새롭게 발견된 '픽스내핑(Pixnapping)'이라는 안드로이드 취약점은 암호화폐 사용자들에게 심각한 위협을 가하고 있습니다. 이 정교한 공격은 악성 애플리케이션이 특별한 권한 없이도 화면에 표시되는 민감한 데이터, 즉 암호화폐 지갑 복구 구문과 2단계 인증(2FA) 코드를 훔칠 수 있도록 합니다. 이 취약점은 일반적인 앱 격리를 우회하여 모바일 암호화폐 보안에 대한 경고를 울리고 있습니다.
주요 내용
-
'픽스내핑' 공격은 암호화폐 지갑 복구 구문 및 2FA 코드와 같은 민감한 데이터를 안드로이드 기기 화면에서 직접 훔칠 수 있습니다.
-
이 공격은 안드로이드가 픽셀을 렌더링하는 방식의 약점을 이용하며, 특별한 권한 없이도 화면에 보이는 정보를 재구성합니다.
-
화면에 오래 표시되는 정보에는 효과적이지만, 빠르게 변경되는 콘텐츠에는 덜 유용합니다.
-
구글은 이 취약점을 높은 심각도로 인지하고 추가 패치를 작업 중이며, 초기 수정에 대한 해결책이 발견되었습니다.
-
암호화폐 자산 보관을 위한 가장 안전한 방법으로 하드웨어 지갑 사용이 권장됩니다.
픽스내핑 작동 방식
픽스내핑 공격은 안드로이드의 애플리케이션 프로그래밍 인터페이스(API)와 GPU.zip이라는 하드웨어 측면 채널 기술을 활용합니다. 악성 앱은 화면에 픽셀이 표시되는 방식을 조작할 수 있습니다. 반투명한 액티비티를 겹치고 프레임 렌더링의 정확한 타이밍을 측정함으로써, 악성코드는 개별 픽셀의 색상 값을 추론할 수 있습니다. 이 과정이 반복되면 공격자는 화면에 보이는 민감한 정보를 픽셀 단위로 스크린샷을 찍는 것과 유사하게 재구성할 수 있습니다.
취약점 및 테스트
연구원들은 안드로이드 13부터 16까지 실행되는 구글 픽셀 모델(6~9) 및 삼성 갤럭시 S25를 포함한 여러 기기에서 픽스내핑을 테스트했습니다. 이 공격은 기기에 따라 29%에서 73%까지의 성공률로 6자리 2FA 코드를 복구하는 데 우려스러운 결과를 보였습니다. 코드를 복구하는 데 걸리는 시간은 종종 30초의 유효 기간 내였습니다. 12단어 전체 암호화폐 복구 구문을 훔치는 데는 더 오래 걸리겠지만, 사용자가 복구 구문을 적는 동안 화면에 그대로 노출시킨다면 위험이 증폭됩니다.
구글의 대응 및 완화 조치
구글은 픽스내핑 취약점을 높은 심각도(CVE-2025-48561)로 분류했습니다. 구글은 2025년 9월 앱 블러 효과를 제한하는 초기 패치를 출시했지만, 연구원들은 패치를 불충분하게 만드는 해결책을 발견했습니다. 구글은 남은 문제를 해결하기 위해 2025년 12월 보안 게시판에 또 다른 업데이트를 출시할 예정입니다. 초기 패치가 삼성 기기에는 부적절한 것으로 밝혀져 삼성 기기에도 경고가 전달되었습니다.
암호화폐 자산 보호 방법
보안 전문가들은 사용자들에게 암호화폐 지갑 복구 구문이나 2FA 코드와 같은 민감한 정보를 인터넷에 연결된 어떤 기기에서도 표시하지 말 것을 강력히 권고합니다. 가장 안전한 방법으로 하드웨어 지갑 사용이 권장됩니다. 이 전용 기기는 개인 키와 복구 구문을 오프라인으로 저장하고, 민감한 데이터를 스마트폰이나 컴퓨터에 노출하지 않고 외부에서 거래를 서명합니다. 시스템 업데이트의 신속한 설치 또한 이러한 취약점을 완화하는 데 중요합니다.
출처
-
안드로이드 취약점, 복구 구문 및 2FA 코드 위험에 노출, 코인텔레그래프.
-
새로운 안드로이드 공격 '픽스내핑', 암호화폐 지갑 보안 위협, 브레이브 뉴 코인.
이 기사는 AI 기반 기술의 지원을 받아 여러 신뢰할 수 있는 출처를 바탕으로 작성되었습니다. 최종 콘텐츠는 BlockzHub 편집팀에 의해 철저히 검토 및 편집되어 정확성, 명확성, 일관성을 보장합니다. 원본 보도 자료는 필요에 따라 적절히 출처를 명시합니다. 본 기사에 표현된 의견은 반드시 BlockzHub의 공식적인 견해나 입장을 반영하는 것은 아닙니다. 이 기사는 정보 제공 목적으로만 제공되며, 금융 또는 전문가의 조언으로 간주되어서는 안 됩니다. 투자는 위험을 수반하며, 투자 결정을 내리기 전에 반드시 자격을 갖춘 금융 전문가와 상담하시기 바랍니다.