SlowMist는 아이폰 사파리 공격으로 인한 암호화폐 도난을 아직 확인하지 못했습니다.

2026년 9월 26일 읽는 시간 약 9분

핵심 요약
사파리 경고가 여전히 중요한 이유
WYINCC 사파리 캠페인에서 다크소드 기법이 재활용되었습니다.
샘플이 목표로 삼도록 제작된 것
SlowMist는 iOS 버전 위험을 어떻게 분석하고, 그 다음 단계는 무엇인지 설명합니다.

이번 주 아이폰 사파리 악성 공격에 대한 보안 경고가 확산되면서 iOS 업데이트 요구가 다시금 거세지고 있습니다. 특히 해당 취약점을 이용해 암호화폐 지갑 정보를 탈취할 수 있다는 우려가 커지고 있습니다. 하지만 SlowMist는 자사가 분석한 특정 사파리 샘플로 인해 실제로 피해를 입은 사용자는 아직 확인되지 않았으며, 처음 보고된 iOS 버전의 영향 범위가 실제보다 더 넓을 수 있다고 경고했습니다.

코인텔레그래프 와 공유한 조사 결과에서 슬로우미스트는 자사가 확보한 가장 강력한 증거는 iOS 18.4부터 iOS 18.6.2까지 영향을 미친다는 것이며, 자주 언급되는 “iOS 13~26.5” 범위는 재현 가능한 증거가 확보될 때까지 예비적인 것으로 간주해야 한다고 밝혔습니다. 또한, 이 회사는 사파리 공격 캠페인이 이전에 공개된 다크소드 iOS 익스플로잇 체인의 기법을 재사용했으며, 포모피크 조사와 관련된 앱스토어 애플리케이션에 악성 구성 요소가 포함된 또 다른 슬로우미스트 사건과는 별개라고 강조했습니다.

핵심 요약

SlowMist는 자체적으로 조사한 Safari 샘플과 관련된 암호화폐 도난이나 특정 피해자를 확인하지 못했습니다.
해당 업체가 확보한 가장 강력한 기술적 증거는 iOS 버전 18.4부터 18.6.2까지를 가리키며, 다른 곳에서 보도된 더 광범위한 iOS 버전 지원은 아직 입증되지 않았습니다.
해당 악성 웹페이지는 Safari를 통해 취약점을 악용하도록 설계되었으며, 접근이 허용되면 Apple Keychain 데이터 및 기타 앱 저장소를 공격 대상으로 삼습니다.
SlowMist는 Safari 기술이 DarkSword의 재사용과 관련이 있다고 지적하면서도, 이번 Safari 캠페인은 이전에 진행했던 FomoPeek 앱 스토어 관련 조사와는 별개라고 강조했습니다.
SlowMist는 최신 iOS 보안 업데이트를 설치하고 Apple 의 잠금 모드 사용 및 보안 노출이 의심될 경우 지갑 자격 증명을 주기적으로 변경하는 등의 추가 예방 조치를 취할 것을 계속 권장합니다.

사파리 경고가 여전히 중요한 이유

최근 잇따른 경고의 핵심 주장은 악성 Safari 페이지가 암호화폐 개인 키와 시드 구문을 노출시킬 수 있다는 것입니다. SlowMist의 분석에 따르면 해당 샘플에는 민감한 정보를 수집하는 기능이 포함되어 있지만, “가능성”과 “실제 기기에서 특정 지갑을 대상으로 확인된 성공” 사이에는 명확한 차이가 있습니다.

SlowMist는 코인텔레그래프와 의 인터뷰 에서 자사가 연구한 사파리 공격 샘플과 구체적으로 연관된 피해자 발생 사례를 독립적으로 확인하지 못했다고 밝혔습니다. 또한, 해당 조사에서는 실제 피해자 기기에서 전체 공격 과정을 실행하지 않았기 때문에 비밀 정보가 성공적으로 유출된 실제 엔드포인트를 특정하는 데 한계가 있다고 덧붙였습니다.

이러한 차이점은 사용자와 방어자 모두에게 중요합니다. 도난이 확인되지 않았더라도 그럴듯한 수집 메커니즘이 존재한다는 사실만으로도 즉각적인 방어 조치를 정당화하기에 충분합니다. 특히 시드 구문과 개인 키는 안전하게 “부분적으로” 노출될 수 없는 일회용 비밀 정보이기 때문입니다.

WYINCC 사파리 캠페인에서 다크소드 기법이 재활용되었습니다.

SlowMist의 보고서는 사파리 공격의 기본 접근 방식이 구글 위협 인텔리전스 그룹(GTIG)이 지난 3월에 공개한 iOS 취약점 체인인 DarkSword와 관련이 있다고 지적합니다. GTIG에 따르면 DarkSword는 적어도 2025년 11월부터 여러 공격자에 의해 사용되어 왔습니다.

