매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2024년 5월, MetaMask는 Smart Transactions를 출시하여 99.9%의 트랜잭션 성공률, MEV 보호, 사전 시뮬레이션, 개선된 네트워크 수수료 설정을 제공했습니다. 또한 Secret Recovery Phrase 보호를 위한 새로운 사용자 가이드와 HAPI와 함께한 Snaps 보안 논의도 공유했습니다. 이달에는 약 20,000명의 피해자로부터 수천만 달러를 탈취한 Pink Drainer의 운영 종료도 있었습니다. 한편, Lazarus Group의 "Contagious Interview" 캠페인은 가짜 채용 공고를 통해 블록체인 개발자들을 표적으로 삼았습니다. 그리고 주소 오염 공격도 계속 증가하여 한 피해자는 6,800만 달러를 잃었습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Gerald "Jerry" Lawson (1940–2011)은 미국의 전자 엔지니어로, 교체 가능한 ROM 카트리지를 사용한 최초의 가정용 비디오 게임 콘솔인 Fairchild Channel F 개발팀을 이끌어 "비디오 게임 카트리지의 아버지"라는 칭호를 얻었습니다. 초기 실리콘 밸리에서 극소수의 흑인 엔지니어 중 한 명이었던 Lawson은 사용자가 새로운 기능을 안전하게 교체할 수 있는 모듈식 시스템을 구축했으며, 이 설계 철학은 오늘날 현대 소프트웨어가 확장되고 격리되는 방식에도 그 흔적이 남아 있습니다.
트랜잭션 비효율성은 단순히 보안 문제에 그치지 않고 사용자에게 금전적 손실을 초래할 수도 있습니다. 이달 MetaMask는 Smart Transactions를 공개했으며, 이를 통해 99.9%의 트랜잭션 성공률, 최대 추출 가능 가치(MEV) 보호, 트랜잭션 사전 시뮬레이션, 개선된 네트워크 수수료 설정을 제공할 수 있게 되었습니다. 제품 총괄 디렉터 Gal Eldar가 설명했듯이, 지갑은 "이러한 사용자 불편 사항을 직접 해결할 수 있는 독보적인 위치에 있으며, 여러 면에서 그에 대한 책임도 있습니다." Smart Transactions는 모든 사용자를 위해 트랜잭션 제출을 더 안전하고, 더 쉽고, 더 효율적이며, 더 신뢰할 수 있게 만들겠다는 MetaMask의 의지를 반영합니다.
지속적인 사용자 교육의 일환으로, MetaMask는 초보자들이 흔히 저지르는 값비싼 실수를 피할 수 있도록 돕기 위해 Secret Recovery Phrase, 비밀번호, Private Key에 관한 지원 문서를 게시했습니다. 암호화폐를 처음 시작하는 분들과 공유하기 좋은 자료이며, support.metamask.io의 다른 자료들도 함께 참고하시기 바랍니다.
MetaMask Snaps는 지갑 기능을 확장하는 맞춤형의 검증된 서드파티 애드온입니다. MetaMask의 Christian Montoya가 HAPI와 함께 X Space를 공동 진행하며 Snaps가 어떻게 사용자 보안을 강화하는 혁신을 가능하게 하는지 설명했습니다. 그가 설명했듯이, 보안은 다면적이며 사용자의 web3 여정에서 각기 다른 보호가 필요한 여러 단계가 있습니다. 하드웨어 지갑은 유용하지만, "악성 탈중앙화 앱과 상호작용하면 하드웨어 지갑을 사용하더라도 자산을 탈취당할 수 있습니다. 따라서 MetaMask는 다양한 영역에서 보안 제공업체를 도입하는 데 집중하고 있습니다." 보안 중심 Snaps의 출시가 계속되고 있습니다.
MetaMask의 Taylor Monahan이 암호화폐 지갑을 탈취하고 오랜 사용자들로부터 약 1,000만 달러 상당의 이더를 빼낸 미스터리 해킹을 조사하고 있습니다. The Defiant과의 인터뷰에서 그녀는 해킹이 처음 시작된 시점과 현재까지의 경과에 대한 세부 사항을 공유하며, 추가 조사를 통해 근본 원인에 대한 자신의 견해는 변했지만 사실 관계는 변하지 않았다고 언급했습니다. 이 사건은 이전 달에도 보고한 바 있는 악명 높은 LastPass 침해 사고와 연관된 또 다른 공격입니다. 해커는 조직적인 그룹의 일원으로 추정되며, 최소 300명의 피해자의 시드 구문을 탈취했고, 이 모두가 LastPass를 통해 저장되었을 가능성이 높습니다. 기억하세요: Secret Recovery Phrase는 오프라인으로, 본인만 접근할 수 있는 안전한 장소에 보관해야 합니다. 그녀는 2023년 9월 Krebs on Security의 관련 보고서도 링크했습니다.
