App Store 에 가짜 암호화폐 지갑 출시, 사용자 180 만 달러 사기 피해 입어 애플 소송

기사 작성: Oluwapelumi Adejumo

번역: Saoirse, Foresight News

엄격한 통제를 유지해 온 애플 App Store 가 다시 한번 다방면의 검증을 받고 있습니다. 앞서 세 명의 비트코인 보유자는 가짜 암호화폐 지갑 앱 때문에 180 만 달러의 손실을 입었다고 주장했습니다. 이러한 악성 지갑 앱은 이미 흔한 사례이며, 애플이 다층 심사 시스템을 도입했음에도 사기성 소프트웨어는 여전히 사용자에게 도달하고 있습니다.

지난 7 월 24 일 캘리포니아주에 제출된 이 소송은 애플이 충분한 심사 의무를 다하지 않았으며, Sparrow 지갑을 사칭한 다양한 앱을 제거하지 않았으면서도 한편으로는 App Store 가 안전하고 신뢰할 수 있는 소프트웨어 다운로드 채널이라고 홍보했다고 지적합니다.

이미 2 년 전부터 Sparrow 사칭 앱에 대한 위험 경고가 있었습니다. 몇 달 전 연구자들은 애플 생태계에서 주요 암호화폐 브랜드를 사칭한 앱 26 개를 찾아냈습니다. 연이어 발생하는 다양한 사건들로 인해 애플이 오랫동안 고수해 온 논리가 큰 압력을 받고 있습니다. 애플은 소프트웨어 배포를 엄격히 통제하고 사전 앱 심사를 통해 사기 및 악성 소프트웨어를 최대한 막을 수 있다고 주장해 왔습니다.

Sparrow 개발자는 사용자 자산이 손상되기 1 년 이상 전에 이미 애플에 경고했다

이 사건에서 애플이 책임을 져야 하는 핵심 포인트는 사기성 앱이 처음 게시된 것이 아니라, 애플이 이후 피해자들이 사기를 당하기 전에 이미 관련 위험을 인지하고 있었다는 점입니다.

Sparrow 창립자 Craig Raw 는 2024 년 초부터 공식적으로 승인되지 않은 다양한 모바일 사칭 지갑을 지속적으로 신고했습니다. Sparrow 는 본래 컴퓨터 데스크톱 버전만 존재하므로, 이론적으로 애플은 복잡한 기술 조사를 하지 않아도 동일한 이름의 iPhone 앱이 사칭 제품임을 식별할 수 있어야 합니다.

하지만 소장에 따르면 그 후 1 년 동안 Sparrow 이름을 도용한 다양한 변형 앱들이 App Store 에 계속 등장했습니다.

소송의 첫 번째 원고인 Jalen Delgado 는 2025 년 5 월 그중 하나의 사칭 소프트웨어를 다운로드했으며, 시드 구문을 입력한 후 1 개 이상의 비트코인을 잃었다고 밝혔습니다. 소장에 따르면 당시 이 자산의 가치는 약 12 만 달러였습니다.

두 달 후 사용자들이 애플에 제출한 신고 내용은 더욱 명확해졌습니다. James Ramirez 는 2025 년 7 월 25 일 또 다른 Sparrow 사칭 지갑을 사용하다가 총 7.4 개의 비트코인 (약 87.5 만 달러 상당) 을 잃었다고 밝혔습니다. 그는 같은 날 이 앱과 도난 사실을 애플에 신고했습니다.

9 일 후 Christopher Ellis 도 App Store 에서 Sparrow 앱을 찾아 복구 시드 구문을 입력한 후 약 84 만 달러 상당의 암호화폐 자산을 잃었습니다.

이 전체 타임라인은 원고 측 소송의 핵심 근거입니다. 원고는 Ellis 가 재산 손실을 입었을 때 애플이 받은 것은 단순히 브랜드가 사칭당했다는 일반적 불만이 아니라, 이 가짜 지갑이 대규모 비트코인 도난을 초래한다는 명확한 사례 증거였다고 주장합니다.

소장은 또한 애플이 단순히 이 사칭 앱을 게시했을 뿐만이라고 지적합니다. 플랫폼은 이 Sparrow 사칭 앱에 트래픽 가중치 추천을 제공했으며, 암호화폐 앱 컬렉션에 포함시켜 사실상 이 사기성 소프트웨어의 신뢰도를 높이고 확산 범위를 확대했습니다.

