매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새로운 위협에 대해 보고합니다.
이번 달의 주요 소식: 연구원 Taylor Monahan과 Harry Denley가 약 1,000만 달러 규모의 멀티체인 해킹 사건 조사를 계속 이어갔습니다. 이 사건은 시크릿 복구 구문이 노출된 약 300명의 오랜 암호화폐 사용자의 자산을 탈취한 것으로 밝혀졌습니다. 또한 FTC는 암호화폐 기업을 사칭한 피싱 이메일에 대해 경고를 발령했으며, 유용한 지갑 탈취 조사 체크리스트도 널리 공유되었습니다. 엔지니어링 측면에서는 LavaMoat이 27개의 의존성 업데이트를 병합하고 ScorchWrap 플러그인, MetaMask Mobile 보안 강화, "scuttling" 기능을 발전시켰습니다. Endo는 CommonJS 오류 처리를 개선했으며, Zbigniew Tenerowicz의 "Eval all the Strings!" Hardened JavaScript 강연이 공개되었습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 먼저...
Ada Lovelace(1815–1852)는 영국의 수학자로, Charles Babbage가 제안한 해석 기관(Analytical Engine)에 관한 연구—베르누이 수를 계산하는 알고리즘 포함—를 통해 최초의 컴퓨터 프로그래머로 평가받고 있습니다. 그녀는 이러한 기계가 단순한 계산을 훨씬 뛰어넘는 일을 할 수 있다는 것도 예견했습니다. 정확하고 검증 가능한 논리에 대한 그녀의 초기 신념은 오늘날 신뢰할 수 있는 소프트웨어 보안이 여전히 의존하는 원칙과 동일합니다.
LavaMoat은 알려진 취약점 수정을 포함하여 패키지 전반에 걸쳐 27개의 개별 의존성 업데이트 풀 리퀘스트를 병합했으며, 업데이트된 의존성과 Node.js 18 호환성 수정이 포함된 마이너 릴리스를 출시했습니다. ScorchWrap webpack 플러그인 작업도 계속되었으며, 런타임을 번들 자체에 포함하는 방식에 대한 진전과 다른 플러그인과의 호환성에 관한 발견이 있었습니다. 또한 팀은 MetaMask Mobile에 대한 LavaMoat의 공급망 보호 작업을 계속 진행했습니다. 이를 통해 탈취된 의존성이 민감한 브라우저 API에 접근하지 못하도록 합니다. 이 과정에서 팀은 Chrome V8에서 디버깅 시 발생하는 미처리 예외(ethjs 등의 라이브러리에서 발생하는 TypeError)를 해결했습니다. 관련 작업으로 "scuttling" 기능도 발전했는데, 이는 패키지의 endowment 범위가 지나치게 넓어질 경우 전체 window에서 공통 전역 변수에 대한 접근을 비활성화하는 기능입니다.
Endo는 compartment-mapper의 CommonJS 누락 모듈 오류를 개선하여, 필요한 모듈을 찾을 수 없을 때 오류 메시지를 더 명확하게 표시하도록 했습니다.
MetaMask의 Zbigniew Tenerowicz(ZB)는 2023년 4월 베를린에서 열린 Node Congress에서 "Eval all the Strings!"라는 제목의 간결한 강연을 진행했습니다. 7분 남짓한 시간 동안 ZB는 TC39 제안인 Secure ECMAScript(SES)와 Compartments, 그리고 이를 실용적으로 활용할 수 있도록 개발 중인 도구에 대해 설명했습니다. 그의 말을 빌리자면, "SES + 도구(LavaMoat 또는 Endo)는 패키지별로 네트워크, fs, 핵심 모듈 또는 전역 변수에 대한 접근을 제한할 수 있게 해줍니다 … 저에게 이것은 npm 공급망 보안의 마지막 단계입니다. 패키지가 악의적인 행위자에게 탈취되더라도 저에게 피해를 줄 수 없습니다."
