홍콩에서 정식 라이선스를 취득한 가상자산 거래소 해시키(HashKey)를 사칭하는 가짜 웹사이트가 무더기로 적발됐다.

규제 당국은 거래소의 명칭과 디자인을 그대로 모방한 피싱 사이트가 확산하고 있다며 투자자들에게 각별한 주의를 요청했다.

홍콩 증권선물위원회(SFC)는 최근 투자자 경고 목록을 통해 해시키와 관련이 있는 것처럼 위장한 웹사이트 65개를 공개했다.

SFC는 해당 사이트들이 홍콩에서 가상자산 거래 플랫폼 라이선스를 받은 해시키와 아무런 관련이 없다고 밝혔다.

이용자가 정식 거래소로 오인할 수 있도록 해시키의 명칭과 로고, 화면 구성 등을 모방한 것으로 전해졌다.

가짜 거래소 사이트는 일반적으로 검색광고와 소셜미디어, 메신저 단체방, 문자메시지 등을 통해 확산한다. 공식 웹사이트와 비슷한 인터넷 주소를 사용하거나 철자 한두 글자만 바꾸는 방식으로 이용자를 속인다.

피싱 사이트에 접속한 이용자가 아이디와 비밀번호, 일회용 비밀번호 등을 입력하면 해당 정보가 공격자에게 전달될 수 있다. 이후 공격자가 실제 거래소 계정에 접속해 보유 자산을 탈취할 가능성이 있다.

가짜 거래 플랫폼 내부에서 정상적인 매매가 이뤄지는 것처럼 숫자를 표시한 뒤 출금을 요청하면 세금이나 보증금, 계정 인증비 등의 명목으로 추가 입금을 요구하는 방식도 사용된다. 이용자가 비용을 송금해도 실제 출금은 이뤄지지 않는다.

일부 사이트는 개인지갑 연결이나 복구 문구 입력을 유도할 수도 있다. 지갑의 시드 문구나 개인키를 전달하면 지갑에 보관된 가상자산 전체가 탈취될 수 있어 어떤 경우에도 웹사이트에 입력해서는 안 된다.

이번 경고는 해시키 사칭 문제가 일회성 사건이 아니라 지속해서 확대되고 있다는 점을 보여준다. SFC는 2025년 1월에도 해시키를 사칭한 의심 웹사이트 33개를 추가로 경고했으며 당시 확인된 관련 사이트는 총 45개로 늘어난 바 있다. 관련 보도

현재 경고 대상이 65개까지 늘어나면서 사기 조직이 기존 사이트가 차단된 이후에도 인터넷 주소를 변경해 유사 사이트를 계속 개설하는 것 아니냐는 우려가 나온다.

해시키는 홍콩 규제 체계에 따라 허가받은 가상자산 거래 플랫폼이다. 이처럼 인지도가 높고 라이선스가 확인된 거래소일수록 투자자의 신뢰를 악용하려는 사칭 범죄의 표적이 될 가능성이 크다.

사칭 사이트가 정식 거래소의 이름을 사용한다고 해서 해당 거래소가 해킹됐거나 고객정보가 유출됐다는 의미는 아니다. 이번 경고의 핵심은 해시키와 무관한 외부 사이트들이 정식 플랫폼인 것처럼 위장했다는 데 있다.

투자자는 거래소에 접속하기 전 인터넷 주소를 직접 확인해야 한다. 검색 결과 상단에 표시되는 광고나 SNS 게시물의 링크만 믿고 접속하는 것은 피하는 것이 좋다.

홍콩에서 서비스를 제공하는 거래소는 SFC의 공식 가상자산 거래 플랫폼 명단에서 라이선스 보유 여부와 공식 웹사이트 주소를 확인할 수 있다. 홍콩 SFC도 가상자산 거래 플랫폼에 대한 인허가 체계와 투자자 보호 장치를 운영하고 있다.

이미 의심 사이트에 정보를 입력했다면 실제 거래소의 비밀번호를 즉시 변경하고 모든 로그인 세션을 종료해야 한다. 이중인증 수단도 다시 설정하고 출금 주소록과 최근 거래 내역을 확인할 필요가 있다.

가상자산을 전송했거나 지갑 복구 문구를 노출했다면 추가 송금을 중단하고 남은 자산을 안전한 새 지갑으로 옮긴 뒤 현지 경찰과 규제기관, 해당 거래소 고객센터에 신고해야 한다.

SFC의 이번 조치는 정식 라이선스 제도만으로 온라인 사칭 범죄를 완전히 차단하기 어렵다는 점을 보여준다.

규제 당국의 허가 여부뿐 아니라 접속한 웹사이트가 실제 등록된 공식 주소와 일치하는지 확인하는 절차가 투자자 보호의 핵심으로 떠오르고 있다.