매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2022년 9월, Endo 프로젝트는 내부적으로 "quadruple backflip"이라는 별명이 붙은 대규모 SES shim 리팩터링을 완료했으며, LavaMoat는 문서 업데이트와 새로운 LavaMoat-node 사용 모드를 출시했습니다. 한편 Consensys는 사용자들이 피싱으로 인해 자금을 잃는 이유를 분석한 연구를 발표했습니다. 또한 CircleCI를 사칭한 캠페인이 GitHub 자격 증명을 탈취하고 TOTP 코드를 실시간으로 중계하여 이중 인증을 우회했으며, Twitter의 알고리즘은 #EthereumMerge 해시태그가 트렌딩되는 동안 인증된 사기 계정을 노출시켰습니다. 이는 36개의 탈취된 인증 계정을 이용해 Vitalik Buterin과 Ethereum Foundation을 사칭한 캠페인의 일환이었습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Kevin Mitnick(1963–2023)은 가장 효과적인 공격 벡터가 코드가 아닌 인간의 심리임을 증명했습니다. 수십 개의 대형 기업에 침투한 혐의로 FBI 수배자 명단에 오른 적 있는 그는 이후 Fortune 500대 기업과 정부의 신뢰받는 보안 컨설턴트로 활동했으며, 보안 인식 교육 기업 KnowBe4에서 최고 해킹 책임자(Chief Hacking Officer)를 역임했습니다. 소셜 엔지니어링을 공식적인 학문 분야로 확립한 그의 업적은 이 보고서에서 다루는 피싱 캠페인에 대한 업계의 방어 방식을 직접적으로 형성했습니다.
Consensys는 사용자들이 피싱으로 인해 자금을 잃는 방식과 이유를 분석한 연구를 발표했습니다. 이 연구는 70건의 고객 지원 티켓을 검토하고, 비밀 복구 구문과 피싱에 대한 이해 및 경험을 다루는 표준화된 질문 가이드를 바탕으로 자금을 잃은 사용자 7명과 인터뷰를 진행했습니다. 주요 발견 사항: 사용자들은 web3 주체의 신뢰도를 평가할 때 인증 배지, 팔로워 수, 프로필 이미지 등 web2 신뢰 신호를 적용하지만, 이러한 신호는 거래가 되돌릴 수 없는 자기 수탁 지갑 환경에서 실제 신뢰도와 일치하지 않습니다.
2022년 9월 16일, GitHub 보안팀은 사용자 자격 증명과 이중 인증 코드를 탈취하기 위해 CircleCI를 사칭한 피싱 캠페인을 식별했습니다. 피싱 이메일은 사용자의 CircleCI 세션이 만료되었거나 업데이트된 이용 약관에 동의해야 한다고 주장하며, circle-ci[.]com 및 emails-circleci[.]com을 포함한 유사 도메인으로 유도했습니다. 피싱 사이트는 TOTP 코드를 공격자와 GitHub에 실시간으로 중계하여 시간 기반 이중 인증을 우회했습니다. GitHub 자체는 침해되지 않았지만, 이 캠페인은 여러 피해 조직에 영향을 미쳤습니다. 이 사건은 TOTP 기반 2FA가 실시간 중계 공격에 취약하다는 점을 부각시키며, 하드웨어 보안 키(FIDO2/WebAuthn)가 가장 강력한 방어 수단임을 상기시켜 줍니다.
2022년 9월 14일, 2022년 9월 15일 전환을 앞두고 Twitter에서 #EthereumMerge 해시태그가 트렌딩되는 동안, 플랫폼 알고리즘이 정상적인 Merge 관련 콘텐츠와 함께 홍보된 사기 계정을 노출시켰습니다. 더 광범위한 캠페인에는 Vitalik Buterin과 Ethereum Foundation을 사칭하는 데 사용된 최소 36개의 탈취된 인증 Twitter 계정이 동원되었으며, 수익 두 배를 약속하며 ETH 입금을 요청하는 피싱 사이트로 피해자를 유도하는 가짜 "50,000 ETH 증정" 이벤트를 홍보했습니다.
Endo 프로젝트는 내부적으로 "quadruple backflip"이라 불리는 SES shim 평가기의 대규모 리팩터링을 다층 스코프 스택으로 제출했습니다. 이 변경은 스코프 프록시가 누출될 수 있는 문제를 해결하고, 전역 스코프 처리의 개별 관심사를 독립적인 레이어로 분리합니다. 부가적인 이점으로, 리팩터링이 완료되면 LavaMoat가 수정되지 않은 SES shim을 그대로 사용할 수 있어 shim에 대한 LavaMoat 전용 패치가 불필요해집니다.
MetaMask의 LavaMoat 프로젝트는 전체 툴링에 걸쳐 문서 업데이트를 출시했습니다. 새로운 lavamoat-node 기능에는 node_modules/.bin에서 명령을 실행하기 위한 편의 헬퍼와 프로그래밍 방식의 사용 API가 포함되어, 개발자들이 LavaMoat의 공급망 보호 기능을 기존 빌드 파이프라인에 더 쉽게 통합할 수 있게 되었습니다.
MetaMask의 2022년 9월 암호화폐 보안 보고서는 실시간 TOTP 중계를 통해 GitHub 이중 인증을 우회한 CircleCI 사칭 캠페인과 Ethereum Merge 트렌딩 이벤트 중 Twitter 알고리즘이 인증된 사기 계정을 노출시킨 사건을 다뤘습니다. 에코시스템 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드 및 팁을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
