AI 요약
영국 동서식스에 거주하는 독립 AI 컨설턴트 그랜트 드 스와르트가 자신의 클로드(Claude) 맥스 20x 계정에서 토큰이 무단으로 소진되는 사고를 발견했다. 조사 결과 해커가 탈취한 세션 키를 이용해 승인되지 않은 OAuth 토큰을 발급받아 타인을 위한 작업에 토큰을 사용한 것으로 드러났다. 앤트로픽(Anthropic)은 계정을 정지하고 세션을 무효화했지만, 항목별 사용 내역을 제공하지 않아 피해 규모를 정확히 파악하기 어렵다. 드 스와르트는 레딧에 경험을 공유했고, 유사한 피해를 입은 다수의 사용자들이 이에 동조하며 클로드 구독자 대상 토큰 탈취가 광범위하게 발생하고 있음이 드러났다.
핵심 포인트
- 드 스와르트는 작업을 하지 않는 통제된 환경에서도 토큰 사용량이 45%에서 55%로 증가하는 이상 징후를 발견
- 앤트로픽은 월 200달러 구독료 중 남은 기간에 해당하는 44.49파운드(약 8만 원)만 부분 환불하고 항목별 사용 내역 제공은 거부
- 해커가 탈취한 세션 키로 무단 Claude Code OAuth 토큰을 발급받아 타인 작업에 사용한 정황이 포착됨
- 레딧 게시글에 80개 이상의 댓글이 달리며, 자동 업그레이드·무단 결제·사용량 급증 등 유사 피해 사례가 잇따라 보고됨
향후 전망
- 계정 지원이 총 사용량만 추적하고 항목별 내역을 제공하지 않아, 이러한 토큰 탈취가 수개월간 탐지되지 않을 수 있다는 구조적 취약점이 부각
- 앤트로픽이 세션 보안 강화와 사용자별 상세 사용 내역 제공 등 대책을 마련해야 할 것으로 보이며, 유사 피해 사례가 추가로 드러날 가능성