매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새로운 위협에 대해 보고합니다.
이번 달에는 저희 팀이 Wallet Guard와 함께 암호화폐 보안 현황을 주제로 한 State of Security Twitter Space에 참여했으며, Consensys의 Harry Denley가 스마트 컨트랙트 보안 모범 사례를 공유했습니다. Gal Weizman과 Zbigniew Tenerowicz는 LavaMoat의 "scuttling" 기능과 샌드박싱이 JavaScript 공급망 공격을 어떻게 방어하는지 분석했고, Herman Junge는 DeFi Security Summit을 앞두고 새로운 DeFi 인시던트 데이터베이스인 Menpo를 미리 소개했습니다. 또한 DeFiHackLabs부터 OWASP API Security Top 10까지 다양한 학습 자료도 정리했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Bruce Voeller(1934–1994)는 미국의 생물학자이자 성소수자 권리 활동가로, "AIDS"라는 용어를 처음 만든 인물로 널리 알려져 있습니다. 그는 Mariposa Education and Research Foundation을 설립하여 HIV 전파 경로와 예방 수단의 효과를 연구했습니다. 위험에 처한 사람들을 보호하기 위해 엄격한 근거 기반 연구를 고집했던 Voeller의 자세는, 탄탄한 보안 작업이 요구하는 기준과 같습니다. 가정을 검증하고, 데이터에 근거해 행동하는 것입니다.
저희 팀은 Taylor Monahan이 진행한 MetaMask x Wallet Guard Twitter Space에 Wallet Guard와 함께 참여하여 암호화폐 보안에 대해 심층적인 논의를 나눴습니다. 이 대화에서는 위협의 진화 양상, 오픈소스화의 중요성, Atomic Wallet 사건 등 다양한 주제가 다뤄졌습니다. 청취자들은 빠르게 변화하는 위협 환경 속에서 두 팀이 사용자 보호를 어떻게 생각하는지 솔직하고 내밀한 시각으로 엿볼 수 있었습니다.
Coffee With Calyptus에서 Consensys의 보안 전문가 Harry Denley는 스마트 컨트랙트 보안 모범 사례를 공유하고, MetaMask의 두 가지 프로젝트를 소개했습니다. 안전한 환경에서 MetaMask의 기능을 확장하는 MetaMask Snaps와, JavaScript 생태계 내에서 런타임 보호를 제공하는 LavaMoat입니다. Denley는 보안과 기능성 사이의 균형을 강조했습니다. 스마트 컨트랙트는 불변(immutable)이기 때문에 보안을 최우선으로 고려해야 하며, 추가되는 기능은 철저히 테스트해야 한다고 말했습니다. 또한 새로운 컨트랙트에 잠기는 자산 가치를 점진적으로 늘려가는 방식도 사용자를 보호하는 방법 중 하나라고 설명했습니다. 그가 권장하는 실천 사항으로는 안전한 설계 원칙, OpenZeppelin과 같은 신뢰할 수 있는 라이브러리 활용, 보안 중심의 개발자 마인드셋, 포괄적인 테스트, 전문적인 코드 리뷰, 그리고 새로운 위협에 대한 지속적인 교육이 포함됩니다.
2023년 7월 15일 파리에서 열리는 DeFi Security Summit에서 Herman Junge는 서밋의 공식 발표에 따라, STIX 2.1을 활용해 DeFi 인시던트 분류를 표준화하는 프로젝트 Menpo를 소개할 예정입니다. Menpo는 인시던트를 설명하기 위한 공통 어휘를 제공함으로써 조직 간 위협 인텔리전스 공유를 촉진하고, 보안 리소스의 효율적인 배분과 인시던트 발생 시 실시간 보고서 공유를 가능하게 합니다.
DevSecConf24 발표에서 Zbigniew Tenerowicz(ZB)는 낯선 사람의 코드를 실행할 것인가 말 것인가라는 까다로운 질문을 다뤘습니다. 그는 내재된 위험을 인정하면서도, 이것이 기술 업계에서 일상적으로 이루어지는 관행임을 인정했습니다. 그는 JavaScript 프로젝트의 영역을 탐구하며, 특히 공급망 공격으로부터 능동적으로 자신을 보호하는 방법을 살펴봤습니다. 이 능동적 방어는 다운로드한 의존성이 이미 악성 의존성을 포함한 채 배포된 상황을 가정하여 논의되었습니다. ZB는 각 패키지의 전역 변수 접근을 제한하고, 패키지의 네트워크 또는 파일 시스템 접근 권한을 제어하는 방법 등을 제안했습니다.
