매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2023년 8월, MetaMask, Paradigm, Yearn, Polygon의 보안 전문가들이 암호화폐 긴급 상황을 위한 실험적 텔레그램 핫라인인 Seal 911을 출시했으며, MetaMask는 Defcon과 Ethereum Argentina에서 무대에 올랐고, Gal Weizman은 Snow에 대해 보다 과감한 보안 우선 방향을 제시했습니다. 내부적으로는 LavaMoat이 릴리스를 자동화하고 ScorchWrap 플러그인과 모바일용 SES lockdown을 발전시켰습니다. 한편, 개인 키를 탈취하는 타이포스쿼팅된 Ethereum npm 패키지에 관한 또 다른 실제 공급망 공격을 보고했는데, 이는 LavaMoat이 바로 이러한 위협을 완화하기 위해 설계된 사례입니다. 전체 내용은 아래에 있지만, 먼저...
Émile Baudot(1845–1903)는 프랑스의 전신 엔지니어로, Baudot 코드를 발명했습니다. Baudot 코드는 초기 고정 길이 문자 인코딩 방식으로, 디지털 통신의 최초 실용적 수단 중 하나이자 ASCII의 전신입니다. "baud(보)라는 단위는 그의 이름에서 유래했습니다. 정보가 인코딩되고 전송되는 방식을 표준화한 그의 업적은 오늘날 생태계가 의존하는 안전하고 신뢰할 수 있는 데이터 교환의 근간이 됩니다.
MetaMask의 보안 전문가들이 Paradigm, Yearn, Polygon의 전문가들과 협력하여 암호화폐 긴급 상황을 겪는 사용자를 위한 실험적인 텔레그램 봇 핫라인을 만들었으며, MetaMask의 Taylor Monahan과 Harry Denley가 Seal 911이라는 이름의 이 프로젝트에 참여했습니다. samczsun이 2023년 8월 8일에 설명한 바와 같이, 이 그룹은 책임 있는 공개에서 가장 어려운 부분인 적합한 담당자를 찾는 문제를 해결하고자 했습니다. 그 결과물이 바로 Seal 911 봇으로, 누구나 긴급 상황에서 보안 커뮤니티의 신뢰할 수 있는 구성원과 그들의 광범위한 네트워크에 연락하기 위해 사용할 수 있습니다.
LavaMoat의 Snow에 관한 최신 업데이트에서 MetaMask의 Gal Weizman은 보다 과감한 방향을 제시했습니다. "오늘은 Snow의 역사에서 중요한 날입니다. 프로젝트가 방어적 보안을 쫓는 것을 멈추기 위해서는 채택과 기능적 동작을 희생하더라도 과감한 조치를 취해야 한다는 성숙한 인식에 도달했습니다." 즉, Snow는 편의성이나 호환성이 다소 줄어들더라도 더 강력한 보안 보장을 우선시할 것입니다.
라스베이거스에서 열린 Defcon의 2023년 8월 AppSec Village에서 MetaMask의 Zbigniew Tenerowicz(ZB)와 Kumavis가 강화된 JavaScript와 소프트웨어 공급망 위험에 관한 방어적 코딩 워크숍을 진행했습니다. 녹화본은 없지만 강의 자료와 슬라이드는 확인할 수 있습니다.
"소프트웨어 공급망에 대해 들어보셨나요? 맞습니다, 결국 앱이
보안 설계 전문가 Antonela Debiasi가 Ethereum Argentina의 메인 스테이지에 올라 암호화폐 네트워크의 신뢰 모델을 검토하며, 신뢰 지표와 기업 보안 지표의 차이를 설명했습니다.
LavaMoat 모노레포는 릴리스 관리를 위해 npm workspaces와 release-please로 전환하고 있으며, 이를 통해 LavaMoat 릴리스가 자동화되고 훨씬 빨라질 것입니다. ScorchWrap webpack 플러그인은 이제 여러 진입점과 청크를 지원하며, 모듈 요구사항에 대한 정책 적용이 구현되었습니다. 첫 번째 베타를 위한 남은 작업은 전역 변수에 대한 정책 적용입니다. 한편, SES lockdown이 두 단계로 분리되어 "Vetted Shims"를 수리 후 동결 전에 내장 객체에 적용할 수 있게 됩니다. 이 변경은 호환성을 개선하고 lockdown과 함께 MetaMask Mobile을 실행하는 데 있어 마지막 장애물 중 하나를 해소할 것으로 기대됩니다. 모바일에서 SES는 계속해서 번들 이전 단계를 잠그고, Settings 화면을 감싸는 고차 컴포넌트로 사용되는 @consensys/on-ramp-sdk의 직접 의존성이므로 reflect-metadata를 신뢰할 수 있는 shim으로 허용합니다.
Phylum은 2023년 8월 초, 인기 있는 암호화폐 라이브러리의 타이포스쿼팅 패키지와 대부분의 개발자가 면밀히 살펴보지 않을 대용량 파일 깊숙이 악성 코드를 숨긴 의존성을 포함한 일련의 의심스러운 npm 게시물에 대한 경보를 받았다고 보고했습니다. 해당 패키지는 개인 키를 원격 서버로 유출했는데, 이는 LavaMoat이 완화하도록 설계된 바로 그 소프트웨어 공급망 공격 유형입니다.
MetaMask의 2023년 8월 암호화폐 보안 보고서는 암호화폐 긴급 상황을 위한 조직 간 텔레그램 핫라인인 Seal 911의 출시, Snow의 과감한 보안 우선 방향, 그리고 개인 키를 탈취한 타이포스쿼팅된 Ethereum npm 패키지를 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 이전 MetaMask 암호화폐 보안 보고서 에디션을 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
