매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새로운 위험에 대해 보고합니다.
2022년 6월에는 Endo와 LavaMoat 프로젝트가 빌드 파이프라인 강화를 위해 import.meta, require.resolve, Yarn 3 지원을 출시했으며, MetaMask의 버그 바운티 프로그램이 HackerOne에서 공식 운영을 시작했습니다. 지표 측면에서는 컴퓨터 인시던트 대응팀이 2022년 상반기 동안 38건의 티켓을 처리했으며 평균 수리 시간은 40.39일이었고, MetaMask는 암호화 관련 우려로 인해 eth_decrypt 및 eth_getEncryptionPublicKey API 메서드를 더 이상 사용하지 않기로 했습니다. 이달의 주요 공개 사항으로는 Halborn이 암호화되지 않은 드라이브에 비밀 복구 구문이 평문으로 캐시될 수 있는 디스크 암호화 취약점인 "Demonic"(CVE-2022-32969)을 발견해 $50,000를 받았으며, United Global Whitehat Security Team은 Extension의 심각한 클릭재킹 취약점으로 $120,000의 바운티를 수령했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Whitfield Diffie는 Martin Hellman, Ralph Merkle과 함께 1976년 11월 "New Directions in Cryptography"를 발표하여, 사전에 공유된 비밀 없이도 안전한 통신을 가능하게 하는 Diffie-Hellman 키 교환 프로토콜을 소개했습니다. 이 프로토콜은 TLS, SSH, 그리고 자기 수탁 지갑 사용자들이 매일 의존하는 암호화 채널의 기반이 됩니다. Diffie는 2015년 ACM 튜링상을 수상했으며 2011년 미국 발명가 명예의 전당에 헌액되었습니다.
MetaMask는 United Global Whitehat Security Team(UGWST)이 MetaMask Extension의 심각한 클릭재킹 취약점을 책임감 있게 공개한 것에 대해 $120,000의 바운티를 지급했습니다. 이 공격은 악성 웹사이트 위에 보이지 않는 iframe으로 Extension UI를 렌더링하여, 사용자가 인지하지 못한 채 트랜잭션을 승인하고 개인 데이터를 노출하도록 유도했습니다. 패치 전에 실제 악용 사례는 확인되지 않았습니다. MetaMask Extension 버전 10.14.6 이상을 사용하는 사용자는 보호됩니다.
Halborn의 보안 연구원들이 CVE-2022-32969, 코드명 "Demonic"을 공개했습니다. 이는 가져오기 과정에서 입력된 비밀 복구 구문이 브라우저의 세션 복원 메커니즘에 의해 평문으로 디스크에 캐시될 수 있는 취약점입니다. 이 위험은 세 가지 조건이 충족될 때 적용되었습니다: 하드 드라이브가 암호화되지 않은 경우, 손상되거나 신뢰할 수 없는 기기에서 비밀 복구 구문을 가져온 경우, 그리고 가져오기 중 "비밀 복구 구문 표시" 체크박스를 활성화한 경우입니다. MetaMask는 Extension 버전 10.11.3 이상에서 완화 조치를 구현했습니다. MetaMask Mobile은 영향을 받지 않았습니다. Halborn은 이 발견으로 $50,000를 수령했습니다.
MetaMask 컴퓨터 인시던트 대응팀(CIRT)은 2022년 상반기 동안 38건의 티켓을 처리했습니다. 외부 보고자가 제출한 건수가 대다수를 차지했으며, 이는 감사 및 내부 출처의 합산 건수의 두 배 이상이었습니다. 담당자별로는 Extension 팀이 가장 많은 비중을 처리했으며, 그 다음으로 보안 중심(크로스 제품) 이슈와 Mobile 순이었습니다. 38건 중 13건에 CVSS 점수가 부여되었습니다: 심각(Critical) 1건 — 클릭재킹 바운티 취약점 — 중간(Medium) 9건, 낮음(Low) 3건. 보고자 제출 티켓이 건당 28.53일로 가장 빠르게 해결되었습니다. 전체 평균 수리 시간은 40.39일이었습니다.
MetaMask는 eth_decrypt 및 eth_getEncryptionPublicKey API 메서드를 더 이상 사용하지 않기로 했습니다. EIP-1024(현재 폐기됨)에 따라 구축된 두 메서드는 서명과 암호화에 서로 다른 타원 곡선에 걸쳐 동일한 개인 키를 재사용하는 방식으로, 이는 추가적인 공격 벡터를 열어줍니다. 알려진 악용 사례는 없지만, 이 설계는 계속 사용하기에 충분히 안전하지 않다고 판단되었습니다. 서드파티 통합자들이 마이그레이션할 시간을 갖도록 해당 메서드는 계속 작동합니다.
Endo 프로젝트는 Compartments를 위한 import.meta 지원을 병합했으며, 이미 변환된 export 정의 내부에서도 import.meta 노드가 방문되고 변환되도록 static-module-record의 Babel 플러그인을 조정했습니다. 후속 PR로 compartment-mapper에 import.meta.url 지원 추가 (endojs/endo #1202)를 통해 compartment-mapper의 importLocation 기능에 import.meta.url 지원이 추가되었습니다(Archives에서는 사용 불가). 별도로, CommonJS 구현에 require.resolve 함수가 추가되었으며, 기본적으로 오류를 발생시키지만 ReadPowers를 통해 커스텀 구현을 허용합니다. 이러한 변경으로 계획된 CJS 지원 로드맵이 완료되었습니다.
LavaMoat는 allow-scripts를 위한 Yarn 3 지원을 출시하여, 보호된 프로젝트의 새로운 체크아웃 시 yarn 설정을 처리하는 플러그인을 추가했습니다. 두 번째 업데이트에서는 policy-overrides.json에 명시적 false 값을 도입하여, 프로젝트가 특정 endowment를 거부하고 정책 병합 중 객체 필드의 과도한 노출을 방지할 수 있게 했습니다.
MetaMask는 2022년 6월 HackerOne에서 버그 바운티 프로그램을 출시했으며, MetaMask Extension GitHub 저장소와 MetaMask Mobile GitHub 저장소를 대상으로 합니다.
MetaMask의 2022년 6월 암호화폐 보안 보고서는 UGWST에 지급된 $120,000 클릭재킹 바운티, 브라우저 지갑에 영향을 미치는 Halborn의 "Demonic" 디스크 암호화 취약점 공개, 그리고 암호화 우려로 인한 MetaMask의 eth_decrypt 및 eth_getEncryptionPublicKey 사용 중단을 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드 및 팁을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
