매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 떠오르는 위협에 대해 보고합니다.
2024년 4월, ZachXBT, MetaMask의 Taylor Monahan, 그리고 다른 연구원들이 북한 라자루스 그룹(Lazarus Group)이 세탁한 2억 달러에 대한 조사 결과를 공유했습니다. 한편, MetaMask의 Security Lab은 W3C에 Snow.js 제안서를 제출하고, ES 모듈을 위한 LavaMoat의 정책 생성 기능을 업그레이드했으며, Gal Weizman은 민감한 데이터를 안전하게 표시하기 위한 새로운 LavaDome 도구를 상세히 소개했습니다. 또한 Security Alliance는 무료 암호화폐 네이티브 ISAC을 출시했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Fazlur Rahman Khan(1929–1982)은 방글라데시계 미국인 구조공학자이자 건축가로, 컴퓨터 지원 설계(CAD)의 초기 선구자이며 고층 건물의 "튜브형 설계의 아버지"로 불리는 인물입니다. 그의 구조 시스템은 윌리스(시어스) 타워와 존 핸콕 센터를 포함한 새로운 세대의 효율적인 초고층 빌딩을 가능하게 했습니다. 엄청난 압력 속에서도 무너지지 않는 구조물을 설계하는 일은, 그 자체로 보안 엔지니어링이 맞닥뜨리는 과제와 같습니다. 즉, 모든 것이 맞서 밀어붙일 때도 버텨낼 수 있는 무언가를 만드는 것입니다.
MetaMask의 Security Lab은 인큐베이션을 위한 W3C 제안서를 제출했습니다. 이 제안은 LavaMoat을 통하지 않고 사용자 측에서 직접 Snow.js를 배포할 수 있는 기본 기능을 도입하는 내용을 담고 있습니다. 브라우저에 직접 내장하면 우회가 사실상 불가능해지며, 이는 "동일 출처 문제(same origin concern)"를 해결하는 핵심 단계입니다. 또한 팀은 webpack 플러그인과 새로운 Endo 기반 도구 모두에서 기존의 require 방식을 넘어 import 및 export 구문을 지원하는 ECMAScript 모듈(ESM)을 위한 정책 생성 기능을 업그레이드했으며, 내장 모듈과 함께 target: 'node'를 지원하는 기능이 다음 릴리스의 LavaMoat webpack 플러그인에 추가될 예정입니다. Lockdown은 이제 iOS용 MetaMask Mobile에 영구적으로 적용되었으며, 팀은 더 넓은 생태계에서 LavaMoat 온보딩을 원활하게 하기 위해 문서와 교육 영상을 개선하고 있습니다.
웹 애플리케이션 내부 코드에 대한 신뢰가 약해지면서, 동일 출처 정책(Same Origin Policy)과 같은 전통적인 보호 수단은 내부 위협에 점점 더 취약해지고 있습니다. MetaMask는 이 문제를 LavaDome으로 해결하고 있습니다. LavaDome은 XSS나 공급망 공격을 통한 악성 코드의 탈취 없이 DOM에서 민감한 정보를 안전하게 표시하기 위한 실험적 도구입니다. Gal Weizman의 설명에 따르면, LavaDome은 PIN, 비밀 복구 구문(Secret Recovery Phrase), 개인 키(Private Key), 기타 개인 데이터와 같은 민감한 값을 거의 통합 마찰 없이 DOM에 안전하게 렌더링할 수 있습니다.
자기 파괴 메시지 서비스 Privnote의 위조 버전을 운영하던 사이버 범죄자가 MetaMask를 고소하겠다고 협박하다가 자신의 범행 규모를 스스로 노출하고 말았습니다. 사건의 발단은 한 GitHub 사용자가 자신의 사이트 privnote.co가 MetaMask의 피싱 차단 목록에 잘못 추가되었다고 항의하며 법적 조치를 취하겠다고 위협한 것이었습니다. 실제로 소송을 제기하라는 압박을 받자 당황한 나머지 privnode.com, privnate.com, prevnóte.com 등 자신이 관리하는 다른 도메인들을 언급하기 시작했고, 이를 통해 전체 네트워크가 드러났습니다.
Taylor Monahan이 이 실수를 포착했고, Brian Krebs가 상세히 보도한 바와 같이, 이 사이트들은 외관과 기능 면에서 실제 Privnote를 모방하되 한 가지 결정적인 차이점이 있었습니다. 암호화폐 주소가 포함된 메시지는 자동으로 수정되어 실제 결제 주소가 사기꾼 소유의 주소로 교체되며, 메모가 자동 삭제되기 때문에 변경 사실을 알아채기 어렵습니다. 이는 수익성도 높은 수법으로, 이 피싱 사이트 중 하나에서만 3월의 단 5일 동안 4개의 사기 주소를 통해 약 18,000달러 상당의 암호화폐가 이동했습니다.
ZachXBT는 MetaMask Security의 Taylor Monahan 및 다른 연구원들의 도움을 받아 믹서와 중앙화 거래소를 통한 거래 흔적을 추적하여, 라자루스 그룹이 2020년부터 2023년 사이 25개 이상의 암호화폐 해킹을 통해 2억 달러를 법정화폐로 세탁한 과정을 문서화했습니다.
