매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2024년 7월, MetaMask의 HackerOne 버그 바운티 프로그램이 HackerOne 창립자들로부터 호평을 받았으며, Security Lab의 Zbigniew Tenerowicz와 Gal Weizman은 LavaMoat, LavaDome, DOM 격리 기술을 x33fcon, BlueHatIL, OWASP에서 발표했습니다. 한편 MetaMask의 Realms Initialization Control 제안이 인큐베이션 단계에 진입했습니다. 위협 측면에서는 WazirX가 멀티시그 익스플로잇으로 2억 3천만 달러 이상을 잃었고, Squarespace 취약점으로 인해 업계 전반에 걸쳐 도메인 탈취가 발생했으며, Ethereum.org 메일링 리스트 침해로 35,000명의 사용자가 자산 탈취 공격에 노출되었고, FBI는 증가하는 암호화폐 취업 사기에 대해 경고했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
César Milstein(1927–2002)은 아르헨티나 출신의 생화학자로, 단일클론 항체 생산 기술을 개발한 공로로 1984년 노벨 생리의학상을 공동 수상했습니다. 항체는 면역 체계의 정밀 도구로, 특정 위협을 인식하고 무력화하도록 설계되어 있으며, Milstein의 연구 덕분에 이를 대규모로 안정적으로 생산하는 것이 가능해졌습니다. 표적화되고 반복 가능한 위협 탐지라는 개념은 현대 보안 도구가 지향하는 바와 정확히 일치합니다.
MetaMask의 버그 바운티 프로그램이 HackerOne 창립자인 Jobert Abma와 Michiel Prins 양측으로부터 새로운 정책 개선 사항을 신속하게 도입했다는 점에서 호평을 받았습니다. 여기에는 영향도에 따라 MetaMask의 모든 자산에 걸친 보고에 보상을 제공하는 Open Scope와, 보고서 접수 후 한 달 이내에 지급을 약속하는 Fast Payment가 포함됩니다. 지난 90일 동안 프로그램은 120건의 보고서를 접수했으며, 제출부터 바운티 지급까지 평균 3일 15시간이 소요되었고, 현재까지 총 266,000달러를 지급했습니다. MetaMask는 pkkr, imnarendrabhati, p1security, Nicocha30, T41nk, René Kroka, renniepak, hackerOnTwoWheels, redyetihacks를 포함한 연구자 커뮤니티에 감사를 전하며, 취약점을 발견한 누구든 HackerOne 프로그램을 통해 보고해 주시기를 권장합니다.
MetaMask Security Lab의 Zbigniew Tenerowicz가 또 한 번 활약했습니다! 2024년 6월, ZB는 "레드와 블루가 만나는" IT 보안 전문가들의 모임인 x33fcon에 참가하여 라이트닝 토크를 진행하고 방어적 코딩에 관한 워크숍을 개최했습니다. 이는 LavaMoat의 핵심 주제인 공급망 보안을 알리기 위한 그의 노력의 연장선입니다. 그의 발표와 인터뷰 모두 지금 바로 확인하실 수 있습니다.
마찬가지로 MetaMask Security Lab 소속인 Gal Weizman은 Microsoft의 BlueHatIL과 OWASP 리스본 글로벌 AppSec 컨퍼런스에서 DOM 격리와 LavaDome 프로젝트에 대해 발표했습니다. 그는 중앙화 및 탈중앙화 아키텍처 보안의 차이가 웹 애플리케이션 보안의 경계를 어떻게 확장하는지를 살펴보았습니다. 또한 MetaMask가 제안한 Realms Initialization Control 제안이 Web Incubator Community Group으로부터 인큐베이션 승인을 받았다고 밝혔습니다. 이 제안이 구현되면 Snow 프로젝트가 원래 해결하고자 했던 "동일 출처 문제(same origin concern)"에 대한 네이티브 브라우저 수준의 솔루션을 제공할 수 있을 것으로 기대되며, 이는 복잡한 클라이언트 측 웹 보안 문제를 해결하는 데 있어 중요한 진전입니다.
MetaMask Security의 Taylor Monahan은 북한과 연계된 지능형 지속 위협(APT) 그룹 라자루스(Lazarus) 소속 구성원들이 주도하는 TraderTraitor라는 새로운 캠페인을 분석했습니다. TraderTraitor는 스피어피싱을 활용해 암호화폐 기업 직원들을 표적으로 삼아 수백만 달러를 탈취합니다. Monahan은 암호화폐 업계에서 일하는 모든 사람이 직급에 관계없이 위험에 처할 수 있다고 경고합니다. 그녀의 조언은 다음과 같습니다: 단일 실패 지점을 제거하고, 하드웨어 지갑과 하드웨어 MFA를 사용하며, 모르는 사람의 코드를 실행하거나 빌드하지 말고, 커뮤니케이션용 기기와 암호화폐 접근용 기기를 분리하며, 타인의 실수에서 교훈을 얻고, 주변 사람들을 교육하며, 항상 의심하는 자세를 유지하세요.
