매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위협에 대해 보고합니다.
2023년 10월, MetaMask와 Blockaid는 사용자가 서명하기 전에 악성 트랜잭션을 감지하는 개인정보 보호 보안 알림을 출시했으며, LavaMoat webpack 플러그인이 오픈 베타에 진입했습니다. 위협 측면에서는 Fantom Foundation이 총 700만 달러 규모의 해킹 중 55만 달러를 개인 키 유출로 잃었고, 위협 행위자들이 EtherHiding이라 불리는 기법을 통해 BNB Chain에 정보 탈취 악성코드를 숨기기 시작했으며, Galxe는 DNS 하이재킹 공격으로 40만 달러 이상이 유출된 후 사용자들에게 110%를 보상했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Luigi Galvani(1737–1798)는 이탈리아의 의사이자 물리학자로, 그가 '동물 전기'라고 명명한 현상을 발견했습니다. 그는 전기 자극이 죽은 개구리의 다리를 움직이게 할 수 있음을 보여주며 생체전기 연구의 토대를 마련했습니다. 그의 실험은 Mary Shelley의 『프랑켄슈타인』에 영감을 준 것으로 유명하며, 이는 이번 핼러윈 에디션에 더없이 어울리는 사례이자, 강력한 능력에는 신중한 통제가 필요하다는 변함없는 교훈을 상기시켜 줍니다.
MetaMask는 암호화폐 보안 제공업체 Blockaid와 협력하여 악성 트랜잭션이 실행되기 전에 이를 차단하고 사용자를 사기, 피싱, 해킹으로부터 보호하는 새로운 개인정보 보호 보안 알림을 출시했습니다. 양사는 사용자가 제3자와 데이터를 공유하지 않고도 트랜잭션을 시뮬레이션할 수 있는 개인정보 보호 모듈을 구축했습니다. 이전 추세를 바탕으로, 모든 MetaMask 사용자에게 알림이 제공되면 수십억 달러 규모의 자산 도난을 방지할 수 있을 것으로 기대됩니다.
LavaMoat는 webpack 플러그인(npm i @lavamoat/webpack)의 초기 버전을 출시했습니다. 이 플러그인은 코드를 격리된 컴파트먼트로 감싸고 기본 정책을 준수할 수 있으며, 개발자들이 자신의 프로젝트와의 호환성을 테스트할 수 있도록 준비되었습니다. 팀은 개발자들이 직접 사용해보고 호환성 문제를 보고해 줄 것을 권장하고 있으며, 오픈 베타 기간이 LavaMoat 통합에 대한 무료 직접 지원을 받을 수 있는 유일한 기회입니다. 피드백 및 지원은 LavaMoat 토론 스레드에서 확인하실 수 있습니다. 모든 LavaMoat 패키지에 걸쳐 새로운 주요 릴리스도 배포되었으며, 한 가지 중요한 변경 사항이 있습니다: Node.js v14에 대한 지원이 종료되었습니다.
MetaMask와 CryptoForensic은 돼지 도살 사기 피해자를 지원하기 위해 수사관, 거래소, 암호화폐 제품 개발자를 위한 가이드를 공유했습니다. 기여자로는 MetaMask 보안팀 및 신뢰·안전팀과 CryptoForensic 소속 수사관들이 포함되어 있습니다. 돼지 도살 사기(sha zhu pan)는 점점 증가하고 있습니다. 악의적인 행위자들이 수개월에 걸쳐 온라인 관계(주로 연애 관계, 때로는 우정 관계)를 쌓기 때문에, 피해자는 자신이 신뢰했던 사람이 자신을 속였다는 사실을 깨닫지 못하는 경우가 많습니다. 이 가이드는 사용자가 피해를 입었음을 나타내는 징후, 물어봐야 할 질문, 그리고 추가 피해를 최소화하도록 안내하는 방법을 다루고 있습니다.
webpack 플러그인 베타 및 Node.js v14 변경 사항 외에도, LavaMoat는 타입 정의를 지속적으로 개선하고 다양한 행사에 참여했습니다. webpack 플러그인은 React Advanced 온라인에서 발표되었으며, 팀은 바르샤바에서 열린 The Hack Summit에도 참가했습니다. 모바일 측면에서는 MetaMask가 macOS 13.5.2+ 도입 및 MetaMask Mobile을 Xcode 15와 React Native 0.71.14로 업그레이드(현재 병합 완료)하여 빌드를 강화했으며, 업데이트의 일환으로 업스트림 보안 수정 사항을 적용했습니다. 잠금 기능은 iOS(JSC)에서 최종 테스트 중이며, 이후 Android(Hermes)에서도 진행될 예정입니다.
