매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2024년 12월은 한 가지 사실을 명확히 보여주었습니다. 바로 사기꾼들은 휴일에도 쉬지 않는다는 것입니다. 해커들은 AI 학습 데이터를 오염시켜 악성 암호화폐 코드를 개발자들 몰래 심기 시작했고, Lazarus Group은 LinkedIn을 지옥의 구인 게시판처럼 계속 활용했으며, Solana의 @solana/web3.js 라이브러리는 개인 키를 노린 공급망 공격을 받았습니다. 한편, LastPass 침해로 인한 손실은 최초 사고 발생 2년 만에 2억 5천만 달러를 넘어섰고, WallStreetBets는 X 계정이 해킹당한 후 밈 코인 220만 달러를 잃었습니다. 선제적 보안 측면에서는 Immunefi가 150만 달러의 보상 풀을 걸고 Ethereum Protocol Attackathon을 출시했으며, Luker는 Devcon SEA 무대에 올라 모든 위협 수준에 걸쳐 소셜 엔지니어링이 어떻게 작동하는지 상세히 설명했습니다. 자세한 내용은 아래에서 확인하세요. 그 전에 먼저...
Clifford Stoll, "해커를 추적하는 방법에 관한 책을 쓴 괴짜 과학자"로도 불리는 그가 캘리포니아 자신의 작업실에서 포즈를 취하고 있다.
혹시 놓치셨다면, Luker가 스크립트 키디, 범죄 카르텔, 지능형 지속 위협(APT)이 소셜 엔지니어링을 어떻게 활용하는지에 대한 개요를 설명했습니다. 사용자들이 어떻게 피해를 입는지, 암호화폐 기업과 개발자들이 어떤 방식으로 속아 넘어가는지 들어보고, 그녀를 밤잠 못 이루게 하는 피그 버처링의 악랄한 수법에 대해 알아보세요. 즐겁게 시청하세요! (참고로, 피그 버처링은 오래된 암호화폐 사기 수법으로, 공격자가 수 주 또는 수 개월에 걸쳐 피해자와 관계를 쌓고, 신뢰를 얻고, 친밀감을 가장하며, 심지어 조작된 수익을 보여준 뒤, 사기꾼들이 통제하는 플랫폼으로 자금을 이동하도록 유도합니다. 이 용어는 결국 훔치기 전에 표적을 살찌운다는 개념에서 유래했습니다. 실제 돼지에게는 아무런 해가 가해지지 않습니다. 이 사기의 표적은 사람입니다.)
동일 출처 영역(Same-origin realms)은 브라우저가 스크립트를 안전하게 실행하고 동일한 출처에서 온 서로 다른 웹 페이지를 격리하는 방법입니다. 특히 iframe과 같은 임베디드 콘텐츠를 다루거나 신뢰할 수 없는 스크립트를 로드할 때 보안을 강화하는 데 유용합니다.
Gal Weizman의 글은 개발자들이 이러한 영역을 활용해 더 안전하고 효율적인 웹 애플리케이션을 만드는 방법을 탐구합니다. 그는 개발자들이 스크립트 초기화 방식을 제어할 수 있게 해주는 Realms-Initialization-Control(RIC)을 강조하며, 이를 통해 보안 계층을 추가할 수 있다고 설명합니다. 이는 일반적인 웹 취약점을 방지하고 애플리케이션을 더욱 견고하게 만드는 데 도움이 됩니다. 보안과 개발 편의성 사이의 균형을 맞추는 것이 과제이지만, 이러한 발전들이 더 안전한 웹을 향한 길을 열어가고 있습니다.
Taylor Monahan이 최근 강조한 바에 따르면, 북한과 연계된 Lazarus Group은 소셜 미디어나 메시징 앱을 통해 직원들에게 접근하고, 채용 제안이나 기술 지원을 빌미로 GitHub 저장소로 유도하며, 개인 기기를 침해해 회사 인프라에 접근하는 등 정교한 소셜 엔지니어링 전술을 구사합니다.
