암호화폐 보안 보고서: 2025년 7월

매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.

2025년 7월은 지갑, 폐쇄된 프로젝트, 브라우저 확장 프로그램을 사칭하는 사례들로 가득 찬 한 달이었습니다. Firefox에는 암호화폐 지갑을 사칭하는 40개 이상의 사기 확장 프로그램이 게시되었습니다. 공격자들은 폐쇄된 암호화폐 프로젝트의 만료된 도메인을 되살려 실수로 다시 방문한 사용자들의 자산을 탈취했습니다. 또한 악의적인 pull request를 통해 오픈소스 Ethereum 확장 프로그램에 두 줄의 악성 코드가 삽입되었습니다. 이달에는 선의의 편에 선 이들에게 만족스러운 성과도 있었습니다. GMX는 화이트햇 바운티를 통해 4,200만 달러 해킹 피해액의 대부분을 회수했습니다. 미국 기관들은 광범위하게 퍼진 북한의 신원 도용 작전을 해체했습니다. 그리고 그리스는 사상 최초로 암호화폐 자산을 압수했습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...

주목할 STEM 선구자: 핵 연구의 여왕, 우젠슝

물리학자 우젠슝(Chien-Shiung Wu)은 "핵 연구의 여왕"으로 불리며 맨해튼 프로젝트에 참여했고, 이후 물리학자들이 당연한 사실로 여겨왔던 원리인 패리티 보존 법칙을 뒤집는 실험을 직접 설계했습니다. '알려진' 가정을 맹목적으로 받아들이지 않고, 그것을 증명하거나 반증하는 정밀한 검증을 구축하는 사고방식은 건전한 보안 작업의 근본이기도 합니다.

Wise Signer Snap, AI를 활용해 의심스러운 지갑 트랜잭션 탐지

Patrick Collins의 MetaMask Snap인 Wise Signer가 AI를 활용해 웹을 분석하고, 의심스러운 주소, 호출 데이터, 네트워크를 기반으로 트랜잭션의 취약 여부를 판단하는 방법을 담은 멋진 데모를 확인해 보세요. 이 Snap은 현재 베타 버전이지만, 지금 바로 코드를 검토하거나 지원 페이지에서 MetaMask Security Snaps에 대해 더 자세히 알아볼 수 있습니다. 선한 싸움에 함께해 주신 Patrick에게 감사드립니다.

MetaMask, Coinspect 선정 가장 안전한 Web3 지갑 1위 유지

MetaMask는 모바일(iOS 및 Android)과 Chrome에서 Coinspect의 가장 안전한 Web3 지갑 1위 자리를 계속 지키고 있습니다. 브라우저 확장 프로그램 보안 부문에서도 위협 차단율 100%를 기록했습니다.

좀비 Dapp 사기 급증, 100건 이상 신고 접수

Coinspect 관련 소식을 이어가자면, 최근 이들은 위협 행위자들이 폐쇄된 암호화폐 프로젝트의 도메인을 재등록해 기존에 쌓인 평판을 악용하여 보안 검사를 우회한 뒤 사용자를 탈취하는 불안한 트렌드를 조명했습니다. Coinspect는 DeFi 플랫폼 및 보안 그룹과 협력하여 이른바 '좀비 Dapp' 100건 이상을 식별하고 신고했습니다.

GMX, 재진입 공격으로 4,200만 달러 손실 후 화이트햇 바운티로 자금 회수

7월 9일, GMX의 Arbitrum 기반 V1 GLP 유동성 풀이 해커의 재진입 공격으로 인해 4,200만 달러의 피해를 입었습니다. 해커는 초과 GLP 토큰을 발행하는 방식을 사용했으며, 이는 GMX의 사후 분석을 통해 확인되었습니다. GMX는 Hexegate로부터 익스플로잇 알림을 받은 즉시 거래를 중단했으며, 온체인 활동 추적을 통해 탈취된 자금의 대부분이 다른 디지털 자산으로 교환되었음을 확인했습니다. GMX는 48시간 내에 자금을 반환할 경우 법적 조치를 취하지 않겠다는 약속과 함께 10% 화이트햇 바운티를 제안했습니다. 공격자는 "알겠어요, 나중에 자금 돌려드릴게요"라는 가벼운 메시지를 남긴 뒤 약 450만 달러를 보유하고 나머지를 GMX에 반환했습니다.

