매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 등장하는 위협에 대해 보고합니다.
2022년 12월에는 LavaMoat가 실험적 플래그 뒤에 bin confusion 완화 기능을 출시했고, Endo의 compartment-mapper 번들러가 초기 CommonJS 개념 증명을 통과했으며, Node.js 보안 워킹 그룹이 LavaMoat의 패키지별 접근 방식을 보완하는 프로세스 수준의 권한 모델을 제안했습니다. 위협 측면에서는 북한의 Lazarus Group이 가짜 암호화폐 앱을 통해 새로운 AppleJeus 악성코드 변종을 배포했으며, 한 달에 걸친 소셜 엔지니어링 사기로 107만 달러 상당의 Bored Ape 14개가 탈취되었습니다. 연말을 마무리하며 HackerOne 버그 바운티 프로그램은 연구원 100명을 돌파했고, PhishFort는 MetaMask 브랜드를 사칭한 피싱 공격 19,571건을 추적했으며, MetaMask와 Laconic이 MobyMask 안티피싱 이니셔티브를 출시했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Hedy Lamarr(1914–2000)는 작곡가 George Antheil과 함께 1942년 "비밀 통신 시스템" 특허를 취득했습니다. 이 시스템은 주파수 도약 방식을 활용해 무선 유도 어뢰 신호가 재밍되는 것을 방지했습니다. 빠르게 전환되는 주파수에 걸쳐 신호를 분산시키는 이 아이디어는 Wi-Fi, Bluetooth, GPS 등 현대 대역 확산 기술의 토대가 되었으며, 이는 자기 수탁 지갑 사용자가 블록체인 네트워크에 연결하는 데 사용되는 무선 프로토콜입니다. Lamarr는 2014년 미국 발명가 명예의 전당에 헌액되었습니다.
LavaMoat는 --experimental-bins 플래그와 함께 @lavamoat/allow-scripts를 출시하여 npm 및 Yarn 1 프로젝트 모두에서 npm bin 스크립트 confusion 공격에 대한 보호 기능을 제공합니다. 이 완화 기능은 악성 패키지가 npm의 bin 필드 링킹 동작을 통해 정상적인 CLI 명령을 탈취하는 것을 방지합니다.
Endo 프로젝트에서 번들링 작업이 본격화되었습니다. 일련의 호환성 수정을 통해 compartment-mapper 번들러가 실제 프로젝트에 사용 가능한 수준에 가까워졌으며, CommonJS 지원의 초기 개념 증명이 테스트를 통과했습니다.
Node.js 보안 워킹 그룹은 기존 정책 시스템을 보완하기 위한 권한 모델의 첫 번째 제안을 준비했습니다. 목표는 LavaMoat와 유사합니다. 반신뢰 서드파티 코드에 노출되는 시스템 접근을 줄이는 것입니다. 제안된 접근 방식은 프로세스 수준에서 시스템 접근을 구성한다는 점에서 Deno의 권한 시스템과 유사하지만, LavaMoat는 프로세스 내 패키지 수준에서 접근을 구성함으로써 더욱 세분화된 격리를 가능하게 합니다. Node.js 권한 모델이 성숙하고 출시되면 LavaMoat와 함께 사용하여 더욱 강력한 공급망 보호를 실현할 수 있을 것입니다.
북한의 Lazarus Group이 가짜 암호화폐 애플리케이션과 웹사이트를 통해 AppleJeus 악성코드의 새로운 변종을 배포하는 정황이 포착되었습니다. 이를 통해 의심하지 않는 사용자가 악성코드를 무심코 다운로드할 수 있었습니다. 이 활동은 2022년 12월 5일 Volexity에 의해 보고되었으며 The Hacker News에서 다루었습니다.
보안 분석가 Serpent가 문서화한 바에 따르면, 2022년 12월 17일 공개된 분석에서 한 달에 걸친 소셜 엔지니어링 사기로 단일 수집가로부터 852 ETH(107만 달러) 이상 상당의 BAYC NFT 14개가 탈취되었습니다. 소셜 엔지니어링은 한 해 동안 악의적인 행위자들이 가장 효과적으로 활용한 수단 중 하나로, 이와 같은 정교한 사기는 몇 분이 아닌 몇 주에 걸쳐 진행되었습니다.
MetaMask는 HackerOne 버그 바운티 프로그램을 통해 100명 이상의 고유 연구원들과 관계를 구축했으며, 이들은 한 해 동안 다양한 취약점을 발견하는 데 기여하여 사용자 경험의 안전성을 높였습니다. 프로그램은 바운티를 추구하는 새로운 참가자들을 계속해서 환영하고 있습니다.
한 해 동안 PhishFort는 MetaMask 브랜딩을 사용한 공격 19,571건을 탐지했으며, 마지막 30일 동안 1,873건의 캠페인을 성공적으로 차단했습니다. MetaMask는 브라우저 확장 프로그램과 모바일 앱 모두에서 알려진 피싱 차단 이니셔티브를 운영하며 MetaMask 사칭 및 기타 Web3 브랜드 스푸핑을 차단했습니다. 차단 목록은 Consensys/MetaMask가 소유 및 관리하며 하루에 여러 번 업데이트됩니다.
MetaMask는 Laconic의 도움을 받아 개발된 MobyMask를 소개했습니다. 이는 피싱 신고자 소싱을 위한 동적 신뢰 네트워크를 활용하여 사용자를 피싱으로부터 선제적으로 보호하는 새로운 이니셔티브입니다.
MetaMask의 2022년 12월 암호화폐 보안 보고서는 가짜 암호화폐 애플리케이션을 통해 배포된 Lazarus Group의 새로운 AppleJeus 악성코드, 107만 달러 상당의 Bored Ape 14개를 탈취한 한 달간의 소셜 엔지니어링 사기, 그리고 LavaMoat의 bin confusion 완화, PhishFort의 피싱 차단, MobyMask 안티피싱 이니셔티브 출시를 아우르는 연말 결산을 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