실제 사례에서, 한 직원이 LinkedIn의 가짜 페르소나와 교류한 후 기기가 침해되었습니다. 공격자는 신뢰를 쌓기 위해 직원에게 암호화폐로 보상을 지급하면서 소통을 이어갔고, 결국 그 접근 권한을 악용해 200만 달러 이상을 탈취했습니다.
후속 조치로, MetaMask는 온라인에서 누군가에게 연락을 받을 때 주의해야 할 사항을 알기 쉬운 목록으로 공유했습니다.
Evan Boehs는 다크웹이 익명성과 합법적인 용도를 제공하지만, 동시에 사기, 악성 소프트웨어, 신뢰 문제 등 수많은 위험으로 가득 차 있다고 설명합니다. 익명 판매자는 거래 도중 사라질 수 있고, 악성 링크가 곳곳에 도사리고 있으며, 단 한 번의 실수로 신원이 노출될 수 있습니다.
안전을 유지하려면 Tor와 같은 도구를 사용하고, 올바른 암호화폐 보안 습관을 실천하며, 제로 트러스트 마인드셋을 유지하세요.
Immunefi의 Attackathon이 공식 출범했습니다. 2025년 1월 20일까지 진행되는 이 대규모 크라우드소싱 보안 감사 대회는 Ethereum 프로토콜의 보안을 강화하는 것을 목표로 합니다. 전문 감사 기업부터 독립 보안 연구원까지 다양한 참가자들이 150만 달러의 보상 풀을 놓고 경쟁하게 됩니다.
무슨 일이 있었나
Solana는 널리 사용되는 @solana/web3.js npm 라이브러리를 표적으로 한 공급망 공격을 받았으며, 이는 개인 키를 침해하고 자금을 빼내기 위한 것이었습니다. 악성 버전으로 확인된 1.95.6과 1.95.7은 2024년 12월 2일 잠시 배포되었다가 신속히 삭제되었습니다.
공격자들은 피싱 기법을 통해 접근 권한을 획득한 것으로 추정되며, 라이브러리에 악성 코드를 성공적으로 삽입했습니다. 이 코드는 개인 키를 공격자가 통제하는 서버인 sol-rpc[.]xyz로 유출하도록 설계되었으며, 해당 서버는 침해 발생 불과 며칠 전에 등록된 것으로 확인되었습니다. 클라우드 보안 연구원 Christophe Tafani-Dereeper는 패키지 내에서 "addToQueue"라는 백도어 함수를 발견했으며, 이 함수는 키에 민감한 작업을 특정하여 표적으로 삼았습니다.
사용자 보호 방법
이번 공격에 대응하여 Solana Labs는 보안 전문가들과 함께 침해된 라이브러리 버전의 영향을 받을 수 있는 개발자들을 위한 권고 사항을 발표했습니다. 여기에는 악성 버전의 사용 여부를 파악하기 위한 의존성 철저 감사, 즉시 안전한 버전 1.95.8로 업데이트, 침해가 의심되는 경우 키 교체 등이 포함됩니다.
무슨 일이 있었나
사기꾼들이 이제 AI 학습 데이터를 표적으로 삼아 악성 암호화폐 코드를 심어 사용자를 악용하고 있습니다. 이 사례에서 해당 코드는 @OpenAI가 추천한 API를 통해 개인 키를 전송하는 방식으로 작동했습니다. 사기는 신속하게 실행되었고, API를 사용한 지 30분 만에 사용자의 자산이 도둑의 지갑으로 빠져나갔습니다.