악명 높은 암호화폐 지갑 탈취 도구인 Pink Drainer가 정교한 피싱을 통해 약 20,000명의 피해자로부터 7,500만 달러 이상을 탈취한 후 운영 종료를 발표했습니다. "우리는 목표를 달성했고, 이제 계획대로 은퇴할 때가 되었습니다."라고 밝혔습니다. (Scam Sniffer는 ZachXBT를 인용하여 단 1년 만에 약 20,000명의 피해자로부터 7,500만 달러 이상을 탈취했다고 전했습니다.) Pink Drainer 스스로도 인정했듯이, "사람들은 우리에게 왔던 것만큼 빠르게 다른 탈취 도구로 이동할 것이기 때문에" 이들의 은퇴가 큰 영향을 미치지는 않을 것입니다. 사기꾼들이 갑자기 양심을 찾은 걸까요? 아니면 다른 이유가 있는 걸까요? 저희의 촉은 후자를 가리킵니다… 그리고 여전히 많은 탈취 도구들이 활동 중인 만큼, 기존의 조언은 여전히 유효합니다. 상당한 자금은 하드웨어 지갑에 보관하고, 일상적으로 사용하는 지갑에는 최소한의 자산만 보유하며, 위험 수준에 따라 다른 계정을 사용하세요.
무슨 일이 있었나
2007년부터 활동해온 지능형 지속 위협(APT) 그룹으로, 2014년 소니 픽처스 공격으로 악명을 떨친 Lazarus Group은 금융 기관과 가상화폐 관련 기업을 점점 더 많이 표적으로 삼고 있습니다. 보안 연구원들은 LinkedIn, Upwork, Braintrust 등의 플랫폼에 게시된 채용 공고를 통해 블록체인 개발자들을 노리는 악성 JavaScript가 담긴 ZIP 파일을 이용한 일련의 공격을 발견했습니다. Lazarus의 "Contagious Interview" 캠페인과 일치하는 이 공격들은 지원자들을 속여 암호화폐 관련 정보를 탈취하고 악성코드를 심는 악성 코드를 실행하게 만듭니다.
사용자가 스스로를 보호하는 방법
Lazarus와 같은 그룹이 실행하는 피싱 및 악성코드 공격으로부터 보호하려면, 독립적인 조사를 통해 예상치 못한 채용 제안의 진위를 확인하고 철저한 디지털 보안 습관을 유지하는 것이 중요합니다. 여기에는 최신 바이러스 백신 및 악성코드 방지 소프트웨어 사용, 추가 보안 계층을 위한 다중 인증(MFA) 활성화, 출처를 알 수 없는 이메일 첨부 파일 및 링크에 대한 주의가 포함됩니다. 또한 악용 가능한 취약점으로부터 보호하기 위해 모든 소프트웨어를 최신 상태로 유지하는 것이 필수적입니다. 이러한 방법을 실천함으로써 개인은 정교한 사이버 위협에 대한 방어력을 크게 강화하고 민감한 정보를 보호할 수 있습니다.
무슨 일이 있었나
주소 오염은 공격자가 피해자의 트랜잭션 기록을 조작하여 잘못된 주소로 자금을 보내도록 속이는 기만적인 수법으로, 최근 한 피해자가 이로 인해 6,800만 달러를 잃었습니다. 이 사기 수법은 가짜 토큰을 생성하고, 대상 주소와 매우 유사한 '배니티' 주소를 사용하며, ERC-20 토큰 표준의 "transferFrom()" 함수를 악용하는 방식으로 이루어집니다. 공격자들은 이러한 전략을 통해 제로 값 토큰 전송과 스푸핑된 토큰 전송을 실행하여 사기 주소를 정상적인 것처럼 보이게 만듭니다. 이러한 공격은 사용자가 트랜잭션에 잘못된 주소를 복사하도록 혼란을 주어 금전적 손실을 초래하도록 설계되어 있습니다. 이러한 방법의 정교함은 블록체인 공간에서 사이버 위협이 계속 진화하고 있음을 보여줍니다.
사용자가 스스로를 보호하는 방법
주소 오염으로부터 보호하기 위해 사용자는 트랜잭션 기록에서 직접 주소를 복사하는 것을 피하고, 대신 신뢰할 수 있는 출처에서 복사해야 합니다. 주소에 도메인 이름을 사용하면 식별이 더 쉬워질 수 있지만, 도메인 이름 스푸핑에 주의해야 합니다. 지갑 서비스에서 제공하는 주소록 기능을 활용하거나 Etherscan과 같은 플랫폼에서 개인 이름 태그를 추가하여 신뢰할 수 있는 주소를 화이트리스트에 등록하면 스푸핑된 주소를 쉽게 식별하고 피하는 데 도움이 됩니다.
MetaMask의 2024년 5월 암호화폐 보안 보고서는 MetaMask Smart Transactions 출시, 약 20,000명의 피해자로부터 수천만 달러를 탈취한 후 운영을 종료한 Pink Drainer, 그리고 한 피해자에게 6,800만 달러의 손실을 입힌 주소 오염 공격의 증가를 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