소송 문서에는 다음과 같이 적혀 있습니다. 「사용자들이 여러 차례 애플에 App Store 내에 사기 위험이 높은 앱이 존재한다고 피드백했습니다. 그러나 애플은 소비자에게 App Store 에 Sparrow 등 다양한 사칭 지갑이 나타났다고 경고하지 않았으며, 이러한 소프트웨어가 암호화폐, 시드 구문, 개인 키, 지갑 계정 및 다양한 개인정보 도난으로 이어지기 쉽다는 사실도 사용자에게 알리지 않았습니다.」

애플은 논란이 된 모든 가짜 Sparrow 앱을 제거했으며 해당 개발자 계정을 차단했다고 답변했습니다. 애플은 또한 플랫폼에 전용 신고 채널이 있으며, 앱이 스토어 규칙을 위반한 것으로 확인되면 조치를 취할 것이라고 밝혔습니다.

하지만 Craig Raw 의 권리 보호 경험은 정규 개발자가 브랜드 사칭 혼란을 근절하는 것이 얼마나 어려운지를 보여줍니다. 지난달 Craig Raw 는 iOS 플랫폼에 페이지 공시 정보를 제출하여 사용자에게 Sparrow 의 공식 모바일 버전이 존재하지 않는다고 알렸다고 밝혔습니다. 그러나 애플은 처음에 이 공시 내용이 오해의 소지가 있다고 판단했으며, 심지어 그의 개발자 계정을 차단할 수 있다고 경고했다가 나중에야 이 판단을 뒤집었습니다.

이 사건은 소송에 새로운 논거를 더했습니다. 애플은 사칭 소프트웨어를 막지 못할 뿐만 아니라 정규 개발자와 브랜드를 도용한 사기성 개발자를 구분하기조차 어렵다는 것입니다.

App Store 가짜 지갑 문제는 이미 Sparrow 한 건에 그치지 않는다

Sparrow 관련 분쟁은 애플 사용자가 겪은 암호화폐 지갑 사칭 사기의 빙산의 일각에 불과합니다.

Kaspersky Threat 연구팀은 4 월 보고서를 발표하여 인기 암호화폐 브랜드를 사칭한 사기성 앱 26 개를 식별했다고 밝혔습니다. 사칭 대상에는 MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken, Bitpie 등이 포함됩니다.

애플 App Store 의 암호화폐 사칭 앱 (출처: Kaspersky)

Kaspersky 는 이번 사기 활동이 최소 2025 년 가을부터 활발해졌으며, 네트워크 조직 SparkKitty 배후의 공격자와 관련되었을 가능성이 높다고 밝혔습니다.

이 사기 수단은 단순히 악성 지갑을 게시하는 것보다 훨씬 복잡합니다. 사기꾼들은 앱 리디렉션을 통해 사용자를 가짜 애플 앱 스토어 피싱 페이지로 유도하여 개발자 프로필 설치를 권유합니다. 이러한 프로필을 이용하여 사기꾼들은 App Store 를 우회하여 트로이 목마가 포함된 변조된 암호화폐 지갑을 설치할 수 있습니다.

소프트웨어 설치가 완료되면 악성 프로그램은 사용자 자산을 통제하는 다양한 인증 정보를 총력적으로 탈취합니다. 핫 월렛의 경우 트로이 목마는 지갑 생성 및 시드 구문 복구 페이지를 모니터링하며, 사용자가 시드 구문을 입력하기만 하면 해커가 모든 자금을 통제할 수 있습니다. 콜드 월렛 사용자도 소셜 엔지니어링 사기 함정을 피하기 어렵습니다. 하드웨어 지갑 인터페이스를 사칭한 악성 소프트웨어는 사용자가 낯선 소프트웨어에 입력해서는 안 되는 복구 증표를 입력하도록 속입니다.

이 사기 단체는 주로 애플 중국 지역 App Store 사용자를 목표로 삼았으며, 사칭된 많은 주요 지갑들은 본래 중국 지역 App Store 에 게시되지 않았습니다. 미국 지역에서도 가짜 지갑으로 인한 대규모 자산 도난 사건이 여러 차례 발생했습니다.

미국 음악가 Garrett Dutton(예명 G. Love) 은 4 월 자신이 App Store 에서 정품이라고 믿은 Ledger 지갑을 다운로드했다가 결국 5.9 개의 비트코인을 잃었다고 폭로했습니다. 그는 소프트웨어 지침에 따라 복구 시드 구문을 입력한 후 약 42.4 만 달러 상당의 비트코인이 모두 이체되었습니다. 블록체인 조사관 ZachXBT 는 도난 자금이 암호화폐 거래소 KuCoin 의 입금 주소로 유입된 것을 추적했으며, KuCoin 은 조사 기간 동안 관련 계정을 임시 동결했습니다.

