암호화폐 보안 보고서: 2025년 8월

매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위협에 대해 보고합니다.

2025년 8월에도 공통된 흐름이 이어졌습니다. 신중하고 경험 많은 보안 전문가조차 사기의 피해자가 될 수 있다는 것입니다. 10년간 완벽한 운영 보안을 유지해온 핵심 이더리움 개발자가 단 하나의 타이포스쿼팅 AI 코딩 확장 프로그램으로 인해 지갑을 잃었습니다. AI가 생성한 악성 코드가 npm에 몰래 업로드되어 삭제되기 전까지 1,500회 이상 다운로드되었습니다. 그리고 LastPass 침해 사건은 이번 달에도 Toptal GitHub 조직 해킹을 통해 다시 고개를 들었습니다. 위협은 점점 더 사용자가 기본적으로 신뢰하는 개발자 도구와 공급망 안에 숨어들고 있습니다. 바로 그렇기 때문에 MetaMask는 이러한 위협을 차단하기 위해 설계된 새로운 LavaMoat 도구, Kipuka를 출시했습니다. 자세한 내용은 아래에서 확인하세요. 하지만 그 전에...

이달의 STEM 선구자: Alonzo Church와 람다 대수의 발전

수학자 Alonzo Church는 컴퓨터 과학의 근본적인 토대가 되는 람다 대수를 개발했습니다. 그는 자신의 제자 Alan Turing과 함께 어떤 문제가 계산 가능한지를 정의하는 Church-Turing 명제를 제시했습니다. 시스템이 할 수 있는 것과 할 수 없는 것을 엄밀하게 추론하기 위한 형식적 토대를 구축하는 것, 이는 증명 가능하고 검증 가능한 보안의 근본 정신과 같습니다.

MetaMask, 새로운 LavaMoat 툴킷 Kipuka 출시

Kipuka는 개발자를 유해한 npm 패키지로부터 보호하기 위해 설계된 MetaMask의 새로운 LavaMoat 보안 툴킷입니다. 구체적으로는, 악성 npm 패키지가 설치되거나 개발 중에 사용될 때 개발자의 로컬 머신을 손상시키거나 침해하려는 공격의 성공 가능성을 낮추는 것을 목표로 합니다. 스틸러 악성 코드와 npm 패키지 내에 배포되는 데스크톱 타겟 웜의 증가에 대응하여, Kipuka는 공격이 설치 스크립트에만 국한되지 않더라도 효과를 발휘하지 못하도록 만드는 것을 목표로 합니다.

개발 환경을 컨테이너나 가상 머신(VM)에서 실행하는 것은 새로운 개념이 아닙니다. Kipuka가 특별한 이유는, 설치 후 npm cli(또는 다른 패키지 매니저)에 대한 호출을 별도의 보안 환경 설정이나 시작 없이도 투명하게 컨테이너 내에서 실행해 준다는 점입니다.

Kipuka의 얼리 액세스를 신청하고, 베타 출시 전에 다양한 워크플로우 및 구성과의 호환성을 테스트해 보세요.

LavaMoat Webpack Plugin, 호환성 업데이트 적용

MetaMask의 LavaMoat Webpack Plugin도 2025년 8월에 업데이트를 받아 Webpack 기능, 브라우저 기능 및 생태계와의 호환성이 향상되었습니다. 이 플러그인은 이제 베타를 졸업했습니다. 지금 바로 Web UI 프로젝트에 도입하고, 최신 LavaMoat 릴리스를 통해 최신 소식을 확인하세요.

Google이 앱 스토어에서 비수탁형 지갑을 금지한다는 루머는 사실이 아닙니다

8월 중순, 크립토 트위터(CT)에서 Google이 곧 앱 스토어에서 비수탁형 지갑을 금지할 것이라는 루머가 퍼지기 시작했습니다. 사실이 아니며, Google 자체적으로도 이를 부인했습니다. 요약하자면: MetaMask는 계속 여기 있습니다.

Coinbase, 7만 명 고객 데이터 해킹 이후 ZK 기반 자금세탁방지 개편 촉구

약 7만 명의 고객에게 영향을 미친 대규모 데이터 침해를 겪은 지 불과 몇 달 만에, Coinbase는 이제 암호화 프라이버시 도구를 "구시대적인" 금융 범죄 법률의 잠재적 해결책으로 제시하고 있습니다. Coinbase의 최고 법무 책임자 Paul Grewal은 은행비밀법(BSA)이 "여전히 종이 기반 컴플라이언스 프로토콜과 자금이 초 단위가 아닌 며칠에 걸쳐 이동하던 금융 시스템을 반영하는 수십 년 된 요건에 뿌리를 두고 있다"고 설명합니다.