또한 그는 JavaScript 프로젝트의 흔한 취약점인 프로토타입 오염(prototype pollution) 제거라는 중요한 문제도 다뤘습니다. ZB는 TC39에서 현재 논의 중인 미래의 JavaScript 기능에도 주목하며, 이러한 새로운 기능들을 현재 프로젝트 보호에 어떻게 활용할 수 있는지 보여줬습니다. 보다 실질적인 이해를 돕기 위해 ZB는 실제 악성코드를 안전하게 실행하는 방법을 직접 시연하며, 논의된 방어 조치의 중요성과 효과를 강조했습니다.
Gal Weizman은 LavaMoat의 "scuttling"을 쉬운 말로 설명했습니다. 앱은 수많은 서드파티 코드에 의존하며, 그 중 어느 하나라도 악의적으로 변할 수 있습니다. LavaMoat는 SES를 사용해 각 의존성을 샌드박스 처리하여 필요한 것만 접근할 수 있도록 합니다. 하지만 하나가 탈출하여 강력한 API가 있는 전역 window 객체에 접근하게 된다면 문제가 됩니다. Scuttling은 window에서 해당 API를 제거하여, 탈출한 의존성이 막다른 길에 부딪히게 만듭니다. 앱은 정상적으로 작동하고, 공격자는 아무것도 얻지 못합니다.
DevSecConf24 발표 외에도, Zbyszek이 발표한 같은 주제의 영상이 2023년 7월 5일 Git Nation의 React Summit 2023에서 공개되었습니다. 모바일 측면에서는 React Native iOS 네이티브 애니메이션 코드에 대한 심층 분석(이전 조사 후속)을 통해, 부모 및 자식 노드에서 assertion 매크로 실패가 내비게이션 시 WebView 페이지 로드 실패로 이어지는 원인을 추적했습니다. 이는 궁극적으로 네이티브 JSC Promise를 위해 React Native의 전역 Promise 폴리필을 제외한 것과 연관되어 있으며, 현재 루트 뷰가 채워진 잠금 상태의 MetaMask 모바일을 부팅하는 데 필요한 조치입니다. 다음 단계로는 남은 Detox iOS 엔드투엔드 스모크 테스트를 수정하고, Appium을 통해 Android를 지원하는 것이 포함됩니다. 한편 Snow는 잠재적인 우회 방법을 추가로 수정하는 업데이트를 받았으며, ScorchWrap webpack 플러그인의 webpack 전용 부분이 안정화되어 LavaMoat 기능 통합을 시작할 수 있는 기반이 마련되었습니다.
NFT가 점점 더 대중화되고 있지만, 이에 대한 명확하고 이해하기 쉬운 정보는 여전히 부족한 실정이며, 이로 인해 NFT는 사기꾼과 해커의 빈번한 표적이 되고 있습니다. 이 보고서는 여러 학습 자료를 소개합니다. SunWeb3Sec/DeFiHackLabs는 Foundry를 사용해 DeFi 해킹 사건을 재현하며(현재까지 233건), 인시던트 근본 원인 분석과 일반적인 스마트 컨트랙트 취약점 학습을 위한 보조 저장소도 함께 제공합니다. QuillAudits가 관리하는 Quillhash/NFT-Attack-Vectors는 NFT를 악용하는 데 사용되는 일반적인 방법들을 정리합니다. 그리고 2023년 OWASP API Security Top 10은 올해 개발자들이 주의해야 할 API 위험 요소를 나열합니다.
MetaMask의 2023년 6월 암호화폐 보안 리포트에서는 MetaMask와 Wallet Guard의 첫 번째 State of Security Twitter Space, Coffee With Calyptus에서 Harry Denley가 공유한 스마트 컨트랙트 보안 모범 사례, 그리고 JavaScript 공급망 공격 방어를 위한 LavaMoat의 "scuttling" 기능에 대한 설명을 다뤘습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
