매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2023년 11월에는 온라인과 오프라인에서 고액 피해 사건과 공격이 잇따랐습니다. Tether는 전 세계적인 피그 버처링(pig butchering) 사기를 벌인 인신매매 조직과 연루된 2억 2,500만 USDT를 동결했으며, Justin Sun의 Poloniex는 개인 키 탈취로 의심되는 사건으로 1억 3,000만 달러 이상을 잃었습니다. 몬테네그로에서는 암호화폐 임원들이 납치되어 약 1,250만 달러 상당의 지갑을 강제로 비워야 했습니다. MetaMask Security의 Taylor Monahan은 ZachXBT와 협력하여 LastPass 침해 사고와 연관된 암호화폐 피해를 조사했습니다. MetaMask의 LavaMoat 도구는 webpack 플러그인에 SES 잠금(lockdown)을 자동으로 추가하는 업데이트를 출시했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
사티엔드라 나트 보스(Satyendra Nath Bose)(1894–1974)는 인도의 물리학자로, 1924년 연구를 통해 보스-아인슈타인 통계의 토대를 마련했으며, 알베르트 아인슈타인과 함께 보스-아인슈타인 응집체 이론을 정립했습니다. 보손(boson)이라 불리는 입자 계열은 그의 이름에서 유래했습니다. 그의 업적은 치밀하게 정립된 기초 이론이 원래의 시대를 훨씬 넘어선 기술과 아이디어를 조용히 뒷받침할 수 있음을 보여줍니다.
지난 3년간 DNS 하이재킹과 악성 콘텐츠 삽입을 통해 1억 2,500만 달러 이상이 탈취되었습니다. MetaMask는 이러한 위협에 사후적·사전적으로 대응하기 위해 Yearn을 통한 블록체인 호출 데이터 허용 목록 솔루션을 도입하고 있습니다. 개발자 여러분은 제안서 및 피드백 양식을 검토하고 의견을 공유해 주세요.
MetaMask는 사용자들에게 설정 > 실험적 기능으로 이동하여 Blockaid 기반 보안 알림을 활성화하고, 트랜잭션 확인 전 검증 기능을 켤 것을 안내했습니다. MetaMask가 언급한 바와 같이, Transaction Insights Snaps는 Blockaid 알림을 보완하여 지갑에 추가적인 보호 계층을 더해줍니다.
(편집자 주: Blockaid 기반 보안 알림은 현재 MetaMask에 기본 탑재되어 있습니다.)
MetaMask Security의 Taylor Monahan은 ZachXBT와 협력하여 LastPass 침해 사고와 연관된 암호화폐 피해를 조사했습니다. 연구 결과에 따르면, 위협 행위자들은 탈취한 패스워드 볼트를 해독하여 저장된 지갑 패스프레이즈, 자격 증명, 개인 키에 접근하는 것으로 추정됩니다. 이는 침해 사고가 처음 발생한 이후 Monahan이 추적해온 패턴의 연장선입니다.
MetaMask의 Ian Wallis는 이스탄불에서 열린 Zuzalu의 ZuConnect 행사에서 Web3 애플리케이션 구축 및 사용 시 발생하는 보안 트레이드오프를 다룬 "Web3의 보안 고려사항" 슬라이드 자료를 발표했습니다.
LavaMoat는 @lavamoat/webpack 업데이트를 출시하며 편의성을 개선했습니다. 이제 빌드 결과물(dist)에 SES 잠금이 자동으로 추가되며, html-webpack-plugin과 연동하여 기본 HTML 템플릿에 이를 삽입하는 옵트인 헬퍼도 제공됩니다. 피드백 및 지원은 LavaMoat 토론 스레드에서 확인하실 수 있습니다. 팀은 NodeConfEU에서 방어적 코딩 및 LavaMoat 입문 워크숍을 직접 진행하며 투어를 이어갔으며, React Advanced 녹화 영상도 현재 공개되어 있습니다.
