매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2023년 3월, Endo와 LavaMoat 팀은 보안 번들링 방식을 재정비했습니다. webpack-transform 실험을 중단하고 webpack loader 방식으로 전환했으며, 글로벌 scuttling을 하위 realm으로 확장하고 MetaMask 모바일 앱의 React Native 지원을 재개했습니다. MetaMask는 또한 EthDenver 시즌 강연 두 편을 공유했습니다. 공동 창업자 Dan Finlay의 Delegatable 관련 강연과 보안 연구원 Gal Weizman의 JavaScript realm 및 Snow에 관한 강연이었습니다. 이달의 가장 중요한 교훈은 에어드롭에 대한 경계를 늦추지 말아야 한다는 것이었습니다. Arbitrum 클레임을 둘러싼 사기가 급증하면서 약 2,400개의 지갑이 사전에 탈취되었고, 사기꾼들은 가짜 MetaMask 에어드롭 스냅샷을 이용해 사용자들을 피싱 사이트로 유도했으며, 유사 사기가 Polkadot, Shiba Inu, 그리고 가짜 OpenAI 토큰을 대상으로도 발생했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Faith Lillibridge는 1954년 컬럼비아 대학교 Watson 과학 컴퓨팅 연구소 5층에 있는 NORC(Naval Ordnance Research Calculator) 콘솔 앞에서 촬영되었습니다. IBM이 미 해군을 위해 제작한 NORC는 1954년 헌정 당시 세계에서 가장 강력한 컴퓨터였습니다. 이처럼 초기 기계를 운영했던 오퍼레이터들은 방 하나를 가득 채우는 하드웨어를 신뢰할 수 있고 반복 가능한 연산으로 전환시켰으며, 이러한 엄격하고 세밀한 작업 방식은 오늘날에도 신뢰할 수 있는 시스템의 근간을 이루고 있습니다.
Endo가 원본 import/export 구문을 손상시키지 않으면서 webpack transform에 연결하려는 시도는, webpack을 해체하여 번들러 구축을 위한 프레임워크로 활용하지 않는 한 성공하지 못했습니다. Endo는 해당 작업을 중단하고 더 간단한 해결책을 모색하기로 결정했으며, LavaMoat 오픈소스 툴킷에서 새로운 방법을 실험하기 시작했습니다. 별도로, 최신 Endo compartment-mapper 업데이트에는 exitModuleImportHook이 추가되었습니다. 이를 통해 사전에 구성된 목록 없이도 exit 모듈을 동적으로 가져올 수 있게 되었으며, 이는 compartment-mapper가 lavamoat-node의 백엔드 역할을 수행하는 데 필요한 마지막 주요 기능입니다. Endo SES 화이트리스트도 endojs/endo #1511에서 React Native Android JSC를 위한 소규모 업데이트를 받았으며, 오랫동안 미해결 상태였던 issue #660(최근에는 LavaMoat/docs #16에서 추적됨)이 종결되었고, React Native JSC build scripts issue #181에서 추가 검토가 이루어지고 있습니다.
LavaMoat는 webpack loader를 사용하여 compartmentalization을 구현하고 이후 런타임을 추가하는 방식으로 보안 번들링에 대한 대안적 접근법을 탐색하기 시작했습니다. loader 위의 레이어는 변경되지 않으므로 tree-shaking 등 대부분의 기능은 계속 작동합니다. 주요 위험은 커스텀 플러그인이 예기치 않은 방식으로 코드를 변경할 수 있다는 점입니다. scuttling 보안 기능은 이제 실험적인 "scuttleGlobalThis" 옵션을 Snow와 함께 구성하여 동일 출처의 모든 잠재적 하위 realm(예: iframe)에 적용할 수 있습니다(진행 상황 보기). LavaMoat Browserify 예제에 대한 소규모 업데이트가 LavaMoat/LavaMoat #476에 반영되었습니다.
React Native 지원이 재개되었습니다. Endo SES lockdown 통합부터 다시 시작하여 기존 RN v0.66.5에서 현재 RN v0.71.4를 대상으로 하며, MetaMask 모바일 앱 통합이 진행 중입니다. 진행 상황은 LavaMoat React Native epic에서 확인할 수 있습니다.
