라이트닝 노드 운영자를 노린 사칭 사기: DM으로 시드를 넘긴 1.4 BTC
2025년 9월 12일 공개된 영상은 라이트닝 노드 운영자가 운영진을 사칭한 계정에 속아 약 1.4 BTC를 잃은 경험담을 다룹니다. 사건을 직접 쓴 글은 Stacker News의 원글(2025년 9월 4일 게시, 제목 "I got scammed out of 1.4BTC")입니다. 이 글을 디스코드에서 한국어로 소개한 사용자에게 허락을 받아, 발언자가 번역한 내용을 읽으며 용어를 해설합니다. 아래의 사건 경과는 원글에 따른 것이고, 해설은 발언자의 설명입니다. 날짜와 상황은 모두 영상 공개 시점 기준입니다.
공식 채널에 문의한 지 10분 뒤 같은 이름의 DM이 왔습니다
원글에 따르면 글쓴이는 약 4년간 라우팅 노드를 운영했습니다. 그 전에 쓰던 노드는 하드웨어 고장으로 잃었습니다. 글쓴이는 Amboss의 Magma에서 유동성을 팔았습니다. Amboss는 라이트닝 네트워크 정보를 보여 주는 사이트이고, Magma는 유동성을 사고파는 서비스입니다. 판매 수수료를 정해 두면 그만큼 수익이 생기는 구조라고 발언자는 설명합니다. 글쓴이는 4월에 판매를 등록했고 7월에 몇 건이 성사되었습니다.
8월 22일 무렵 판매를 승인하던 중 504 오류(인보이스 제출 시간 초과)가 났습니다. 글쓴이는 Amboss 지원 페이지와 텔레그램 채널에 문의했습니다. 채널에서 운영자 이름으로 답한 계정이 약 10분 뒤 DM을 보냈습니다. 이름과 프로필 사진이 운영자와 같았기 때문에 글쓴이는 의심하지 않았습니다. 발언자는 사칭범이 이름과 프로필을 똑같이 만들고 계정 ID만 교묘하게 바꾸는 수법을 쓴다고 짚습니다.
9시간의 대화 끝에 시드 문구를 웹사이트에 입력했습니다
글쓴이는 이 계정과 약 9시간 동안 띄엄띄엄 대화했습니다. 요구가 이해되지 않는 순간이 여러 번 있었고 LND를 잘 모르는 듯하기도 했습니다. 그래도 글쓴이는 상대가 자신이 모르는 깊은 지식을 가졌거나, 말이 잘 통하지 않는 것은 영어 원어민이 아니어서라고 여겼습니다. 그 사이 다른 운영자를 사칭한 계정들도 연락해 이 사람과 계속 처리해도 된다고 확인해 주었습니다. 그중 하나는 텔레그램 봇이었습니다.
사칭범은 노드를 분석 시스템에 연결해야 한다며 웹사이트를 보냈고, 글쓴이는 거기에 LND 서명 장치의 시드 문구를 입력했습니다. 서명 장치는 개인키로 거래에 서명하는 도구이고, 시드 문구는 그 키를 만드는 출발점입니다. 글쓴이는 이것이 가장 큰 경고 신호였고, 직감을 믿고 그 자리에서 대화를 끊었어야 했다고 씁니다. 사이트는 계속 오류만 냈는데, 글쓴이도 발언자도 시드 문구를 받아 가는 것이 목적이었다고 봅니다.
그 뒤 글쓴이는 노드를 점검하다가 활성 HTLC가 빨리 처리되지 않는 것을 보고 노드를 재부팅했습니다. HTLC(해시 시간 잠금 계약)는 정해진 비밀값(프리이미지)을 내면 지불이 풀리고, 일정 시간이 지나면 환불되는 조건부 지불 방식입니다. 시드를 입력한 다음 날 아침 사칭범이 다시 연락해 토르 주소와 관리자 매커룬(admin macaroon)을 요구했고, 글쓴이는 이 요구를 거절했습니다.
