매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 떠오르는 위협에 대해 보고합니다.
2024년 6월, Consensys는 MetaMask의 사기 및 드레이너 탐지 기능을 강화하기 위해 Wallet Guard를 인수했으며, MetaMask는 더 높은 투명성과 제어권을 위해 개인정보 처리방침을 업데이트했고, LavaMoat는 새로운 웹사이트를 출시했습니다. Security Alliance는 화이트햇 연구자를 위한 법적 방어 기금도 개설했습니다. 위협 측면에서는 북한 연계 APT 그룹과 관련된 취업 사기가 계속해서 암호화폐 종사자들을 표적으로 삼았고, 한 사용자가 서명 피싱으로 1,100만 달러를 잃었으며, CoinGecko 이메일 벤더 침해로 수만 건의 피싱 이메일이 발송되었고, 악성 Aggr Chrome 확장 프로그램이 거래소 쿠키를 탈취해 100만 달러 이상을 훔쳤습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Ben Barres(1954–2017)는 미국의 신경생물학자로, 신경계에서 신경교 세포가 뉴런과 상호작용하는 방식을 밝혀내는 데 결정적인 역할을 한 연구자입니다. 그의 연구는 오랫동안 주목받지 못했던 뇌의 '지원' 세포들이 실제로 뇌의 작동과 방어에 필수적임을 보여주었습니다. 그는 또한 미국 국립과학원에 선출된 최초의 공개적인 트랜스젠더 과학자이자 과학계의 형평성을 위한 적극적인 옹호자였습니다. 그의 연구는 조용히 보호 역할을 수행하는 시스템이 종종 가장 중요하다는 사실을 일깨워줍니다.
개인정보 보호와 보안은 서로 밀접하게 연결되어 있으며, MetaMask는 사용자의 개인정보를 매우 중요하게 여깁니다. 이번 달, 정보에 입각한 동의 정신에 따라 MetaMask는 업데이트된 방침을 공개하여 사용자들에게 안전을 지키기 위한 조치를 알리고, 개인 데이터에 대한 더 높은 투명성과 제어권을 제공합니다. 공지사항과 전체 고지문을 읽어보시고, 개인정보 보호 및 보안 리소스도 확인해 보세요.
MetaMask는 일부 서비스 제공에 필요한 경우(MetaMask 설정에 따라) MetaMask 사용자에게 최상의 경험을 제공하기 위해 IP 주소를 일시적으로만 처리할 수 있습니다. 여기에는 예를 들어 DDoS 공격 방지가 포함됩니다.
개인 키를 수집하지 않습니다.
개인정보를 판매하지 않습니다.
서비스 제공 및 우수한 사용자 경험에 필요한 경우가 아니라면 개인정보를 수집하거나 보유하지 않습니다.
금융 결제 또는 은행 정보를 수집하지 않습니다. 단, 온램프 또는 오프램프 기능을 사용하는 경우 해당 서비스에서 제3자 제공업체에 이 정보를 제출해야 할 수 있습니다.
MetaMask와 함께하게 된 훌륭한 Wallet Guard 팀의 합류를 진심으로 환영합니다. 이번 합류는 사용자에게 가능한 한 가장 안전한 경험을 제공하려는 우리의 목표를 한층 더 발전시킵니다. 공지에서 밝혔듯이, 이번 통합은 "트랜잭션 검증 및 클라이언트 측 휴리스틱을 통해 사기 및 드레이너 탐지를 개선함으로써 MetaMask의 보안을 강화하여, 개인정보 보호와 자기 주권을 유지하면서 악성 탈중앙화 앱 및 사기에 대한 우수한 실시간 보호 기능을 사용자에게 제공할 것입니다."
LavaMoat에 관한 모든 정보는 이제 lavamoat.github.io에서 확인할 수 있으며, 오픈소스 툴셋이 공급망 공격으로부터 JavaScript 프로젝트를 보호하는 방법에 대한 소개 영상도 포함되어 있습니다. MetaMask의 Zbigniew Tenerowicz는 전년도 여름 DEFCON에서 진행했던 방어적 코딩 워크숍을 Confidence 및 X33FCON 컨퍼런스에서도 선보이며 LavaMoat를 알리는 데 힘썼습니다.
MetaMask와 Wallet Guard의 State of Security 시리즈 최신 편에서는 Ryan Jones와 Gal Weizman이 Ohm, Michael과 함께 트랜잭션 시뮬레이션, 상호운용성, MetaMask Web, 그리고 공급망 공격 방어를 위한 LavaMoat 활용법을 논의했으며, 암호화폐 환경에서 안전하게 지내기 위한 일반적인 팁도 다루었습니다.
미국 FBI는 PSA를 발표하여 재택근무 구직자들에게 주의를 촉구했습니다. 암호화폐 및 블록체인 관련 직종이 구체적으로 언급되지는 않았지만, MetaMask의 위협 인텔리전스 및 사용자 안전 팀은 이 커뮤니티가 특히 표적이 되고 있다고 밝혔습니다. 원치 않는 취업 제안은 각별히 의심하고, 신뢰할 수 없는 메시지의 링크를 클릭하거나 첨부 파일을 열지 마세요. 또한 "업무의 일환으로 고용주에게 암호화폐 결제를 하도록 지시받는 경우" 절대 응하지 마세요. 이러한 사기의 상당수는 종종 국가의 지원을 받는 지능형 지속 위협(APT) 그룹과 연관되어 있습니다. 한 채용 담당자인 zak은 "최근 인터뷰한 개발자 거의 모두가 북한 사람이었을 가능성이 높다"고 단도직입적으로 말했습니다. 암호화폐 관련 기업들도 지원자 면접 시 각별히 주의해야 합니다. 이 역시 인기 있는 공격 벡터가 되었기 때문입니다. 검증된 일관된 신원 정보를 포함한 철저한 면접을 진행하고, 지원자가 카메라를 켜도록 요구하세요.