사용자 보호 방법
이 사건은 특히 암호화폐 분야에서 AI가 생성한 코드를 사용할 때 각별한 주의가 필요하다는 점을 강조합니다. AI 서비스가 제안하는 웹사이트와 API의 정당성을 확인하기 위해 항상 AI 추천 사항을 재검토하세요. 새로운 도구나 코드를 실험할 때는 오류나 취약점 발생 시 잠재적 손실을 줄이기 위해 최소한의 자금만 담긴 테스트 지갑을 사용하세요. 또한 암호화폐 커뮤니티 내의 일반적인 수법과 알려진 악성 사이트를 파악하여 사기에 대한 최신 정보를 유지하세요.
무슨 일이 있었나
WallStreetBets의 X 계정이 대규모로 침해되어 해커들이 Solana 블록체인에서 220만 달러 이상의 밈 코인을 탈취했습니다. 블록체인 탐정 ZachXBT가 추적한 이번 공격은 X의 모바일 애플리케이션 내 취약점에서 비롯된 것으로 확인되었습니다. 탈취된 자산에는 PNUT 토큰 1,430,000개, ZEREBRO 토큰 400,000개, ALCH 토큰 130,000개가 포함되었습니다. 해커들은 WallStreetBets가 접근 권한을 제거한 후에도 패스키를 활용해 계정을 계속 통제했습니다.
사용자 보호 방법
소셜 미디어에서 새로운 토큰 투자를 홍보하는 링크를 발견하면, 클릭하기 전에 잠시 멈추고 그 정당성을 따져보세요. 이러한 링크들은 상당한 수익과 조기 참여 기회를 약속하며 매우 유혹적으로 보일 수 있지만, 바로 그것이 사람들이 피해를 입는 방식입니다. 링크가 어디로 연결되는지 재확인하고, 약속된 내용의 정당성을 검증하기 위해 충분한 사전 조사를 수행하세요.
무슨 일이 있었나
ZachXBT가 "LastPass 위협 행위자"가 주도한 대규모 암호화폐 절도를 폭로했으며, 40개 이상의 피해자 주소에서 약 536만 달러의 손실이 발생했습니다. LastPass가 암호화된 볼트 데이터에 대한 무단 접근을 보고한 2022년 12월 사건과 연관된 이번 침해로 인해 암호화폐 총 손실액이 2억 5천만 달러를 넘어섰습니다. 공격자들은 LastPass 볼트에 개인 키나 비밀 복구 구문(SRP)을 저장한 사용자들을 특정하여 중앙화된 저장소의 취약점을 악용했습니다.
사용자 보호 방법
정기적인 감사: 디지털 자산이 어디에, 어떻게 저장되어 있는지 주기적으로 검토하세요. 사용하는 모든 저장 솔루션이 최고 수준의 보안 기준을 충족하는지 확인하세요.
안전한 저장: 중앙화된 비밀번호 관리자에 개인 키나 SRP를 저장하지 마세요. 민감한 정보에는 하드웨어 지갑이나 기타 안전한 오프라인 저장 방법을 고려하세요.
즉각적인 조치: LastPass에 암호화폐 관련 데이터를 저장한 적이 있다면, 예방 조치로 자산을 새 지갑으로 이전하고 컨트랙트나 멀티시그 지갑의 소유권을 변경하는 것을 고려하세요.
최신 정보 유지: 신뢰할 수 있는 사이버 보안 전문가와 플랫폼을 팔로우하여 보안 위협과 자산 보호를 위한 모범 사례에 관한 최신 소식을 확인하세요.
MetaMask의 2024년 12월 암호화폐 보안 리포트는 조작된 학습 데이터를 통해 암호화폐 개발자를 표적으로 한 AI 코드 오염, 가짜 LinkedIn 채용 제안을 이용해 200만 달러를 탈취한 Lazarus Group, Solana의 @solana/web3.js 라이브러리에 대한 공급망 공격, 그리고 2억 5천만 달러를 초과한 LastPass 침해 손실을 다루었습니다. 생태계 전반에 걸친 더 많은 위협, 트렌드, 안전 유지 팁을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
