매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2023년 2월, MetaMask는 서명 피싱 킷의 급증을 차단하기 위해 eth_sign을 기본적으로 비활성화했습니다. 이 변경 사항은 악명 높은 Monkey Drainer 그룹의 활동 중단에도 영향을 미쳤을 수 있습니다. 한편 Endo와 LavaMoat 팀은 보안 번들링, webpack compartment-map 플러그인, MetaMask Snaps 강화 작업을 진행했습니다. 위협 측면에서는 Namecheap/SendGrid 침해 사고로 공격자들이 MetaMask 브랜드를 사칭한 피싱 이메일을 발송했고, Google Fi SIM 스왑 공격으로 피해자의 Coinbase 계정과 이중 인증 앱이 탈취되었으며, Google 광고를 통해 홍보된 가짜 EthDenver 사이트가 악명 높은 피싱 지갑과 연결된 것으로 밝혀졌습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Emmett Chappelle(1925–2019)은 생물발광 분야의 권위자로 명성을 떨친 미국의 생화학자입니다. 그는 빛을 방출하는 반응을 이용해 육안으로는 보이지 않는 곳에서 박테리아와 생명체의 존재를 탐지하는 방법을 개발했으며, 이 기술은 이후 NASA의 생명체 탐색과 신속한 오염 검사에 활용되었습니다. 미약한 신호를 신뢰할 수 있는 탐지 수단으로 전환한 그의 연구는, 숨겨진 위협이 피해를 일으키기 전에 이를 발견해야 하는 일상적인 보안 과제와 맥을 같이합니다. Chappelle은 14개의 특허를 보유했으며, 20세기 가장 뛰어난 흑인 미국 과학자 중 한 명으로 손꼽힙니다.
MetaMask는 피싱 킷이 eth_sign을 악용해 사용자를 속여 악성 트랜잭션에 서명하도록 유도하는 뚜렷한 추세를 포착했습니다. 보호와 사용자 자율성 사이의 균형을 맞추기 위해, MetaMask는 eth_sign을 기본적으로 비활성화하고 여전히 필요한 사용자를 위해 고급 설정에 토글 옵션을 남겨두었습니다. 자세한 내용은 extension PR에서 확인할 수 있습니다. MetaMask 기술 지원 엔지니어 Devin Shin은 이 변경 사항이 실제로 효과를 발휘하는 것을 목격했다고 보고했습니다. 사기 사이트를 조사하던 중 "아무 일도 일어나지 않았으며", 콘솔 로그를 확인한 결과 해당 사이트가 eth_sign 트랜잭션을 유도하려 했으나 최근 변경 사항으로 인해 실패한 것으로 나타났습니다. 월말에는 이 변경 사항이 Monkey Drainer NFT 피싱 그룹의 종말에 기여했을 수 있습니다. @0xFantasy의 보고에 따르면, 이 그룹은 2023년 2월 28일 운영자에 의해 활동을 중단했습니다.
공격자들은 MetaMask를 사칭한 가짜 피싱 이메일을 발송해 수신자들에게 비밀 복구 구문을 입력하도록 유도했습니다. 이 사기에 대응하기 위해 MetaMask는 2023년 2월 12일 고위험 피싱 시도를 공지하고, MetaMask는 절대로 비밀 복구 구문이나 개인 키를 요청하지 않는다는 점을 사용자들에게 다시 한번 상기시켰습니다.
이번 침해 사고는 MetaMask에 직접적인 영향을 미치지 않았습니다. 대신 공격자들은 Namecheap 도메인을 통해 이메일을 발송할 수 있었습니다. Namecheap은 처음에 이 사건의 원인을 상위 공급업체인 SendGrid로 돌렸으며, 이후 트위터 계정에 공식 입장을 게시했습니다. 다만 두 입장 모두 2023년 2월 28일 기준으로 삭제된 것으로 보입니다. Bleeping Computer가 이 사건을 보도했습니다.
Endo 프로젝트는 기존 생태계와의 호환성을 높이기 위해 작업을 두 단계로 분리하는 새로운 보안 번들링 방식을 채택했습니다. 첫 번째 단계에서는 webpack과 같은 기존 도구의 플러그인이 compartment map과 변환된 소스를 생성하고 이를 앱 아카이브로 저장합니다. 두 번째 단계에서는 번들러가 해당 앱 아카이브를 보안 번들 파일로 변환합니다. 이러한 분리 방식은 새로운 번들링 도구 지원을 더 간편하게 만들고 번들러의 보안을 약화시킬 가능성을 줄여줍니다. 또한 Endo는 정책 내 전역 변수에 대한 감쇠 기능을 추가해, compartment mapper에서 LavaMoat 정책과의 완전한 호환성을 위한 기반을 마련했습니다. 여기에는 "쓰기" 전역 정책을 구현하는 개념 증명(proof-of-concept) 감쇠기도 포함됩니다.
LavaMoat는 Endo 호환 compartment map을 생성하는 webpack 플러그인 초기 작업을 시작했습니다. 별도로, @lavamoat/snow는 Blob 및 File 객체에서 URL 객체 생성을 비활성화해 realm 보호 우회를 방지했습니다.
LavaMoat 팀은 MetaMask Snaps에 노출된 기능의 보안을 강화하고, Chrome에서 예상치 못한 iframe 샌드박싱 부작용에 대한 연구를 수행했습니다.
또 다른 SIM 스왑 사례로, Google Fi 사용자가 공격자에 의해 Coinbase 계정과 이중 인증 앱을 탈취당했습니다. TechCrunch 보도에 따르면, Google Fi는 해당 사용자에게 해커들이 일부 고객 정보를 탈취했으며 이는 최근 T-Mobile 침해 사고와 연관된 것으로 보인다고 알렸습니다. 상황은 해결된 것으로 보이지만, 피해를 입은 고객들의 전화번호가 얼마나 안전하게 유지되고 있는지에 대한 의문은 여전히 남아 있습니다. TechCrunch가 자세한 내용을 보도했습니다.
이더리움 생태계 최대 행사 중 하나인 EthDenver 2023을 앞두고, Google 광고를 통해 홍보된 가짜 Ethereum Denver 웹사이트가 악명 높은 피싱 지갑과 연결된 것으로 밝혀졌습니다. 이 사례는 암호화폐 및 이벤트 웹사이트를 방문할 때 Google 광고 결과를 맹신해서는 안 된다는 점을 다시 한번 상기시켜 줍니다.
MetaMask의 2023년 2월 암호화폐 보안 보고서는 Monkey Drainer 피싱 그룹 활동 중단과 맞물린 eth_sign 기본 비활성화 조치, MetaMask 사칭 피싱 이메일 발송에 악용된 Namecheap 및 SendGrid 침해 사고, 그리고 피해자의 Coinbase 계정과 이중 인증 앱을 탈취한 Google Fi SIM 스왑 해킹을 다루었습니다. 생태계 전반의 더 많은 위협, 트렌드, 안전 수칙을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
