Google TAG: iPhone 익스플로잇 키트 'Coruna'가 모바일 지갑에서 BIP39 시드 문구를 탈취
구글의 Threat Analysis Group(TAG)과 Threat Intelligence Group(GTIG)은 iPhone에서 BIP39 시드 구문 및 기타 지갑 데이터를 탈취하는 데 사용되는 정교한 iOS 익스플로잇 키트 ‘Coruna’를 식별했습니다. Coruna는 iOS 13.0–17.2.1에 걸친 23개의 취약점(제로데이 포함)을 묶고 있으며, 2025년 2월에 처음 관찰되었습니다. 이 프레임워크는 타깃이 된 도박 및 가짜 거래소 사이트(워터링홀 공격)에서 방문자 기기를 지문(Fingerprinting)하고, 완화 기능을 우회하는 맞춤형 JavaScript 익스플로잇 체인(WebKit RCE)을 전달해 시스템 수준 접근을 획득합니다. 배포되면 키트는 지갑 앱 및 아티팩트(MetaMask, BitKeep, Uniswap/DEX 관련 앱, 캐시된 QR 코드, 메모, 스크린샷)를 스캔하여 12–24단어 시드 구문을 암호화된 C2 서버로 유출합니다. 구글은 현재의 금전적 동기 공격 물결을 UNC6691으로 추적하고 있으며, 해당 그룹은 이전에 국가 주도 의심 활동(UNC6353)으로 사용된 뒤 이 키트를 확보한 것으로 보입니다. 애플은 iOS 17.3 이후에서 취약점을 패치했으며, TAG는 즉시 업데이트하거나 업그레이드가 불가능한 기기는 Lockdown Mode를 활성화할 것을 권고합니다. 트레이더에게 이 공격은 모바일 핫월렛 및 일반 사용자에게 심각한 위험을 제기하며, 권장 완화책으로는 iOS 17.3+로 업데이트, 업데이트 불가 시 Lockdown Mode 활성화, 메모/스크린샷에 저장된 시드 구문 제거, 물리적 확인이 필요한 하드웨어 월렛으로 주요 자금 이동이 포함됩니다. 보고서는 한때 스파이용으로 사용되던 고급 제로데이들이 대규모 암호화폐 절도로 상품화되고 있어 피싱/기기 침해 위험이 증가하며, 광범위한 악용 발생 시 단기 매도 압력이 발생할 수 있는 추세를 강조합니다.
Bearish
Coruna는 드라이‑바이 워터링홀 공격을 통해 시드 프레이즈 탈취를 가능하게 하여 모바일 핫 월렛을 사용하는 암호화폐 보유자에 대한 직접적인 위험을 높입니다. 단기적으로 이는 자금 접근권을 잃거나 자산을 더 안전한 저장소로 옮기려는 영향을 받은 소매 사용자들의 당일 또는 급속한 매도 가능성을 높여, 모바일 월렛에 일반적으로 보관되는 유동 토큰(ERC‑20 토큰, 주요 알트코인)에 국지적인 하방 압력을 만듭니다. 즉각적인 시장 영향은 집중적이고 일시적일 가능성이 높습니다: 악용된 사용자는 매도하거나 자금을 인출하려 할 것이며, 대형 기관 보유자들은 덜 영향을 받습니다. 중장기적으로는 광범위한 악용이 모바일 커스터디 솔루션에 대한 소매 신뢰를 약화시켜 하드웨어 월렛과 커스터디 서비스에 대한 수요를 높이고 소형 시가총액 토큰으로의 투기적 자금 흐름을 줄일 수 있습니다. 다만 iOS 17.3+의 패치와 명확한 완화 조치(업데이트, Lockdown Mode, 하드웨어 월렛)는 지속적인 시장 하락 위험을 줄입니다. 전반적으로 이 소식은 취약한 모바일 월렛에 많이 보유된 자산들의 단기 가격 움직임에 대해 약세적이며, 장기적 영향은 강력한 커스터디 관행의 채택 여부에 달려 있습니다.