A fake Ledger Live app named 'Leva Heal' on Apple App Store phished seed phrases from 50 victims across BTC, ETH, SOL, TRX, and XRP, draining $9.5M in just six days.

$9.5M 6일만에 증발, Apple이 승인한 가짜 Ledger Live가 시드구문 50개를 삼켰다

작성자:
💡 Key Takeaways

  • 2026년 4월 7~13일 6일 동안 Apple App Store의 가짜 Ledger Live 앱이 50명 이상에게서 $9.5M을 탈취했습니다.
  • 공격자는 ‘Leva Heal Limited’ 명의로 앱을 등록하고 2주 만에 버전 1.0에서 5.0까지 인위적 업데이트를 쌓아 Apple 심사를 우회했습니다.
  • 도난 자금은 150개 이상의 KuCoin 디포짓 주소와 ‘AudiA6’ 중앙화 믹서를 거쳐 세탁되었고, 뮤지션 G. Love는 10년 모은 5.9 BTC를 잃었습니다.

$9.5M. 가짜 Ledger Live 앱이 6일만에 증발시킨 크립토입니다.

2026년 4월 7일부터 13일까지 일주일이 채 되지 않는 기간에 Apple App Store에 올라온 가짜 Ledger Live 앱이 50명 이상의 macOS 사용자에게서 이만큼을 긁어갔습니다. 사용자들은 공식 앱으로 착각해 24단어 시드구문을 입력했고, 그 순간 5개 블록체인에 걸친 모든 자산이 공격자의 지갑으로 흘러 들어갔습니다.

이번 사건이 단순한 피싱이 아닌 이유는 두 가지입니다. 첫째, 공격 통로가 Apple이 직접 심사한 App Store라는 점입니다. 둘째, 공격자는 App Store의 검토 패턴을 역이용해 버전을 빠르게 올리는 방식으로 ‘성숙한 앱’의 외형을 만들어냈습니다.

Ledger Live 가짜 앱이 시드구문을 유도해 5개 블록체인에서 자산을 탈취하는 장면 (AI-generated)
Apple App Store에 올라온 가짜 Ledger Live가 BTC·ETH·SOL·TRX·XRP 5개 체인 지갑을 동시에 비웠다 — Generated by OpenAI DALL-E 3 (AI-generated)

$9.5M 도난 — 6일 동안 무슨 일이 벌어졌나

블록체인 조사관 ZachXBT가 2026년 4월 14일 공개한 자금 흐름을 보면, 공격은 4월 7일부터 13일까지 집중적으로 진행됐습니다. 이 6일 창 동안 50명 이상의 피해자가 지갑을 통째로 털렸고, 손실 합계는 $9.5M에 달합니다. 발각은 피해자 신고가 누적된 이후에야 이뤄졌습니다.

개별 피해 규모는 편차가 큽니다. 4월 9일 $3.23M USDT, 4월 11일 $2.08M USDC, 4월 8일 $1.95M 상당의 비트코인·이더리움·스테이킹 이더(stETH) 등 대형 피해 3건이 개별 기록을 남겼습니다. 한 사용자가 평생 모은 자산을 하루 만에 잃은 셈입니다.

ZachXBT는 BleepingComputer 인터뷰에서 “공격자들은 여러 체인에서 자금을 수령하기 위해 다수 지갑 주소를 사용했다”고 밝혔습니다. 포인트는 이 구조가 단일 공격이 아니라 체인별 자동 수집 시스템이었다는 점입니다.

가짜 Ledger Live의 기만 수법 — Apple 심사를 우회한 버전 5.0 트릭

가짜 앱은 ‘Leva Heal Limited’라는 퍼블리셔 이름과 ‘SAS Software Company’라는 개발자 표기로 Apple App Store에 등록됐습니다. 두 이름 모두 실제 Ledger Live의 제작사 Ledger SAS와는 무관하지만, ‘SAS’라는 키워드를 개발자명에 끼워 넣어 시각적 혼동을 유도했습니다.

핵심 수법은 버전 히스토리 조작이었습니다. 공격자는 앱을 등록한 뒤 2주 만에 v1.0에서 v5.0까지 빠르게 버전을 올렸습니다.

App Store는 업데이트 이력이 두꺼운 앱을 ‘성숙한’ 앱으로 인식하는 경향이 있고, 사용자도 버전이 높은 앱을 신뢰합니다. 여기서 핵심은 이 업데이트가 실제 기능 개선이 아니라 신뢰 시그널 조작용 더미였다는 점입니다.