Dan Finlay은 2023년 EthDenver에 처음 참가하여 Delegatable에 관한 강연을 진행하며, 위임(delegation)이 어떻게 탈중앙화 애플리케이션 개발을 더 안전하고 쉽게 만들 수 있는지에 대한 비전을 공유했습니다. 그는 이렇게 말했습니다. "에어드롭을 클레임한 후 자금을 모두 빼앗기는 사람들이 많습니다… Delegatable을 사용하면 컨트랙트에서 할 수 있는 모든 것을 다른 계정에 위임할 수 있습니다. 개방형 caveat 시스템을 갖추고 있어 원하는 방식으로 공유하는 권한을 제한할 수 있습니다. 이를 통해 핫 월렛이 온체인에서 특정 작업은 수행할 수 있도록 허용하면서도 그 기능을 제한함으로써 더 안전하게 유지할 수 있습니다."
Gal Weizman은 의존성과 관련된 공급망 공격의 증가하는 위험성과 Snow JS가 어떻게 이러한 취약점을 보완할 수 있는지에 대한 강연을 진행했습니다. 강연 주제에는 웹의 발전, 보안과 가시성의 중요성, 서드파티 솔루션, JavaScript realm, 그리고 Snow JS가 포함되었습니다.
2023년 3월, 에어드롭을 둘러싼 의심스러운 활동이 급격히 증가했습니다. 전달에 MetaMask는 러그풀 및 에어드롭 사기의 위험성에 대한 개요를 게시하며, "공짜 돈" 제안이 악의적인 행위자들이 자주 사용하는 미끼라는 점을 사용자들에게 상기시켰습니다. 이는 사기꾼들이 소셜 미디어에서 MetaMask가 3월 31일에 스냅샷을 찍거나 에어드롭을 진행할 것이라는 가짜 주장을 퍼뜨리면서 현실로 나타났습니다. 이는 존재하지 않는 토큰을 클레임하려는 사용자들의 자금을 탈취하는 피싱 사이트로 유도하기 위한 미끼였습니다. MetaMask는 2023년 3월 29일 해당 사기를 공개적으로 알리고 커뮤니티에 경고를 발령했으며, 이 가짜 주장이 "사실이 아닐 뿐만 아니라 … 위험하다"고 강조했습니다. 사용자 자산을 노리는 사기꾼과 피셔들에게 기회를 제공하기 때문입니다. Polkadot, Shiba Inu, 그리고 가짜 OpenAI DeFi (GPT-4) 토큰을 사칭한 유사 에어드롭 사기들도 이달 내내 동일한 수법을 사용했습니다.
Arbitrum 에어드롭 며칠 전인 2023년 3월 20일, Arkham은 한 해커가 이전 12시간 동안 주소 0x59d4...fb19에서 약 2,400개의 탈취된 것으로 추정되는 지갑에 자금을 전송했으며, 해당 지갑들이 클레임을 앞두고 ARB 토큰을 승인했다고 보고했습니다. 이후 CoinDesk는 "Arbitrum Shows Just How Messy (and Tricky) Crypto Airdrops Can Be"라는 기사를 통해 암호화폐 에어드롭에서 얼마나 많은 문제가 발생할 수 있는지를 다루었습니다.
MetaMask 보안 연구원 Taylor Monahan(@tayvano_)은 2023년 3월 24일 Web3 제품에 Cloudflare를 사용하는 팀들에게 즉각적인 조치를 촉구했습니다. 모든 계정의 Global API Key를 교체하고, Global API Key가 이미 교체되지 않은 경우 Cloudflare에 추가된 계정을 모두 제거할 것을 권고했습니다. 레거시 Global API Key는 전체 계정 접근 권한을 가지고 있어 노출 시 특히 위험합니다.
Trading Uncle(@thetradingunc)은 2023년 3월 14일 발생한 소셜 엔지니어링 시도를 기록했습니다. 한 계정이 대상자의 콘텐츠를 칭찬하는 다이렉트 메시지를 보내며 다른 패널리스트들과 함께 메타버스 "컨퍼런스"에서 발표해 달라고 초대했는데, 이는 사기를 시도하기 전에 대상자의 경계심을 낮추기 위해 설계된 수법이었습니다.
MetaMask의 2023년 3월 암호화폐 보안 리포트는 에어드롭 사기의 급증(가짜 MetaMask 스냅샷을 이용한 피싱 포함), Arbitrum 에어드롭을 앞두고 약 2,400개의 지갑이 피해를 입은 사건, 그리고 Web3 팀을 위한 Cloudflare Global API 키 경고를 다루었습니다. 생태계 전반의 더 많은 위협, 트렌드, 그리고 안전을 위한 팁을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
