매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격 및 새로운 위협에 대해 보고합니다.
2023년 9월, MetaMask는 지갑에 무허가(permissionless) 맞춤형 보안을 제공하는 Snaps 오픈 베타를 출시했습니다. 또한 Ledger와 협력하여 제작한 자기 수탁(self-custody) 교육 자료를 공유하고, Wallet Guard와 함께 State of Security 스페이스를 개최했습니다. 툴링 측면에서는 LavaMoat가 릴리스 속도를 높이고 Node 20 지원을 추가했으며, ScorchWrap의 베타 출시를 준비했습니다. 그리고 MetaMask의 Gal Weizman과 Zbigniew Tenerowicz가 W3C의 Secure the Web Forward에서 강화된 JavaScript와 브라우저 realm에 대해 발표했습니다. 위협 측면에서는 Taylor Monahan이 LastPass에 저장된 Secret Recovery Phrase와 약 3,500만 달러 규모의 도난 사건을 연결했으며, Pink Drainer 그룹의 SIM 스와핑 공격으로 Vitalik Buterin의 계정이 침해된 경위를 상세히 설명했습니다. 전체 내용은 아래에 있습니다. 그 전에 먼저...
Luis von Ahn은 과테말라 출신의 컴퓨터 과학자로, 인간과 봇을 구별하고 자동화된 악용으로부터 웹 서비스를 보호하는 챌린지-응답 테스트인 CAPTCHA와 reCAPTCHA를 공동 발명했으며, 인간 컴퓨테이션(human computation) 개념을 선구적으로 제시했습니다. 이후 Duolingo를 공동 창립했습니다. 그의 연구는 일상적인 웹 보안의 근본적인 층에 자리하고 있습니다. 바로 저렴하고 대규모로 상대방이 실제 사람임을 증명하는 것입니다.
MetaMask는 2023년 9월 12일 Snaps 오픈 베타를 출시하여 사용자 선호도와 필요에 따라 지갑 내 맞춤형 보안 옵션을 확장했습니다. Snaps는 서드파티 개발자가 구축한 기능으로, 사용자가 지갑에 직접 설치할 수 있습니다(metamask.com/snaps). 이번 오픈 베타는 파워 유저와 얼리 어답터를 대상으로 한 시작점입니다. 보안에 초점을 맞춘 여러 Snaps가 이미 감사를 완료한 Snaps 디렉토리에서 제공되고 있습니다. 공식 디렉토리에 등록된 모든 Snap은 MetaMask 팀과 외부 감사자의 검토 및 검증을 거칩니다. 관련 스레드에서 MetaMask Snaps의 Christian Montoya는 MetaMask 보안 최적화를 위한 기본 팁을 공유하고, 사용자를 위험한 트랜잭션으로부터 보호하는 데 도움이 되는 베타 Snaps를 소개했습니다.
MetaMask는 Ledger와 협력하여 자기 수탁에 따른 책임, 일반적인 공격 벡터를 피하는 방법, 하드웨어 지갑 사용의 중요성을 다루는 Web3 보안 교육 자료를 공개했습니다. 이 자료를 알리기 위해 MetaMask 수석 보안 연구원 Miles Nolan이 MetaMask 및 Ledger 동료들과 함께 2023년 9월 20일 라이브 X 스페이스를 공동 진행했습니다.
MetaMask와 Wallet Guard는 보안 현황을 주제로 공동 X 스페이스를 개최했습니다. Wallet Guard의 Ohm, Martin, Michael과 Marco Menozzi(MetaMask 보안), Christian Montoya(MetaMask Snaps)가 함께 기기 보안, 소셜 엔지니어링, 데이터 침해, SIM 스와핑, 사기 광고, MetaMask Snaps에 대해 논의했습니다. Wallet Guard는 녹음 내용의 서면 요약본도 공유했습니다.
HackerOne은 2023년 9월 27일 Ambassador World Cup 준결승을 시작했으며, 4개 팀이 MetaMask, Shopify, Tinder 등 파트너사의 제품 보안 강화 및 고객 보호를 위한 버그 헌팅에 참여했습니다.
지난 3년간 DNS 하이재킹과 악성 콘텐츠 삽입을 통해 1억 2,500만 달러 이상이 탈취되었습니다. MetaMask는 Yearn 팀이 만든 솔루션을 도입하고 있습니다. 바로 DNS 하이재킹 발생 시 악의적인 행위자가 사용자에게 피해를 입히는 것을 방지하는 블록체인 calldata 허용 목록입니다. MetaMask 개발자 관계 팀은 이 이니셔티브에 참여가 필수적인 서드파티에 연락을 취하고 있으며, 자세한 내용은 공개 문서에서 확인할 수 있습니다. 해당 문서에는 개념 증명(PoC) 저장소와 Miles Nolan이 출연한 짧은 설명 영상도 링크되어 있습니다.
