매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격 및 새로운 위협에 대해 보고합니다.
2022년 7월, LavaMoat 프로젝트는 prototype pollution 및 cross-realm JavaScript 공격을 차단하기 위한 세 가지 실험적 브라우저 방어 도구—Securely, Snow, Across—를 출시했으며, Endo 프로젝트는 오랫동안 진행해 온 CommonJS 지원 로드맵을 마무리했습니다. 위협 측면에서는 MetaMask 보안 연구원 harry.eth가 73,399명의 Uniswap 유동성 공급자를 대상으로 약 800만 달러를 탈취한 가짜 $UNI 에어드롭 피싱 사건을 포착했으며, 난독화된 Solidity 컨트랙트를 통해 예치된 ETH를 빼내는 가짜 MEV 프론트러닝 봇을 홍보하는 YouTube 사기도 발견했습니다. MetaMask는 또한 Discord, Twitter, Telegram에서 NFT 사기를 피하는 방법에 대한 가이드를 게시했으며, HackerOne 버그 바운티 프로그램을 통해 지속적으로 제보를 받고 있습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 먼저...
Ralph Merkle은 1970년대 Whitfield Diffie, Martin Hellman과 함께 공개 키 암호화를 공동 발명했으며, UC 버클리 학부생 시절 독자적으로 Merkle's Puzzles를 고안했습니다. 1979년 스탠퍼드 박사 논문에서 Merkle 트리(해시 트리)와 Merkle-Damgard 구조를 소개했으며, 이는 블록체인 검증, 디지털 서명, 그리고 자기 수탁 지갑 소프트웨어가 의존하는 무결성 검사에 사용되는 해시 함수의 기반이 됩니다. Merkle은 2010년 IEEE Richard W. Hamming 메달을 수상했으며, 2011년 미국 발명가 명예의 전당에 헌액되었습니다.
MetaMask의 오픈소스 LavaMoat 프로젝트는 브라우저 기반 애플리케이션을 JavaScript 공급망 공격으로부터 보호하기 위해 설계된 세 가지 실험적 도구를 출시했습니다.
Securely는 동일한 실행 컨텍스트에서 실행되는 서드파티 코드가 prototype pollution 또는 man-in-the-browser(MITB) 기법을 통해 네이티브 브라우저 API(예: fetch)를 변조한 경우에도 해당 API에 대한 독점적 접근권을 유지합니다. Snow는 웹 애플리케이션 내에서 새로 생성되는 모든 iframe 또는 realm을 가로채어 최상위 윈도우에 적용된 것과 동일한 보안 정책을 적용함으로써, 변조되지 않은 API 참조를 얻기 위해 새로운 iframe을 생성하는 일반적인 공격 기법을 차단합니다. Snow는 Securely를 기반으로 구축되었습니다. Across는 동일한 DOM에 연결된 두 스크립트 간에 소스 URL로 식별되는 보안 통신 채널을 구축하며, 서버 측 중개자 없이도 작동합니다. Across는 채널 보호를 위해 Securely와 Snow를 모두 활용합니다.
세 가지 도구 모두 실험적 버전으로 출시되었습니다. Securely, Snow, Across의 데모를 확인하실 수 있습니다.
Endo 프로젝트는 CommonJS 모듈 지원을 위한 최종 수정 사항을 병합하고, 2022년 초부터 열려 있던 CommonJS 지원 추적 이슈(endojs/endo #1055)를 종료했습니다. TC39 모듈 명세에 대한 지속적인 작업으로 인해, 가상화된 모듈 로더가 특정 getter 및 setter 요구 사항을 가진 CommonJS 모듈 가져오기를 지원해야 하는지에 대한 의문이 제기되었습니다. 이 분야에 대한 추가 연구는 Endo의 CommonJS 지원에 추가적인 변경을 가져오거나, 해당 명세의 선행 기술로 자리매김하게 할 수 있습니다.
2022년 7월 11일, 보안 연구원 harry.eth는 Uniswap에 유동성을 제공한 73,399개의 주소에 악성 토큰을 전송하여 $UNI 에어드롭으로 위장한 피싱 캠페인을 포착했습니다. 공격은 주소 0xcf39b7793512f03f2893c16459fd72e65d2ed00c에서 시작되었으며, 탐지되기 약 두 시간 전부터 진행되었습니다. 해당 토큰과 상호작용한 사용자는 setApprovalForAll() 트랜잭션에 서명하도록 유도되었으며, 이를 통해 공격자는 피해자의 LP 포지션을 탈취할 수 있었습니다. 이 캠페인으로 인해 피해자들로부터 약 800만 달러가 탈취되었습니다. 이 취약점은 Uniswap 프로토콜 자체의 문제가 아닙니다.
2022년 7월, 보안 연구원 harry.eth는 구독자 26,400명의 채널에서 97,000회 조회수를 기록한 YouTube 사기 튜토리얼도 포착했습니다. "Uniswap에서 하루 $XXX 버는 방법"이라는 제목의 해당 영상들은 사용자에게 MEV 프론트러닝 봇이라고 소개된 Solidity 컨트랙트를 배포하도록 안내했습니다. 배포된 컨트랙트에는 난독화된 코드가 포함되어 있었으며, 자금이 입금되면 예치된 ETH가 공격자의 지갑으로 직접 전송되었습니다. 이 사기는 신뢰성을 높이기 위해 합법적인 MEV 용어를 악용했습니다.
저희는 Discord, Twitter, Telegram에서 사기꾼들이 NFT 커뮤니티 채널을 악용해 보유자를 피싱하는 일반적인 공격 방식을 다룬 NFT 사기 예방 방법 지원 문서를 게시했습니다. 해당 문서는 악성 민팅 링크, 가짜 에어드롭 공지, 탈취된 커뮤니티 매니저 계정, DM을 통한 소셜 엔지니어링 등을 다루고 있습니다. 주요 권고 사항으로는 공식 프로젝트 사이트와 URL 대조 확인, 커뮤니티 Discord에서 DM 비활성화, 지갑에 예상치 못하게 수신된 NFT를 잠재적 피싱 수단으로 간주하는 것이 포함됩니다.
HackerOne의 버그 바운티 프로그램은 MetaMask Extension(GitHub 저장소)과 MetaMask Mobile(GitHub 저장소)에 대한 제보를 지속적으로 접수하고 있습니다.
MetaMask의 2022년 7월 암호화폐 보안 리포트는 prototype pollution 및 cross-realm JavaScript 공격을 겨냥한 LavaMoat의 세 가지 실험적 브라우저 방어 도구(Securely, Snow, Across) 출시, 73,000개 이상의 Uniswap LP 주소를 대상으로 약 800만 달러를 탈취한 가짜 $UNI 에어드롭 피싱, 그리고 난독화된 Solidity 컨트랙트를 이용해 예치된 ETH를 빼내는 YouTube 기반 MEV 봇 튜토리얼 사기를 다루었습니다. 생태계 전반의 더 많은 위협, 트렌드, 안전 수칙을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