"고객이 KYC 절차를 반복할 때마다 느끼는 불편함 외에도, 이러한 개인 파일들은 범죄자들에게 꿀단지나 다름없습니다. 기업들은 법에 따라 수년간 여러분의 데이터를 보관하고 관료들에게 전송해야 합니다." Coinbase가 BSA를 데이터 유출의 직접적인 원인으로 지목하는 것은 아니지만, 회사가 이 사안을 BSA 규제 요건과 그에 따른 위험에 관한 더 광범위한 논의로 전환하려는 것으로 보입니다. 앞으로의 전개 상황을 계속 전해드리겠습니다…

터키, Roman Storm 유죄 판결 이후 암호화폐 연구자 Fede Intern 구금

Tornado Cash 개발자 Roman Storm의 재판 및 유죄 판결 이후, Fede's Intern, 즉 Federico Carrone으로 알려진 연구자가 터키 입국을 시도하던 중 공항에서 당국에 의해 구금되었습니다. 그는 내무부 장관이 제기한 소송으로 인해 구금되었으며, 해당 소송은 그가 이더리움을 오용하는 것을 도왔다고 주장했습니다. 그의 유일한 연관성은 Tornado Cash의 비익명화 기법을 탐구한 논문을 작성한 것뿐으로 보입니다. Carrone은 Tornado Cash의 어떠한 프라이버시 기능도 개발한 적이 없습니다.

"내무부 장관은 내가 프라이버시 프로토콜과 관련하여 다른 사람들이 이더리움을 오용하도록 도왔다고 주장하며 소송을 제기했습니다," Carrone은 전했습니다. "트랜잭션을 비공개로 만드는 코드를 작성하는 것이 범죄자를 만들지는 않습니다. 범죄자는 법을 어기는 사람들입니다."

MetaMask의 Taylor Monahan도 이에 대해 의견을 밝혔습니다. "미국의 암호화폐 접근 방식이 다른 나라들에, 나아가 전 세계에 미치는 영향은 더 흥미롭고 잘 알려지지 않은 부작용 중 하나입니다. 무능하거나, 망가졌거나, 완전히 부패한 상태 사이 어딘가에 있는 나라들에 말이죠."

LastPass 침해 사건, Toptal GitHub 해킹으로 재등장

소프트웨어 기업 Toptal의 GitHub 조직이 침해되어 일부 패키지에 악성 스크립트가 추가된 채 배포되었습니다. 이는 잘 알려진 패키지에 악성 코드가 몰래 삽입되는 광범위한 사기 트렌드를 반영합니다.

해킹 소식 이후 Toptal은 Picasso와 Xene 패키지가 2025년 6월 20일 수 시간 동안 침해되었다는 사실도 공개했습니다. Toptal은 이 사건이 LastPass 침해로 인한 자격 증명 유출과 연관되어 있다고 판단했습니다.

거대한 LastPass 사태의 여파가 끝났다고 생각하셨다면, 다시 생각해 보세요! 암호화폐는 과거에도, 지금도 초기 표적에 불과합니다. 침해 이전에 LastPass에 저장했던 모든 것을 업데이트하세요.

캐나다 주도 글로벌 사이버 연합 Project Atlas, 7천만 달러 이상의 도난 암호화폐 적발

Project Atlas는 온타리오 주 경찰의 사이버 사기 대응팀(CEFT)이 주도하는 피해자 중심 이니셔티브로, 투자 사기를 식별하고 차단하는 데 초점을 맞추고 있습니다. 캐나다가 주도하지만 글로벌한 범위를 가지며, 국제 법 집행 기관과 민간 부문 이해관계자들로 구성된 국제 연합체입니다. 현재까지 2,000개 이상의 지갑에서 7천만 달러 이상의 도난 암호화폐 자산을 적발하고 5천만 달러를 동결했습니다.

악성 AI 확장 프로그램, 핵심 이더리움 개발자 지갑 탈취

무슨 일이 있었나

Coin Telegraph 보도에 따르면 핵심 이더리움 개발자 Zak Cole이 철저한 운영 보안에도 불구하고 악성 AI 커서 확장 프로그램에 의해 지갑을 탈취당했습니다. "10년 넘게 해커에게 단 1 wei도 잃은 적이 없었습니다. 그런데 지난주 계약을 급하게 배포하려다 이런 일이 생겼습니다," Cole은 설명했습니다.