여기에 긍정적인 리뷰와 표준 App Store 메타데이터가 더해지자 일반 사용자에게는 공식 앱과 구별하기 어려운 외형이 완성됐습니다. Apple의 App Review Guideline 5.1.1과 5.6은 금융 앱에 엄격한 심사를 요구하지만, 이번 사건은 그 기준이 자동화된 패턴 검사에 얼마나 취약한지를 드러냈습니다.

핵심: 가짜 앱은 기술적 침해가 아닌 ‘신뢰 시그널 조작'(빠른 버전 업데이트 + 유사 개발자명)만으로 Apple 심사를 6일 이상 우회했습니다.

시드구문이 뚫은 5개 블록체인 — BTC·ETH·SOL·TRX·XRP 동시 탈취

피해가 발생한 블록체인은 비트코인·이더리움·솔라나·트론·XRP 5종입니다. 이 5체인 모두에서 동시에 자산이 빠져나간 이유는 공격 방식 때문입니다. 가짜 Ledger Live는 사용자에게 24단어 시드구문 또는 복구 문구를 입력하도록 유도했고, 이 단어 조합만 확보하면 멀티체인 지갑의 모든 주소를 복원할 수 있습니다.

Ledger 하드웨어 지갑의 원래 설계는 시드구문을 장치 화면에서만 입력하도록 되어 있습니다. 공식 Ledger Live 앱조차 시드구문 입력을 요구하지 않습니다. 다시 말해, 시드구문을 소프트웨어 앱에 입력하는 순간 하드웨어 지갑의 방어선이 무너집니다.

가상자산 하드웨어 지갑 인터페이스
시드구문을 소프트웨어에 입력하는 순간 하드웨어 지갑의 방어선은 무력화된다 — Photo by Mariia Shalabaieva on Unsplash

쉽게 말하면, 하드웨어 지갑은 금고와 같고 시드구문은 금고 마스터키입니다. 금고 자체는 뚫을 수 없지만 사용자가 마스터키를 가짜 열쇠 복사 가게에 맡기면 금고는 무용지물이 됩니다. 이번 피해자 50명은 바로 그 가짜 열쇠 복사 가게에 키를 맡긴 셈입니다.

유명 피해자 G. Love — 5.9 BTC 10년 은퇴자금 증발

피해자 중 가장 언론 주목을 받은 사람은 미국 뮤지션 Garrett Dutton(무대명 G-Love)입니다. Dutton은 새로 구매한 MacBook에 Ledger Live를 설치하려던 중 App Store 검색 결과 상단에 나온 가짜 앱을 공식 앱으로 오인해 설치했고, 결과는 5.9 BTC, 약 $430K 상당의 전액 유출이었습니다.

이 금액이 단순 거래 자금이 아니라 10년에 걸쳐 적립한 은퇴 자금이었다는 점에서 파장이 컸습니다. 한 명의 아티스트가 오랜 시간 모은 자산이 Apple App Store 검색 결과 한 번의 오판으로 사라진 겁니다.

Dutton의 사례는 초보자가 아닌 오랜 크립토 보유자조차 피해갈 수 없는 함정임을 보여줍니다. 그의 원래 설정은 하드웨어 지갑 기반이었지만, 관리용 앱 설치 과정에서 공식 경로(ledger.com) 대신 App Store 경로를 선택한 것이 실수였습니다.

💡 함께 읽으면 좋은 글
200배 줄어든 큐빗, 양자컴퓨터 9분 해킹이 현실로 다가왔다

자금세탁 지도 — KuCoin 150주소와 AudiA6 믹서

도난 자금의 이동 경로는 3단계 구조였습니다. 첫 단계에서 공격자는 중계 지갑을 여러 단계 경유해 추적을 지연시켰습니다.

다음 단계에서 중계 지갑을 통과한 자산은 150개 이상의 KuCoin 디포짓 주소로 집결됐습니다. 마지막 단계에서 KuCoin에서 출금된 자산은 ‘AudiA6’라는 중앙화 믹서를 통해 체인 간 교환으로 세탁됐습니다.

AudiA6는 수수료를 받고 특정 체인의 자산을 다른 체인의 자산으로 바꿔 주는 방식으로 추적 연결 고리를 끊습니다. KuCoin은 2026년 4월 20일까지 관련 계정을 동결했으나, 법집행 기관의 공식 연장 요청이 없으면 동결 연장이 어렵다고 알려졌습니다.