윤리적인 화이트햇 해커는 우리 업계의 핵심입니다. 이들은 악의적인 행위자가 취약점을 악용하기 전에 이를 발견하고 책임감 있게 공개합니다. 그러나 Security Alliance(SEAL)가 최근 설명했듯이, Web2의 역사는 "이 중요한 활동이 때로는 상당한 법적 위험과 그에 따른 비용으로 이어질 수 있으며, 특히 연구 및 공개가 환영받지 못하거나 오해를 받을 때 그러하다"는 것을 보여줍니다. 이에 SEAL은 Security Research Legal Defense Fund와 함께 Whitehat Safe Harbor Agreement를 사용하는 자격 있는 연구자들에게 법적 지원을 제공하는 이니셔티브를 출시했습니다.
무슨 일이 있었나
2024년 6월 22일, 한 사용자가 여러 건의 permit 피싱 서명에 서명하여 1,100만 달러 상당의 토큰을 잃었습니다. 이후 피해자가 MakerDAO 거버넌스 대리인이었다는 사실이 밝혀졌습니다. SEAL 연구자 Pcaversaccio는 서명 피싱이 업계에서 가장 큰 문제라고 주장하며, 사용자들이 경고를 무시하고 서명의 결과를 고려하지 않는다고 말했습니다. MetaMask의 Taylor Monahan은 2021년 이후 승인 피싱 사기로 인한 총 피해액이 6억 달러 이상으로 추산된다고 밝혔습니다.
사용자가 스스로를 보호하는 방법
사용자는 세 가지 핵심 단계를 따라 스스로를 보호할 수 있습니다.
일상적으로 사용하는 지갑의 자산을 제한하세요. 악성 서명에 서명하더라도 피해를 최소화할 수 있습니다.
서명 요청이 발생한 도메인을 확인하고, 원래 프로젝트의 도메인과 일치하는지 검증하세요. 빠른 방법은 프로젝트의 공식 소셜 미디어나 블로그 페이지로 이동하여 해당 프로필의 도메인이 요청과 일치하는지 확인하는 것입니다.
요청의 토큰 및 주소 내용을 검증하세요. 요청에는 종종 전송하려 하지 않은 토큰이 포함됩니다. 지출자 주소 및/또는 트랜잭션 주소가 의도한 주소와 다를 수 있습니다.
이러한 간단한 확인 절차가 의도치 않은 자금 손실을 방지하는 데 도움이 됩니다.
무슨 일이 있었나
암호화폐 데이터 집계 서비스인 CoinGecko는 2024년 6월 5일 제3자 이메일 마케팅 플랫폼 GetResponse의 계정 침해를 통해 데이터 유출 피해를 입었습니다. 공격자는 약 200만 건의 연락처에 접근하여 다른 클라이언트의 계정에서 23,723건의 피싱 이메일을 발송했으며, 사용자의 이름, 이메일, IP 주소, 위치 정보가 노출되었습니다. 다만 CoinGecko 사용자 계정과 비밀번호는 안전하게 유지되었습니다.
사용자가 스스로를 보호하는 방법
에어드롭이나 토큰 수령에 관한 이메일은 각별히 주의하고, 원치 않는 이메일의 링크를 클릭하거나 첨부 파일을 다운로드하지 마세요. 암호화폐 프로젝트는 협력하는 제3자 벤더가 사용하는 보안 통제에 대해 철저히 감시할 책임이 있습니다.
무슨 일이 있었나
처음에 거래 데이터 집계 도구로 마케팅된 Aggr는 악성으로 판명된 Chrome 확장 프로그램입니다. 2024년 6월 초, Binance 사용자가 100만 달러 손실을 신고했으며, SlowMist는 이를 Aggr 플러그인으로 추적했습니다. SlowMist는 Aggr가 트레이더의 쿠키, 특히 암호화폐 거래소와 연결된 쿠키를 탈취했으며, 공격자들이 이를 이용해 중앙화 거래소(CEX) 포털에 접근하여 피해자의 계정을 장악했다는 사실을 밝혀냈습니다.
사용자가 스스로를 보호하는 방법
교훈: 브라우저 확장 프로그램을 포함한 설치하는 모든 소프트웨어에 주의를 기울이고 개발자를 조사하세요. 실적이 없는 익명 계정보다는 검증된 신뢰할 수 있는 개발자를 선택하고, 신뢰하기 전에 앱의 이력을 검토하세요.
MetaMask의 2024년 6월 암호화폐 보안 보고서는 Consensys의 Wallet Guard 인수, MetaMask의 업데이트된 개인정보 처리방침, 그리고 1,100만 달러 규모의 서명 피싱 손실, CoinGecko 이메일 벤더 침해, 100만 달러 이상을 탈취한 악성 Aggr Chrome 확장 프로그램을 포함한 일련의 위협을 다루었습니다. 생태계 전반에서 안전하게 지내기 위한 더 많은 위협, 트렌드 및 팁은 MetaMask 암호화폐 보안 보고서의 이전 호를 참고하세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