구글 은 다크소드를 iOS 익스플로잇 체인으로 설명했고, 슬로우미스트는 자사의 최고 정보 보안 책임자인 23pds가 이끄는 위협 인텔리전스 팀이 5월 초에 관련 활동을 처음 파악했다고 밝혔습니다. 이후 슬로우미스트는 9월 4일에 WYINCC 사파리 캠페인에 대한 분석 결과를 발표했습니다.

SlowMist는 이번 캠페인에서 악성 웹페이지가 무료 가상 사설 서버(VPS) 서비스를 광고하는 것처럼 위장했다고 밝혔습니다. 아이폰의 사파리 브라우저에서 해당 페이지를 열면 악성 코드가 실행되었습니다. SlowMist의 설명에 따르면, 이 페이지는 방문만 해도 추가 클릭 없이 악성 코드를 실행할 수 있습니다.

위험 평가에 있어 중요한 점은 SlowMist가 해당 공격에 사용된 취약점들이 이미 애플에 의해 공개되고 패치되었다는 사실을 밝혔다는 것입니다. 이는 사용자들에게 실질적인 교훈을 줍니다. 즉, 최신 iOS 업데이트를 적용하는 것이 알려지고 패치된 취약점에 대한 노출을 줄이는 가장 확실한 방법입니다.

샘플이 목표로 삼도록 제작된 것

SlowMist는 전달 방식 외에도 악성 Safari 샘플이 어떤 정보에 접근하려 했는지에 초점을 맞췄습니다. 이 회사는 해당 샘플에 Apple의 Keychain과 상호 작용하여 저장된 정보를 검색하고 암호 해독하도록 설계된 구성 요소가 포함되어 있다고 밝혔습니다.

SlowMist는 또한 해당 코드가 앱 파일과 공유 앱 데이터에 접근할 수 있으며, 이러한 기능은 암호화폐 지갑 애플리케이션에 저장된 정보와 중복될 수 있다고 밝혔습니다. 동시에 SlowMist는 이것이 데이터 수집 능력과 목표 대상을 보여주는 것이지, 모든 목표 지갑에서 데이터 추출에 성공했다는 것을 증명하는 것은 아니라고 강조했습니다.

즉, 기술적 증거는 민감한 데이터에 접근할 수 있는 경로를 시사하지만, 해당 취약점이 영향을 받는 버전이 실행되는 모든 기기에서 작동한다는 것을 자동으로 입증하는 것은 아니며, 이 특정 샘플에서 실제로 지갑 침해가 발생했다는 것을 증명하는 것도 아닙니다.

SlowMist는 또한 실제 피해자 기기에서 전체 검사 과정을 실행하지 않았기 때문에 특정 Safari 샘플에 의해 감염된 것으로 확인된 특정 피해자를 독립적으로 식별할 수 없었다고 경고했습니다.

SlowMist는 iOS 버전 위험을 어떻게 분석하고, 그 다음 단계는 무엇인지 설명합니다.

이번 보도에서 가장 민감한 부분은 영향을 받는다고 주장되는 iOS 버전의 범위가 매우 넓다는 점입니다. 이번 주에 유포된 일부 경고에서는 iOS 13부터 iOS 26.5까지 광범위한 버전이 언급되었습니다. 슬로우미스트는 코인텔레그래프와의 인터뷰에서 해당 범위는 예비적인 것으로 간주하며, 재현 가능한 기술적 증거가 나올 때까지 iOS 26.5가 영향을 받는다고 단정짓는 것을 자제하겠다고 밝혔습니다.

SlowMist는 가장 강력한 기술적 증거가 iOS 18.4부터 iOS 18.6.2까지를 대상으로 한다고 밝혔습니다. 정확한 상한선이나 하한선은 불확실하지만, 사용자에게 있어 실질적인 의미는 명확합니다. 즉, 이전 버전의 iOS를 사용하는 사용자는 최신 보안 업데이트로 업그레이드하는 것을 우선시해야 합니다.

SlowMist는 여전히 iOS를 업데이트하고 의심스러운 링크를 피할 것을 권장했습니다. 즉시 업데이트할 수 없는 사용자나 감염 위험이 높은 사용자를 위해 Apple의 잠금 모드를 추가적인 방어 수단으로 제시했지만, 잠금 모드가 이번 Safari 공격을 완전히 차단하는지는 아직 확인되지 않았다고 덧붙였습니다.

마지막으로 SlowMist는 지갑 키나 시드 구문이 노출되었을 가능성이 있다고 의심되는 사용자는 잠재적으로 손상된 자격 증명에 계속 의존하는 대신, 깨끗한 기기에서 새로 생성된 지갑으로 자산을 옮길 것을 권고했습니다.

iOS 버전 범위가 아직 구체화되지 않았고 SlowMist에서 정확한 샘플과 연관된 피해자가 아직 확인되지 않은 상황에서, 다음 단계는 추가적인 독립적인 기술 검증을 통해 영향을 받는 범위가 좁혀지는지, 그리고 WYINCC 사파리 캠페인과 관련된 실제 침해 사례가 확인되는지 여부를 지켜보는 것입니다.