아이러니하게도, 악명 높은 사기 그룹 Pink Drainer가 주소 오염 사기의 피해자가 되었습니다. 합법적인 주소와 매우 유사한 가짜 주소로 자금을 전송하도록 속아 약 30,000달러 상당의 이더를 잃었습니다. 암호화폐 컴플라이언스 기업 MistTrack이 이 사건을 보고하며 사기꾼이 사기를 당한 아이러니를 지적했습니다. Pink Drainer는 2024년 5월에 수백만 달러를 탈취한 후 은퇴를 선언한 바 있습니다.
2024년 7월 2일, Ethereum은 메일링 리스트가 침해되었다고 보고하며, 35,000명 이상의 사용자가 피싱 시도에 노출되었다고 밝혔습니다. 공격자는 Lido DAO와의 협업을 가장한 이메일을 발송하여 수신자들을 스테이킹된 이더리움에 대한 높은 수익을 약속하는 사이트로 유도했으나, 실제로는 자산 탈취 사이트였습니다. Ethereum 보안팀은 신속하게 공격을 차단하고 커뮤니티에 알림을 보내며 악성 링크를 차단 목록에 등록했습니다. 피해는 보고되지 않았으며, Ethereum은 보안 강화를 위해 이메일 서비스 마이그레이션을 시작했습니다.
무슨 일이 있었나 연구자들은 Squarespace의 도메인 등록 프로세스에서 보안 기본값이 취약하여 공격자들이 도메인을 탈취할 수 있었다는 사실을 발견했습니다. 불충분한 인증 절차와 적절한 인증 없이 도메인 설정을 변경할 수 있는 기능으로 인해 공격자들이 도메인을 장악하고 트래픽을 리디렉션하며 민감한 정보를 탈취할 수 있었습니다. Squarespace는 사고 사후 분석에서 OAuth 관련 취약점을 원인으로 지목하고, 문제를 수정했으며 추가 침해는 없었다고 밝혔습니다. 업계 전반에 걸친 공조 대응 이후, samczsun은 MetaMask Security의 Taylor Monahan, AndrewMohawk 등과 함께 회고록을 발표했습니다.
사용자가 스스로를 보호하는 방법 사용자는 이중 인증(2FA)을 활성화하고 불필요한 기여자를 제거하여 Squarespace 계정을 강화해야 하며, 2FA용 하드웨어 토큰을 지원하는 도메인 등록 기관을 고려해 보시기 바랍니다.
인도 기반 암호화폐 거래소 및 트레이딩 플랫폼 WazirX가 다중 서명(멀티시그) 지갑 중 하나에 대한 사이버 공격을 받아 2억 3천만 달러 이상의 피해를 입었습니다. Liminal의 디지털 자산 수탁 서비스를 통해 관리되던 해당 지갑은 WazirX 측 3명과 Liminal 측 1명 등 여러 서명자가 필요했지만, 공격은 Liminal 인터페이스에 표시된 내용과 실제 트랜잭션 내용 간의 불일치를 악용했습니다. 페이로드를 교체하여 공격자에게 제어권을 이전한 것으로 추정됩니다. 이번 사건은 수탁형 솔루션이 자금 출금을 통제하는 반면, 셀프 커스터디 지갑에서는 오직 사용자만이 자금을 통제한다는 점을 다시 한번 상기시켜 줍니다. WazirX는 탈취된 자금을 식별, 추적, 회수하는 데 도움을 주는 이들에게 최대 2,300만 달러 상당의 바운티를 제공하고 있습니다.
2024년 6월, 미국 연방수사국(FBI)은 사기꾼들이 합법적인 고용주를 사칭하여 피해자를 가짜 취업 기회로 유인하는 암호화폐 취업 사기에 대한 공공 서비스 경고를 발표했습니다. 이달에는 이러한 취업 사기가 어떻게 작동하는지, 무엇을 주의해야 하는지에 대한 심층 분석을 후속으로 발표했습니다. 이러한 사기는 피해자를 설득하여 암호화폐 계좌를 개설하거나 자금을 이체하게 한 후 결국 돈을 탈취하는 방식으로 이루어집니다. FBI는 구직자들에게 원치 않는 취업 제안에 주의하고, 고용주의 합법성을 확인하며, 검증되지 않은 출처에 개인 또는 금융 정보를 공유하지 말 것을 권고합니다. 이러한 사기의 피해자는 FBI의 인터넷 범죄 신고 센터(IC3)에 사건을 신고하시기 바랍니다. 구직자를 표적으로 하는 사기 외에도, 기업들은 면접 과정에서의 공격과 내부자 위협에도 주의를 기울여야 합니다. 이는 북한 공작원들이 원격 IT 직원으로 위장하거나 가짜 취업 면접 악성코드로 Mac을 표적으로 삼는 시도에 대한 보고로 더욱 부각된 위험입니다.
MetaMask의 2024년 7월 암호화폐 보안 보고서에서는 HackerOne 버그 바운티 프로그램에 대한 호평, 2억 3천만 달러 이상의 피해를 낸 WazirX 멀티시그 익스플로잇, Squarespace 도메인 탈취 취약점, Ethereum.org 메일링 리스트 침해, 증가하는 암호화폐 취업 사기 등 일련의 위협을 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