시드를 가진 사람은 알림 없이 온체인 자금을 옮길 수 있습니다
발언자는 LND의 시드가 BIP39가 아니라 라이트닝 랩스가 만든 aezeed 형식의 24단어라고 설명합니다. BIP39와는 호환되지 않아서 따로 보관해야 합니다. 이 시드로 복구되는 것은 노드가 가진 온체인 자금입니다. 채널에 들어 있는 자금은 시드만으로 되살릴 수 없고, 채널 백업을 따로 해 두어야 합니다. 시드와 채널 백업을 챙기는 방법은 라이트닝 노드 구축 방법에서도 다룹니다.
발언자는 이 온체인 자금이 서명 장치에서 확인하는 절차 없이 노드가 바로 보낼 수 있는 뜨거운 자금이라고 짚습니다. 시드를 아는 사람은 언제든 노드를 복구해 옮길 수 있고, 원래 주인에게는 알림도 오지 않습니다.
원글에 따르면 토르 주소와 매커룬 요구를 거절한 바로 그날 오전, 사칭범과 대화가 이어지는 동안 약 250만 사토시가 노드의 온체인 자금에서 빠져나갔습니다. 8월 24일 저녁에는 1.37 BTC가 같은 방식으로 빠져나갔습니다. 글쓴이는 아무 알림도 받지 못했습니다. 유동성 교환 참여를 위해 채널을 열려다 잔액이 0인 것을 보고서야 알았고, 온체인 거래 내역에서 두 건의 인출을 확인했습니다.
채널을 닫으라는 요구는 남은 자금을 노린 것이라고 발언자는 해석합니다
글쓴이가 사칭범에게 따지자 상대는 자금을 가져갈 방법이 없다고 부인하며 "버그 인플레이션" 탓이라고 했습니다. 그러면서 원인을 찾으려면 채널부터 닫으라고 했습니다. 발언자는 이 표현이 공식 용어는 아닌 것 같다고 말합니다. 또 채널 자금이 온체인으로 돌아오면 그것까지 가져가려는 의도였을 것이라고 해석합니다. 매커룬을 요구한 것도 같은 맥락으로 봅니다. 매커룬은 노드를 원격으로 조작할 권한이 담긴 값이라 비밀번호처럼 지켜야 합니다.
글쓴이는 시드가 노출된 서명 장치를 더는 믿을 수 없어서 약 55개 채널을 닫았습니다. 협조적 종료는 닫힌 잔액을 다른 주소로 바로 보냈고, 강제 종료는 시간 잠금이 풀리자마자 다른 서명 장치로 옮겼습니다. 이렇게 추가 피해를 막았다고 원글은 적습니다. 채널을 닫는 동안에도 사칭범의 메시지는 계속 왔습니다. 글쓴이는 진짜 운영자에게 연락해 그동안 대화한 상대가 사칭이었음을 확인했습니다. 글쓴이는 Amboss와 운영진에게는 책임이 없고, 잘못은 사기범과 자신에게 있다고 밝혔습니다.
DM은 믿지 말고 시드는 어떤 이유로도 넘기지 않아야 합니다
원글에서 글쓴이가 남긴 교훈은 네 가지입니다. 비트코인과 LND 관련 DM을 믿지 말 것, 먼저 진짜 사람에게 메시지를 보내 확인할 것, 시드 문구를 절대 넘기지 말 것, 직감을 믿을 것입니다.
발언자는 여기에 덧붙입니다. 민감한 정보는 DM으로 주고받지 말고, 공식 채널에서 상대가 진짜 사람인지 먼저 확인해야 합니다. 시드 문구를 넘기는 것은 금고 열쇠를 넘기는 것과 같습니다. 발언자는 경험 많은 운영자도 오랜 대화와 급박한 상황 속에서는 올바른 판단을 하기 어려울 수 있다고 보며, 그래서 어떤 이유로도 시드를 넘기지 않는다는 원칙을 미리 정해 두어야 한다고 말합니다. 발언자의 결론은 단순합니다. 뭔가 이상하면 믿고 따르지 말고 멈춰서 검증하라는 것입니다.
영상으로 보기
원본 영상: 사칭범에게 속아 1.4 BTC 도난 당한 사건 리뷰 (f. stacker.news) (공개일: 2025-09-12)