2023년 10월 17일, 개인 키 유출로 인해 Fantom Foundation의 일부 지갑이 탈취되었습니다. Fantom은 처음에 텔레그램 채널을 통해 피해가 Chrome 제로데이 취약점으로 인한 것이라고 주장했지만 근거를 제시하지 못했습니다. 트랜잭션에 대한 온체인 분석 결과, 여러 지갑이 동일한 날짜와 시간에 탈취되었다는 점에서 개인 키 유출 가능성이 높은 것으로 나타났습니다. 각 키 보유자에 대한 동시 피싱 공격은 가능성이 낮기 때문입니다. Fantom은 이후 총 700만 달러 중 55만 달러만이 Fantom Foundation 소유였다고 공개했으나, 공격 경위에 대한 자세한 설명은 하지 않았습니다. CryptoSlate의 보도에 따르면, 직원 지갑만 피해를 입었기 때문에 사용자 자금은 영향을 받지 않았습니다.
이번 공격을 계기로 MetaMask Security의 Taylor Monahan은 지갑 보안을 위한 핵심 안전 수칙을 다시 한번 강조했습니다:
철저한 운영 보안을 실천하세요: 다중 인증(MFA)과 하드웨어 지갑을 사용하고, 무작위 다운로드를 피하세요.
여러 지갑에 자산을 분산하고, 오래되거나 재사용된 키는 교체하세요.
일상적인 브라우징에 사용하는 기기에서는 고액 트랜잭션에 절대 서명하지 마세요.
정보 탈취 캠페인을 벌이는 위협 행위자들이 BNB Chain에 악성 페이로드를 저장하기 시작했으며, 이 기법은 Guardio Labs에 의해 EtherHiding으로 명명되었습니다. 정보 탈취 악성코드는 은행 정보, 로그인 자격 증명, 신용카드 데이터를 조용히 훔치도록 설계되어 있습니다. 공격자들은 기존 웹2 호스팅 방식이 호스팅 서비스에 의해 계속 차단되자 악성 콘텐츠 저장을 위해 웹3 기술로 전환하고 있으며, 같은 목적으로 IPFS를 활용하기도 했습니다. 이 캠페인이 암호화폐 사용자를 특정 대상으로 삼지는 않지만, 기본적인 방어 수칙은 동일하게 적용됩니다: 브라우저와 컴퓨터를 최신 상태로 유지하고, 광고 차단기를 사용하며, 신뢰할 수 없는 개인이나 조직의 파일은 다운로드하지 마세요.
Galxe는 DNS 하이재킹 공격으로 자금을 잃은 사용자들에게 보상을 지급했습니다. Galxe의 도메인 등록 업체인 Dynadot이 공식 Galxe 팀원을 사칭한 공격자에게 도메인 접근 권한을 부여했고, 공격자는 Galxe의 프론트엔드를 피싱 사이트로 전환하여 1,120명의 사용자에게 피해를 입혔습니다. MetaMask는 신속하게 대응하여 Galxe를 피싱 사이트로 임시 표시했습니다. 피해 사용자들은 2023년 10월 20일에 손실 금액의 110%를 보상받았으며, 아직 보상을 받지 못한 사용자는 Galxe 고객 지원에 문의할 수 있습니다. 이번 사건은 신뢰할 수 있는 앱을 사용할 때도 경계를 늦추지 말아야 한다는 점을 상기시켜 줍니다. 프로토콜 공지 알림을 켜두고, 지갑을 최신 상태로 유지하며, MetaMask 보안 기능(PPOM/Blockaid)을 활성화해 두세요. DNS 하이재킹 완화 방법을 알고 싶은 개발자는 MetaMask의 DNS 하이재킹 완화 제안서를 검토하고 여기에서 피드백을 공유해 주세요.
MetaMask와 Wallet Guard가 공동 주최하는 다음 보안 현황 X Space는 2023년 11월 29일 오후 12시(PST)에 예정되어 있으며, 최신 위협, 보안 모범 사례 및 새로운 릴리스를 다룰 예정입니다.
MetaMask의 2023년 10월 암호화폐 보안 리포트는 MetaMask와 Blockaid의 개인정보 보호 보안 알림 출시, 개인 키 유출로 추적된 700만 달러 규모의 Fantom Foundation 해킹, 그리고 DNS 하이재킹 공격 이후 Galxe의 110% 사용자 보상을 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 에디션을 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