노트북 보안 점검 장면
KuCoin 150+ 주소와 AudiA6 믹서가 추적 단절을 위한 3단계 세탁 구조를 형성했다 — Photo by Shamin Haky on Unsplash

정리하면, 이번 사건은 피싱 피해 단계(Apple App Store → 가짜 앱 → 시드구문)와 세탁 단계(중계 지갑 → KuCoin → 믹서)가 분리된 전문 범죄 조직의 작품으로 읽힙니다. 자금 회수 여부는 KuCoin 동결 기한 연장과 법집행 기관의 공조 속도에 달려 있습니다. 유사한 스테이블코인 추적 사례에서 확인됐듯, 중앙화 거래소 동결은 법적 근거가 쌓이기 전에 풀리는 경우가 많습니다.

Apple의 반복된 실패 — Rabby·LastPass에 이은 3번째 사칭 허용

Apple App Store가 금융·크립토 관련 가짜 앱을 올려 보낸 사례는 이번이 처음이 아닙니다. 과거에도 Rabby Wallet 사칭 앱이 App Store에 올라가 실사용자들에게 피해를 입혔고, 가짜 LastPass 앱이 비밀번호 관리자 행세를 한 적도 있습니다. 이번 Ledger Live 사건은 같은 패턴의 세 번째 반복입니다.

Apple의 공식 대응은 피해 신고 접수 이후 앱 제거였습니다. 다시 말해, 문제가 발생한 뒤에야 움직이는 reactive(사후) 방식입니다. 금융·크립토 앱에 특화된 proactive(선제) 탐지 시스템은 이번에도 작동하지 않은 것으로 보입니다.

왜 이게 중요하냐면, Apple이 그동안 마케팅해온 ‘폐쇄형 생태계가 안전하다’는 서사와 정면으로 충돌하기 때문입니다. 포인트는 이 서사가 자동화된 패턴 검사에 의존하는 한 동일 유형의 사칭은 계속 반복된다는 점입니다.

💡 함께 읽으면 좋은 글
$3,200억 스테이블코인 시장, GENIUS Act로 USDT vs USDC 판세 바뀐다

크립토 사용자 체크리스트 — 시드구문·앱 다운로드 5단계 방어

이번 사건에서 도출되는 구체적 방어 지침은 명확합니다. 첫째, 공식 Ledger Live는 ledger.com 도메인에서만 직접 다운로드합니다. App Store 검색 결과를 신뢰하지 말고, 공식 사이트에서 제공하는 다운로드 링크를 북마크해 두는 편이 안전합니다.

둘째, App Store에서 다운로드하려면 퍼블리셔 이름이 ‘Ledger SAS’인지 반드시 확인합니다. ‘Leva Heal Limited’ 같은 생소한 이름이 보이면 즉시 중단해야 합니다.

셋째, 시드구문은 어떠한 소프트웨어에도 입력하지 않습니다. Ledger 하드웨어 지갑 화면에서만 입력하는 것이 원칙입니다.

넷째, 새 기기(MacBook·iPhone)에 크립토 앱을 설치할 때는 공식 사이트 링크를 통해 접근합니다. 검색 결과 상단 노출은 광고나 악성 메타데이터로 조작될 수 있습니다. 다섯째, 지갑 관리용 앱은 설치 직후 소액 테스트 트랜잭션으로 정상 작동 여부를 확인한 뒤 본 자산을 옮깁니다.

쉽게 말하면: 하드웨어 지갑은 은행 금고, 시드구문은 금고 마스터키입니다. 금고를 아무리 튼튼하게 해도 마스터키를 가짜 수리공에게 건네면 금고는 열립니다. 이번 50명이 넘긴 ‘가짜 수리공’이 바로 App Store의 Leva Heal Limited였습니다.

앞으로 추적할 구체적 지표는 두 가지입니다. KuCoin 동결 계정의 법적 연장 승인 여부가 자금 회수 가능성을 결정하며, Apple의 App Review 프로세스 개정 발표 여부가 동일 유형 사건 재발 방지 수준을 가늠합니다. 이 두 지표가 5월까지 진전이 없다면, 가짜 Ledger Live류의 사칭 앱은 다시 App Store 검색 결과 상단에 올라올 수 있습니다.

참고 자료

트렌드를 먼저 읽는 사람들

AI, 테크, 경제의 핵심 인사이트를 한국어와 영어로 동시에 제공합니다.

더 많은 글 보기

면책 고지: 본 글은 정보 제공을 목적으로 하며, 특정 종목이나 가상자산의 매수·매도를 권유하는 투자 조언이 아닙니다. 투자에 대한 판단과 그 결과에 대한 책임은 투자자 본인에게 있습니다.