기를 참조하세요:
평균적인 NFT 디스코드에 모더레이터나 팀 멤버 수준의 상시 이용자가 12명 이상이라는 걸 알고 계셨나요? 스레드로 인포그래픽을 확인하세요 🧵 pic.twitter.com/mOYcYXMOrp
— Jon_HQ (@Jon_HQ) March 2, 2022
가짜 검증: 스캐머들은 그들 자신을 잘 소개하고, 여러분이 들어본 적 있는 NFT 프로젝트에서 왔으며, 그 프로젝트 트위터 계정에 여러분을 연결시켜줄 것이고, 트위터 팔로워가 7만명이 넘을 겁니다.. 그렇지만 그 트위터 계정은 가짜입니다. 언제나 프로젝트와 사람들에 대해서 직접 검색해보고, 프로젝트를 찾기 위해 링크된 트위터 계정이나 프로필에 있는 링크에 의존하지 마세요.
진짜 링크로 위장한 링크: 스캐머가 이용할 수 있는 수법 중에는 여러분이 디스코드 클라이언트에서 올바른 링크를 보게 하면서 그것을 클릭했을 때는 다른 웹사이트로 이동하게 되는 것이 있습니다. 여러분이 링크를 클릭해야만 한다면 꼭 접속하려 했던 웹사이트로 들어와졌는지 확인하세요. 더 좋기로는 중요한 URL은 여러분이 여러분의 브라우저에 직접 입력하시는 것이 좋습니다.
#4 클릭하게 만드는 방법
마지막으로, 스캐머의 가장 큰 목표는 희생양이 링크를 클릭하지 말고 파일을 다운받지 말라는 반복되는 안내를 제쳐놓고 스캠에 속게 만드는 것입니다. 스캐머의 뇌가 무엇을 생각하고 있는지 볼까요?
스캐머의 머릿속: 이 겁쟁이가 자꾸 보내는 링크를 안 누르네! 생각하는 걸 멈추게 만들어야 해. 감정적으로 만들고, 링크를 눌러야만 할 것 같다고 느끼게 만들어야 해… 그렇게 하는 방법은 몇 가지가 있지…
포모(FOMO)는 여러분이 민팅하기를 깜빡하는 프로젝트에만 적용되는 것이 아닙니다. 아주 나쁜 수단으로 쓰일 수도 있습니다.
스캐머들은 여러분을 제압하기 위해 다음과 같은 수법을 써서 여러분의 감정을 이용할 겁니다:
시간이 한정된 제안: 시간 제한이 있는 제안에 대해서는 언제나 의심하세요. 누군가 원숭이를 거래하자고 제안하면서, 그 거래를 당장 하고 싶어 하는 다른 사람이 있다고 할 수 있습니다. 스캐머는 이 때 여러분들이 그들의 가짜 원숭이 NFT가 민팅된 컨트랙트를 검증하는 과정을 건너뛰게 만들려고 하고 있습니다. 누구든지 여러분이 속도를 내서 무언가 빨리 하도록 압박을 주려 한다면, 꼭 그 반대로 속도를 확 낮추고 모든 것을 두 번씩 확인하세요.
공짜 제안: 진짜라기엔 너무 좋은 제안이라면, 진짜가 아닐 가능성이 높습니다. 누군가 여러분에게 ‘무료로’ 무언가를 보내고 그것을 얻기 위해서 약간의 돈을 입금해야 한다고 하면, 그것은 스캠입니다. 사람들은 공짜로 뭔가 얻는 것을 좋아하고, 승리자가 된 기분을 느끼고 싶어하지만, 스캐머들은 자신들의 스캠에 피해자들이 넘어가도록 이러한 감정을 악용할 겁니다.
두려움: 그들은 여러분을 겁먹게 하는 메시지를 보낼 것입니다. “스캐머가 당신의 지갑에 접근했으니, 이 웹사이트로 가서 그들의 접근권을 취소하세요” 같은 것 말입니다. 겁먹고 두려움에 떠는 사람들은 그 웹사이트가 진짜인지 확인하는데 시간을 들이지 않습니다. 만약에 당신을 겁먹게 하는 메시지를 받았다면, 심호흡을 크게 하고, 생각의 속도를 늦추고, 차근차근 생각하세요.
피로: 감정은 아니지만, 사람들은 밤 늦게 피곤할 때 더 쉽게 속는 경향이 있습니다. 스캐머들은 기다리면서 여러분을 지켜보고, 여러분의 수면 패턴을 알아내서 여러분이 제일 피곤할 때 공격하려 할 것입니다. 밤늦게 소셜 미디어를 사용하는 것에 대해 각별히 주의하세요. 디스코드 상태 표시 기능은 여러분이 디스코드를 켜면 여러분이 온라인이라는 사실을 스캐머들에게 알려줍니다. 그들은 디스코드 상태를 통해 여러분의 수면 패턴을 추적할 수 있습니다. 여러분이 상태를 숨김으로 설정해도, 스캐머들은 여러분이 디스코드에 메시지를 보내는 시간이나 트위터에서 트윗을 하는 시간대로 여러분의 수면 패턴을 알아낼 수 있습니다.
결론
이제 여러분들은 위에서 소개된 방식과 여러분들이 배운 것들이 디스코드에만 해당하는 사실이 아니라는 점을 인지하고 있을테고, 그것은 정말로 맞는 말입니다.
디스코드는 트위터나 텔레그램, 온라인에 다른 수많은 사이트처럼 소통을 위한 수단입니다. 다른 사람이 여러분에게 말을 걸 수 있는 모든 공간은 스캠으로 이어질 수 있습니다. 그러나 디스코드를 훨씬 더 위험한 곳으로 만드는 몇가지 사항들에 대해 다시 살펴보겠습니다:
- 계정 사칭이 쉬움
- 계정 해킹이 쉬움
- 악성 링크가 쉽게 숨겨짐
- 개인 DM을 통해 사람들에게 쉽게 접근할 수 있음
- 멤버 목록이 쉽게 접근 가능해 다수의 표적을 제공함
- 디스코드 상태 업데이트가 수면 패턴을 보여줄 수 있음
- 악성 파일을 바로 보낼 수 있음
다른 사람들과 이야기하기 위해 이용하는 모든 플랫폼에서 주의를 기울이고, 항상 두 번 확인하고, 절대 뭔가를 하기 위해 서두르지 마세요. 안전하시기를 바랍니다!
웹3 보안에 대해 질문이 있거나 더 많은 것을 배우고 싶으신가요? 최신 보안 정보와 스캠, 전략들에 대해 꾸준히 정보를 얻고 싶나요? Boring Security 디스코드 서버에 가입해보세요.