매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
이번 달에는 OpenSea, Blockaid와 함께 새로운 트랜잭션 보안 기능을 출시했으며, 이미 4,000건 이상의 위험한 트랜잭션을 차단했습니다. 한편, Venom Drainer라는 서비스형 사기(scam-as-a-service)가 약 15,000명으로부터 2,700만 달러를 탈취했으며, 당사 연구원 Taylor Monahan과 Harry Denley는 오랜 암호화폐 사용자들을 대상으로 자금을 빼내는 별도의 캠페인을 조사하기 시작했습니다. 또한 Etherscan은 주소 오염(address-poisoning) 사기를 억제하기 위해 설정을 변경했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Michael Faraday(1791–1867)는 대부분 독학으로 공부한 영국의 과학자로, 그의 실험은 전자기 유도를 포함한 전자기학과 전기화학의 토대를 마련했으며, 전기분해 법칙에는 지금도 그의 이름이 붙어 있습니다. 가정보다 신중하고 반복 가능한 실험을 고집했던 그의 태도는 건전한 보안 연구가 의존하는 증거 우선 원칙과 동일합니다.
Endo의 exitModuleImportHook이 importHook으로 이름이 변경되었으며, compartment-mapper에 병합을 기다리고 있습니다. SES 0.18.3 이상 버전에는 비표준 AsyncGenerator 및 AsyncFunctionPrototype에 대한 React Native Android JSC 수정 사항이 포함되었습니다. 팀은 또한 MetaMask Mobile 라이브러리와의 BigInt 호환성 탐색을 완료하여 최선의 방향을 결정했습니다. big-integer shim은 아직 @ethereumjs/util을 완전히 지원하지 않으며, react-native-v8은 완전히 호환되지만 성능 문제가 있고, Hermes는 작동하는 BigInt 구현을 제공하지만 다른 호환성 문제가 있으며 SES에 필요한 "with" 구문이 없습니다. React Native 0.71.6에서 SES 0.18.3 이상 버전으로 발생하는 다양한 TypeError가 조사 중이며, 이를 통해 팀은 MetaMask 모바일을 잠금 처리하는 작업에 점점 가까워지고 있습니다. 해당 작업은 React Native 0.72.0-rc1을 포함하여 0.66.5에서 업그레이드 중입니다.
LavaMoat 팀은 2023년 4월 React Native London 밋업과 Node Congress Berlin에 참가했으며, Zbigniew Tenerowicz의 발표 영상은 다음 달에 공개될 예정입니다. 기존의 보안 번들링 방식은 작동했지만 한계가 뚜렷하여, 팀은 로더에서 플러그인으로 전환하고 각 모듈을 래핑하기 위한 더 나은 번들링 단계를 찾았습니다. ScorchWrap이라는 코드명의 플러그인 개념 증명(proof of concept)은 코드 유형(CommonJS, ESM, 빌드된 TypeScript)에 관계없이 실제 의존성을 포함한 기본 번들을 생성할 수 있습니다. 다른 플러그인과의 호환성 및 대규모 테스트를 위한 추가 작업이 필요합니다. 팀은 또한 SES와 Hermes의 호환성에 대한 초기 연구를 시작하고, @lavamoat/allow-scripts에 대한 Yarn Berry(3+) 지원을 시작했으며, React Native의 새로운 아키텍처와 잠금 처리에 관한 발표를 준비 중입니다.
2023년 4월, 저희는 OpenSea, Blockaid와 협력하여 사용자가 승인하기 전에 알려진 사기를 감지하는 실험적인 옵트인 트랜잭션 보안 기능을 출시했으며, 이미 4,000건 이상의 위험한 트랜잭션을 차단했습니다. OpenSea는 사기 차단 목록을 제공하고 Blockaid는 악의적인 행동을 실시간으로 분석하며, 추가적인 보안 작업도 진행 중입니다.