이 사건은 Sparrow 소송 사례와 매우 유사합니다. 사용자가 애플 생태계에서 유명 지갑 이름을 도용한 소프트웨어를 다운로드하고 신뢰하여 키 인증 정보를 입력했다가 결국 자산을 완전히 잃어버린 것입니다.

암호화폐 사기, App Store 의 안전 홍보 문구를 완전히 무너뜨리다

연이어 발생하는 사기 사건들은 애플이 대외적으로 홍보하는 생태계 통제 우위를 지속적으로 위협하고 있습니다.

애플은 App Store 를 「안전하고 신뢰할 수 있는 소프트웨어 플랫폼」으로 정의하며, 모든 앱이 다층 심사를 거쳐 사용자를 사기, 트로이 목마 및 다양한 보안 위험으로부터 보호한다고 주장합니다. 이러한 안전 논리는 애플이 폐쇄형 생태계를 고수하고 소프트웨어 설치 채널을 엄격히 통제하는 중요한 이유이기도 합니다.

애플은 무제한 사이드로딩 개방이 애플 기기의 프라이버시 및 보안 보호를 크게 낮출 것이라고 지속적으로 주장해 왔습니다. 중앙화 심사를 의존하여 악성 소프트웨어가 사용자에게 도달하기 전에 차단할 수 있다는 것입니다.

하지만 암호화폐 지갑은 이 위험 통제 모델에 큰 시험대가 됩니다. 이러한 소프트웨어는 복잡한 트로이 목마 프로그램이 필요 없이 속임수가 완벽한 인터페이스만으로도 되돌릴 수 없는 재산 손실을 초래할 수 있습니다.

시드 구문은 탈중앙화 지갑 자산을 완전히 통제합니다. 사용자가 악성 소프트웨어 내에 시드 구문을 입력하기만 하면 해커는 자산을 자신의 주소로 이체할 수 있으며, 모든 이체는 취소할 수 없고 어떤 금융 기관도 거래를 되돌릴 수 없습니다. 바로 이 때문에 암호화폐 사용자에게 App Store 의 플랫폼 공신력은 매우 중요합니다.

Sparrow 사건의 원고는 애플이 플랫폼 심사의 신뢰성을 지속적으로 강조하여 사용자들이 App Store 내 소프트웨어가 모두 엄격히 검증되었다고 기본 전제하게 했다고 밝혔습니다. 원고는 애플이 도난당한 자산을 모두 배상하고, 보상금, 징벌적 손해배상금, 소송 비용을 지급하며 모든 손실금을 반환할 것을 요구합니다. 이 외에도 원고는 애플이 사칭 앱 스크리닝 프로세스를 최적화하고 심사 세부 규칙을 대외 공개하며, 암호화폐 앱을 대상으로 위험 경고를 추가할 것을 요구합니다.

현재 애플이 법적 책임을 져야 하는지는 아직 결론이 나지 않았습니다. 애플은 두 가지 점을 반박할 수 있습니다. 첫째, 사용자가 플랫폼 홍보를 완전히 신뢰해서는 안 된다는 점이며, 둘째, 사용자 자체가 개인 키를 제 3 자 소프트웨어에 입력하는 부주의가 있었다는 점입니다.

애플은 동시에 위험 통제 성과를 공개하며 플랫폼이 방대한 양의 위험 공격을 차단했다고 밝혔습니다. 애플이 지난해 공개한 데이터에 따르면 2020 년부터 2024 년까지 App Store 는 누적 가치 90 억 달러 이상의 잠재적 사기 거래를 차단했으며, 2024 년에만 차단 금액이 20 억 달러를 돌파했습니다. 2024 년 애플은 보안, 안정성, 사용 규정을 준수하지 않은 앱 게시 신청 약 200 만 건을 거부했으며, 사기로 인해 14.6 만 개 이상의 개발자 계정을 차단하고 추가로 13.9 만 건의 개발자 등록을 거부했습니다.

이 데이터는 애플 생태계가 연중 방대한 악성 공격에 직면해 있음을 증명하기에 충분하지만, 금융 사기 앱이 한번 심사를 통과하면 그 대가가 매우 막대함을 부각시킵니다.

암호화폐 사용자에게 시드 구문 한 줄을 유출하는 것은 지갑 자산을 영구적으로 잃을 수 있음을 의미합니다. 끊이지 않는 사칭 지갑들은 사람들이 App Store 의 플랫폼 보증이 도대체 얼마나 신뢰할 수 있는지 다시 고민하게 만듭니다.