릴리스 프로세스 개선으로 배포가 간편해져 높은 릴리스 주기가 이제 표준이 되었습니다. 테스트 구조 변경으로 Node 20에서도 테스트가 통과되며, 이제 공식적으로 지원됩니다. ScorchWrap 플러그인은 베타 준비가 완료되었으며 두 개의 원격 개발자 이벤트에서 발표될 예정이고, 베타 프로그램은 LavaMoat 토론에서 진행됩니다. MetaMask 모바일의 Lockdown 기능이 이제 작동하며 곧 출시될 예정입니다.
W3C의 "Secure the Web Forward" 이벤트에서 Zbigniew Tenerowicz는 선제적 방어를 위한 공급망 보안에 강화된 JavaScript 적용에 대해 발표했으며, Gal Weizman은 JavaScript realm이 기존 웹 앱 보안 도구를 우회하는 데 사용되는 방식에 대해 발표했습니다. Snow JS 프로젝트를 유지 관리하는 Weizman은 "동일 출처 우려"에 관한 관련 논문에서 앱이 자체 출처 하에 발생하는 새로운 realm을 제어하지 못하는 문제, 현재의 해결 노력이 부족한 이유, 그리고 브라우저 네이티브 솔루션이 안전하고 성능 좋은 수정 방안을 제공할 수 있는 방법을 설명했습니다. 이 논문은 이번 달 W3C 보안 워킹 그룹에 발표되었습니다.
약 3,500만 달러에 달하는 고액 도난 사건이 거의 1년 전 LastPass가 공개한 침해 사고와 연관되어 있을 수 있습니다. MetaMask의 Taylor Monahan은 2022년 12월부터 단서를 추적해 왔으며, 피해자들이 "모두 합리적으로 보안을 유지하고 있었고" "이 생태계에 깊이 통합되어 있었다"고 밝혔습니다. 여기에는 신뢰할 수 있는 암호화폐 기관 직원, 벤처 캐피털리스트, DeFi 프로토콜을 구축하고 컨트랙트를 배포하며 풀 노드를 운영하는 사람들이 포함됩니다. 그녀가 발견한 공통점은 피해자들이 어느 시점에 LastPass를 사용해 Secret Recovery Phrase를 저장했다는 것이며, 그녀의 조언은 명확했습니다. 모든 자산을 단일 키나 구문 하나에 수년간 보관하지 말고, 자산을 분산하고, 하드웨어 지갑을 구입하고, 지금 당장 마이그레이션하라는 것입니다. 더 자세한 내용은 Krebs on Security에서 확인할 수 있습니다.
ERC-7512 제안은 스마트 컨트랙트 감사를 온체인에서 표현하는 것을 목표로 합니다. 사용자와 앱이 신뢰할 수 있는 감사자가 수행한 감사를 검증할 수 있게 함으로써, 이 표준은 감사자를 위한 온체인 평판 시스템을 구축하고 스마트 컨트랙트에 대한 신뢰 환경을 조성하는 데 기여할 것입니다.
Rekt의 "Gone Phishing"은 침해된 프론트엔드, 피그 버처링(pig butchering), 8자리 온체인 실수, 공인 및 정부 기관 계정 해킹 등 일련의 사기 사건을 정리했습니다. 여기에는 Vitalik Buterin을 대상으로 한 고프로파일 SIM 스와핑 드레이너 공격도 포함됩니다. 이 공격의 배후 그룹에 대한 자세한 내용은 Boring Security가 2023년 9월 10일 Buterin의 계정이 침해된 후 Pink Drainer의 수법을 문서화한 내용에서 확인할 수 있습니다.
MetaMask의 2023년 9월 암호화폐 보안 보고서는 MetaMask Snaps 오픈 베타 출시, Taylor Monahan이 LastPass에 저장된 Secret Recovery Phrase와 연결한 약 3,500만 달러 규모의 도난 사건, 그리고 Vitalik Buterin의 계정을 침해한 Pink Drainer SIM 스와핑 공격을 다루었습니다. 생태계 전반의 위협, 트렌드, 안전 유지 팁을 더 알아보려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