이 공격은 타이포스쿼팅을 활용해 정상적인 확장 프로그램을 모방한 악성 확장 프로그램을 만드는 방식으로 이루어졌습니다. 이번 경우 공격자들은 잘 알려진 배포자 Juan Blanco를 사칭하여 정상적인 Solidity 확장 프로그램으로 위장했습니다. 악성 확장 프로그램은 "Juan Blanco" 대신 "Juan Bianco"라는 이름으로 배포되었습니다.

사용자가 안전을 지키는 방법

빠르게 배포해야 하는 상황에서도 항상 세부 사항을 꼼꼼히 확인하세요. 주의하세요: 폰트 특성상 악성 확장 프로그램의 일부 문자와 디자인 요소가 동일하게 보일 수 있으며, 이것이 공격 벡터로 활용될 수 있습니다.

사기꾼들은 앱 스토어에서 가짜 확장 프로그램 광고를 게재하기도 합니다. 자신을 보호하려면 IDE에 확장 프로그램을 추가하기 전에 반드시 배포 날짜를 확인하세요. Cole은 또한 배포된 지 며칠밖에 되지 않았음에도 다운로드 수가 비정상적으로 많았다고 지적했습니다. 확장 프로그램이 그렇게 짧은 기간에 그만큼의 다운로드 수를 기록하는 것은 매우 드문 일입니다. 사이트 설명에서 어색한 단어 조합이나 있을 법하지 않은 지역의 개발자 위치 정보를 주의 깊게 살펴보세요.

DPRK 해커 기기 해독, 북한의 암호화폐 프로젝트 침투 전략 드러나

무슨 일이 있었나

신원 미상의 보안 연구자가 DPRK IT 해커의 기기를 해독하여, 소규모 북한 팀이 소프트웨어 직군 채용을 위한 다수의 가짜 페르소나를 어떻게 관리하는지 공개했습니다. ZachXBT의 공개에 따르면 이 DPRK IT 조직은 5개의 암호화폐 기업에 깊숙이 침투해 있었습니다. 해커들은 가짜 신분증, LinkedIn 계정, Upwork 계정을 구매하여 일자리를 얻는 방식으로 이를 실행했습니다. 이 전술은 신뢰할 수 있는 개발자로서의 평판을 쌓는 데 도움이 됩니다.

사용자가 안전을 지키는 방법

암호화폐 기업이고 침해가 의심된다면: 먼저 DPRK 직원들의 노출된 LinkedIn, GitHub, 이메일 계정이 조직 내에 포함되어 있지 않은지 확인하세요. 그런 다음, 잠재적 직원의 위치를 검증할 수 있는 방법을 채용 프로세스에 추가하세요.

AI 생성 악성 코드, 삭제 전 1,500회 이상 다운로드

무슨 일이 있었나

AI가 생성한 악성 코드가 NPM에 업로드되어 삭제되기 전까지 1,500명 이상이 다운로드했습니다. 이 패키지는 postinstall 스크립트를 활용해 피해자의 개인 키를 탈취했습니다. postinstall 스크립트는 Windows, Mac, Linux 기기에서 숨겨지도록 설계되었습니다. 설치 후 악성 코드는 개인 키가 저장된 파일을 스캔했습니다.

사용자가 안전을 지키는 방법

개발자는 LavaMoat이 제공하는 보안 제어 기능을 활용하여 안전을 지킬 수 있습니다. @lavamoat/allow-scripts와 Kipuka를 사용하면 악성 postinstall 스크립트가 앱에 침투하는 것을 방지할 수 있습니다. 또한 평판 있는 출처에서 배포된 프로젝트만 다운로드하고 실행하는 것이 중요합니다. 검증되지 않거나 잘 알려지지 않은 패키지를 반드시 다운로드해야 한다면, 별도의 임시 VM을 사용하는 것이 좋습니다. 그렇게 하면 VM이 침해되더라도 개인 컴퓨터의 중요 정보는 보호됩니다.

MetaMask의 2025년 8월 암호화폐 보안 리포트에서는 새로운 LavaMoat 도구 Kipuka 출시, Coinbase의 ZK 기반 자금세탁방지 개편 촉구, DPRK 해커 기기 해독을 통해 드러난 북한 IT 침투 전략, 악성 AI 확장 프로그램으로 인한 핵심 이더리움 개발자 지갑 탈취, 그리고 터키의 암호화폐 연구자 Fede Intern 구금 사건을 다루었습니다. 생태계 전반의 더 많은 위협, 트렌드, 안전 유지 팁을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.