MetaMask Security의 Gal Weizman은 "CVE-2023-1767 — Snyk Advisor 서비스의 저장형 XSS로 npm 패키지 건강 점수 완전 조작 가능"이라는 글에 자신의 조사 내용을 기록했습니다. 그의 요약에 따르면, Snyk Advisor의 저장형 XSS를 통해 자신이 관리하는 패키지에 부여된 건강 점수를 조작하여 "악성" 패키지를 건강하고 인기 있으며 합법적인 것처럼 보이게 만들 수 있었습니다. 이는 공격자가 다른 사람들에게 실제 악성 npm 패키지를 설치하도록 유도하는 데 악용될 수 있는 취약점입니다.
Monkey Drainer는 역사 속으로 사라졌지만, Venom Drainer가 거의 하룻밤 사이에 그 자리를 차지했습니다. 2023년 4월 초 Scam Sniffer의 보고서에 따르면, 서비스형 사기인 Venom Drainer는 약 170개 브랜드를 표적으로 한 약 530개의 피싱 사이트를 통해 약 15,000명의 피해자로부터 2,700만 달러를 탈취했으며, 상위 5명의 피해자만으로도 1,400만 달러의 손실이 발생했습니다.
4월 중순, MetaMask Security의 Taylor Monahan과 Harry Denley는 암호화폐 생태계에서 수년간 활동해 온 사람들, 그 중 상당수는 개인 보안에 정통한 사용자들을 표적으로 하는 멀티체인 공격을 발견한 후 광범위한 조사에 착수했습니다. 관련된 Secret Recovery Phrase는 2014년부터 2022년 사이에 생성된 키를 관리하고 있었으며, 조사는 여전히 진행 중이었습니다. Monahan은 "2022년 12월 이후 11개 이상의 체인에서 5,000 ETH 이상과 토큰/NFT/코인이 탈취되었습니다. 합리적인 수준의 보안을 갖춘 제 친구들과 OG들이 피해를 입었습니다. 아무도 방법을 모릅니다."라고 전했습니다.
CoinDesk는 "Etherscan, 잠재적 사기 필터링을 위해 블록체인 익스플로러 설정 재구성"이라는 기사를 보도했습니다. 이 익스플로러는 이제 기본적으로 제로 값 토큰 전송 표시를 숨기도록 설정되었습니다. 이는 공격자가 지갑에 거의 가치 없는 토큰을 전송하여 사용자가 나중에 사기 주소를 복사해 자금을 보내도록 유도하는 주소 오염을 방지하기 위한 설정입니다.
사기꾼들은 #UniswapHack 및 #UniswapExploit 해시태그를 봇으로 트렌딩시킨 후, 가짜 "해킹"을 이용해 사용자들을 Revoke.cash의 위조 버전으로 유도했습니다. 2023년 4월 15일 Hayden Adams와 Evan Van Ness가 지적했듯이, Uniswap은 해킹당하지 않았으며, 사용자들에게 침착함을 유지하고 패닉 상태에서 행동하지 말 것을 당부했습니다.
Scam Sniffer 보고서는 400만 달러가 탈취된 Google 검색 광고 피싱 사례를 기록했습니다. Google 검색 광고 피싱은 사기꾼들이 실제 암호화폐 브랜드를 모방한 스폰서 결과에 비용을 지불하고, 사용자를 지갑 자격 증명이나 자금을 탈취하는 유사 사이트로 유도하는 사기입니다. 이러한 사기는 반복적인 위협이므로, URL을 반드시 확인하고, 가능하면 북마크를 활용하며, 스폰서 검색 결과를 건너뛰고, 광고 차단기를 사용하여 노출을 줄이는 것을 고려하세요.
MetaMask의 2023년 4월 암호화폐 보안 보고서는 MetaMask, OpenSea, Blockaid의 실험적인 트랜잭션 보안 기능 출시, 약 15,000명의 피해자로부터 2,700만 달러를 탈취한 Venom Drainer 서비스형 사기, 그리고 오랜 암호화폐 사용자를 표적으로 한 멀티체인 드레이너 캠페인에 대한 진행 중인 조사를 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드 및 팁을 보려면 MetaMask 암호화폐 보안 보고서의 이전 호를 확인하세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