2020년부터 2023년 사이, 북한과의 연계가 의심되는 악명 높은 라자루스 그룹은 약 2억 달러를 세탁한 것으로 추정됩니다. ZachXBT는 MetaMask Security의 Taylor Monahan 및 다른 연구원들과 함께 믹서와 중앙화 거래소를 통한 라자루스의 거래 흔적을 추적하여 이 그룹에 귀속된 25건 이상의 해킹에 대한 조사 결과를 공유했습니다.
Security Alliance는 오픈소스 암호화폐를 위해 구축된 무료 정보 공유 및 분석 센터(ISAC)를 출시했으며, 중앙화 및 탈중앙화 주체 모두를 지원합니다. samczsun이 언급한 바에 따르면 전년도 출시 이후 5,000만 달러 이상을 복구하는 데 기여한 SEAL 911 이니셔티브는 거래소 및 트레이딩 플랫폼, 블록체인 프로젝트, 지갑 및 스토리지 제공업체, 채굴 풀 및 인프라 제공업체, 블록체인 전문 사이버보안 기업 및 연구원, 규제 및 컴플라이언스 전문가 등 이해관계자들의 참여 신청을 받았습니다.
Bernhard Mueller는 현재 운영 중인 가장 악명 높은 드레이너 서비스 중 하나인 Angel Drainer에 대한 상세 분석을 발표했습니다. 이 서비스는 Blockaid 탐지를 우회하는 방법을 광고하고 있지만, MetaMask에 기본으로 활성화된 Blockaid 기능은 여전히 해당 트랜잭션을 사기로 표시하여 전체 공격을 차단합니다.
LastPass 사용자들이 마스터 비밀번호를 탈취하기 위해 이메일, SMS, 음성 통화를 결합한 정교한 피싱 캠페인의 표적이 되었습니다. 공격자들은 다중 인증(MFA)을 우회할 수 있는 암호화폐 계정 전문 피싱-서비스형(phishing-as-a-service) 킷인 CryptoChameleon을 사용하여, 사용자들이 새 기기에서 LastPass 계정에 접근이 있었다고 믿게 만들고 자격 증명을 탈취하는 피싱 사이트로 유도했습니다. LastPass는 이 캠페인에 대응 조치를 취했으며, 이는 전년도에 공개된 대규모 침해 사고를 포함한 일련의 공격 중 하나입니다. 방어 방법은 간단합니다. 서비스 제공업체로부터 왔다고 주장하는 모든 연락은 직접 응답하지 말고 공식 웹사이트나 고객 지원 라인을 통해 확인하고, 정보 공유, 링크 클릭, 첨부 파일 다운로드를 요구하는 갑작스럽고 긴급한 요청에는 주의하세요.
Google은 Google Play 스토어에 87개의 사기 암호화폐 앱을 배포하여 미국 내 8,700명을 포함한 10만 명 이상의 사용자에게 피해를 입힌 개발자 Yunfeng Sun과 Hongnam Cheung을 상대로 소송을 제기했습니다. 뉴욕 남부 지방법원에 제기된 이 소송은 해당 앱들이 암호화폐 투자를 미끼로 사용자를 유인한 뒤, 가짜 수익 출금 수수료로 사용자를 옭아매고, 합법적인 트레이딩 플랫폼으로 위장하며, 신원과 네트워크 인프라를 반복적으로 바꿔 삭제를 회피한 방식을 설명합니다. 이 돼지 도살(pig-butchering) 방식의 사기는 앱의 합법성을 조사하고 검증할 것—리뷰와 소셜 미디어 피드백을 꼼꼼히 살펴볼 것—을 상기시켜 주며, 너무 좋아 보이는 제안은 대개 사기라는 점을 명심해야 합니다.
약 2,000개의 WordPress 사이트가 해킹되어 가짜 NFT 및 할인 팝업을 표시하고, 방문자들이 지갑을 암호화폐 드레이너에 연결하도록 유도했습니다. 이 캠페인은 처음에 광고와 YouTube를 통해 드레이너를 유포하다가 관리자 비밀번호 무차별 대입 공격으로 전환했으며, 현재는 dynamic-linx[.]com에서 제공되는 악성 스크립트에 지갑을 연결하도록 사용자를 속이는 가짜 NFT 제안을 표시하고 있습니다. 사용자는 신뢰할 수 있는 플랫폼에만 지갑을 연결하고, 상당한 자산은 하드웨어 지갑에 보관하며, 일상적으로 사용하는 지갑에는 최소한의 자산만 유지하고, 위험 수준에 따라 다른 계정을 사용해야 합니다.
MetaMask의 2024년 4월 암호화폐 보안 보고서는 라자루스 그룹의 2억 달러 자금 세탁에 대한 ZachXBT의 조사, Security Alliance의 무료 암호화폐 네이티브 ISAC 출시, 그리고 다중 인증을 우회하며 LastPass 사용자를 표적으로 삼은 CryptoChameleon 피싱 캠페인을 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 이전 MetaMask 암호화폐 보안 보고서 에디션을 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