OKX, Tether, Chainalysis, ZachXBT, 미국 법무부가 협력하여 전 세계적인 피그 버처링 사기를 주도한 인신매매 조직과 연결된 2억 2,500만 USDT를 동결했습니다. 이는 Tether 역사상 최대 규모의 토큰 동결로, 합법적인 사용자들의 지갑은 동결 해제를 위해 협력할 계획입니다. 피그 버처링 및 로맨스 사기를 피하려면: 너무 좋아 보이는 제안은 의심하고, 돈을 교환하거나 송금하자고 요청하는 낯선 사람의 갑작스러운 연락(직접 만난 적 없는 온라인 관계 포함)에 주의하며, 무언가 이상하다고 느껴지면 언제든지 MetaMask 고객지원에 문의하세요. FTC에서도 로맨스 사기 식별 방법에 대한 안내를 제공하고 있습니다.
Justin Sun의 중앙화 거래소 Poloniex는 2023년 11월 초 개인 키 탈취로 의심되는 사건으로 1억 3,000만 달러 이상을 잃었으며, 이는 올해 최대 규모의 해킹 중 하나입니다. Poloniex 팀은 공격자를 특정했다고 밝히며, 자금 반환 시 1,000만 달러의 현상금을 제시했고, 그렇지 않을 경우 법 집행 기관의 조치가 취해질 것이라고 경고했습니다. Poloniex는 피해 사용자들에게 자금을 복구해줄 것이라고도 발표했습니다. 이번 공격이 다시 한번 강조하듯, 자산을 중앙화 거래소에 보관하면 개인 키를 직접 관리하거나 보호할 수 없습니다. 플랫폼이 키를 보유하기 때문에, 플랫폼이 침해되면 그 피해가 고스란히 여러분의 손실로 이어집니다. 그래서 자신의 자금을 직접 관리할 때는 안전한 자기 수탁(self-custodial) 보관이 중요합니다. 자기 수탁 지갑을 사용하면 오직 본인만이 키를 보유하므로, 거래소 침해 사고로 키가 유출될 위험이 없습니다. 실제로는 거래소에서 당장 필요하지 않은 토큰을 출금하고, 규모가 크거나 위험도가 높은 자산은 콜드 월렛에, 소액의 일상적인 자산은 MetaMask와 같은 소프트웨어 지갑에 보관하는 것이 좋습니다. 그리고 이번 사건이 다시 한번 증명한 격언을 기억하세요. "키가 없으면, 코인도 없다(not your keys, not your coins)."
2023년 11월 11일, Binance의 CZ는 한 고객사 임원들이 "출장"을 빌미로 몬테네그로로 유인된 후 납치되어 지갑을 강제로 비워야 했으며, 약 1,250만 달러의 피해를 입었다고 밝혔습니다. Binance는 탈취된 자금을 온체인으로 추적하고 파트너들과 협력하여 자금이 이동된 지갑을 동결했습니다.
몇 가지 습관을 들이면 공격 대상이 되기 어렵습니다. 암호화폐 보유 현황은 꼭 알아야 하는 사람에게만 공개하세요. 노출될수록 위협 대상이 될 가능성이 높아집니다. 사용 목적에 맞게 보관 방식을 분산하세요. 일상적인 활동에는 MetaMask 자기 수탁 지갑과 지원되는 하드웨어 지갑을 함께 사용하고, 대규모 자산에는 신원과 연결되지 않은 멀티시그(multisig) 또는 페이퍼 월렛을 고려하세요. 멀티시그 키 보유자들 간에는 지리적 거리와 철저한 운영 보안을 유지하고, 여행 시에는 필요 이상의 자금에 접근할 수 있는 기기를 지참하지 마세요.
MetaMask의 2023년 11월 암호화폐 보안 리포트에서는 피그 버처링 조직과 연루된 2억 2,500만 USDT 동결, 1억 3,000만 달러 이상의 피해를 낸 Poloniex 해킹 및 1,000만 달러 현상금, 그리고 몬테네그로에서 임원들이 납치되어 약 1,250만 달러 상당의 지갑을 강제로 비워야 했던 사건을 다루었습니다. 생태계 전반의 더 많은 위협, 트렌드, 안전 수칙을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