"이 강연은 TC39 제안인 SecureEcmaScript와 Compartments에 관한 것으로, 저는 이 제안들을 지지하는 분들과 함께 이 개념들을 실용적으로 사용할 수 있는 도구를 개발하고 있습니다. 이것은 JavaScript 보안의 미래에 대한 직접적인 이야기입니다. SES + 도구(LavaMoat 또는 Endo)는 패키지별로 네트워크, fs, 핵심 모듈 또는 전역 변수에 대한 접근을 제한할 수 있게 해줍니다. 이것이 어떻게 작동하는지, 어떤 가능성을 열어주는지, 그리고 약간의 노력으로 오늘 그 미래를 어떻게 실현할 수 있는지 보여드리고 싶습니다. 저에게 이것은 npm 공급망 보안의 마지막 단계입니다. 패키지가 악의적인 행위자에게 탈취되더라도 저에게 피해를 줄 수 없습니다."
The Defiant와의 인터뷰에서 MetaMask 보안 연구원 Taylor Monahan은 동료 Harry Denley와 함께 2023년 4월부터 조사해온 멀티체인 해킹 사건을 설명했습니다. 이 사건은 오랜 암호화폐 사용자들을 대상으로 한 대규모 공격으로, 안전하게 지내기 위한 팁과 "코드가 법이다" 및 "블록체인은 불변이다"라는 개념에 대한 논의도 함께 이루어졌습니다. 공격자들은 피해자의 지갑 내에서 탈취 중인 자산을 스왑한 후 탈중앙화 거래소(DEX)로 전송하는 특이한 방법을 사용했습니다. 시크릿 복구 구문이 노출된 약 300명의 개인 정보가 어떻게 침해되었는지는 아직 밝혀지지 않았으며, 일반적인 피싱 방법을 통한 공격이 아닌 것으로 추정됩니다. Monahan은 더 안전하게 지내기 위한 방법으로 하드웨어 지갑 사용과 여러 지갑에 자산 분산 보관을 권장했습니다.
지갑이 탈취되었을 때, 공격이 어떻게 발생했는지 파악하기 위해 보안 연구원이 될 필요는 없습니다. 트위터 사용자 Jon_HQ가 2023년 5월 5일에 공유한 상세한 체크리스트는 탈취 사건 조사 시 검토해야 할 단계들을 안내합니다. 나중에 참고할 수 있도록 북마크해 두시기 바랍니다.
연방거래위원회(FTC)의 소비자 경보는 암호화폐 관련 서비스에서 발송된 것처럼 보이는 메시지에 각별히 주의할 것을 대중에게 경고했습니다. FTC는 원치 않는 이메일을 받았을 때 메시지 내용에 관계없이 즉각적인 행동을 취하지 말 것을 권고했습니다. 거짓 긴박감을 조성하는 것은 비판적 사고를 무력화하기 위한 일반적인 사기 수법이기 때문입니다. 또한 원치 않는 이메일의 링크를 클릭하지 말고 보안 소프트웨어를 최신 상태로 유지할 것을 권장했습니다. MetaMask를 사칭한 피싱 이메일은 https://support.metamask.io/chat에서 신고하실 수 있습니다.
사기꾼들은 신뢰받는 암호화폐 브랜드를 자주 사칭합니다. 유사한 웹사이트, 이메일, 소셜 미디어 프로필을 만들어 사용자들이 계정 접근 권한을 넘기도록 속이는 것입니다. 여러분의 안전을 위해 지원 지식 베이스에서 진짜 MetaMask를 식별하는 방법과 올바른 지원 채널을 이용하는 방법을 확인하실 수 있습니다.
MetaMask의 2023년 5월 암호화폐 보안 보고서는 Taylor Monahan의 오랜 암호화폐 사용자를 대상으로 한 1,000만 달러 규모의 멀티체인 해킹 사건 조사 진행 상황, 암호화폐 기업을 사칭한 피싱 이메일에 대한 FTC 경보, 그리고 Zbigniew Tenerowicz의 Hardened JavaScript 강연 "Eval all the Strings!"를 다루었습니다. 생태계 전반에서 안전하게 지내기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