미국 비밀경호국, 10년간 암호화폐 4억 달러 회수

비밀경호국의 글로벌 수사 운영 센터(GIOC)는 디지털 금융 범죄 추적을 전문으로 하며, 현재 세계 최대 규모의 콜드 월렛 중 하나에 회수된 암호화폐 자산의 대부분을 보관하고 있습니다. GIOC 수사관들은 일반적으로 오픈소스 도구, 블록체인 분석, 도메인 등록 정보를 수사에 활용합니다. 비밀경호국은 또한 60개국의 법 집행 기관 및 검사들을 대상으로 교육을 제공했습니다.

Socket, Chrome 확장 프로그램의 공급망 공격 방어를 위한 파일럿 프로그램 출시

Chrome 확장 프로그램의 악성 코드 및 위험한 권한으로 인한 공급망 공격을 방어하기 위해 Socket이 빌더들을 초대하여 실시간 스캔 및 분석을 활용하는 새로운 제품 라인을 테스트하고 있습니다. 이 도구는 경량화 및 개인정보 보호를 목표로 설계되었으며, NPM, PyPI, Go, Maven과 같은 패키지 디렉터리의 위험 지표도 표시합니다. 위험 신호에는 난독화된 설치 스크립트, 높은 엔트로피 또는 의심스러운 문자열, 타이포스쿼팅 이름, 위험한 API 등이 포함됩니다. 향후 Chrome 이외의 환경으로도 적용 범위를 확장할 계획입니다.

악의적인 pull request를 통해 forETHCode 오픈소스 확장 프로그램에 악성 코드 삽입

ReversingLabs의 보안 연구원들이 발견한 바에 따르면, 오픈소스 툴킷 forETHCode의 PR에 두 줄의 악성 코드가 삽입되었습니다. 해당 코드가 실제로 토큰이나 데이터를 탈취하는 데 사용된 증거는 아직 없지만, "피해자의 기기에 저장된 암호화폐 자산을 탈취"하거나 "확장 프로그램 사용자가 개발 중인 Ethereum 컨트랙트를 침해"하려는 의도였던 것으로 추정됩니다.

이 사건은 악성 및 침해된 확장 프로그램과 공급망 공격에 대한 우려를 다시 한번 부각시켰습니다.

미국 기관들, 16개 주·100개 기업에 걸친 신원 도용 운영 북한 공작원 체포

6월 말, 법무부는 다수의 체포 및 기소, 노트북 200대 이상, 금융 계좌 29개, 사기 웹사이트 21개 압수로 이어진 전국적 공조 작전을 주도했다고 발표했습니다. 법무부는 16개 주에 걸쳐 신원 도용과 암호화폐 기업을 포함한 미국 기업 100곳 이상에 대한 침투 등 북한 지원 악성 활동을 적발했습니다.

일주일 후, 재무부 해외자산통제국(OFAC)이 취업 사기에 활용될 정보의 절취 및 판매에 연루된 두 명의 개인을 제재했다는 보도가 나왔습니다. 이러한 수법으로 창출된 수익은 북한의 탄도 미사일 프로그램을 지원하는 데 사용되는 것으로 알려져 있습니다.

200만 파운드 규모 영국 투자 사기, 합산 징역 12년 선고

Raymondip Bedi와 Patrick Mavanga는 2017년부터 2019년 사이 최소 65명에게 사기성 암호화폐 컨설팅 서비스를 판매한 혐의로 기소되어 합산 징역 12년을 선고받았습니다. Crypto Times의 보도에 따르면, "두 사람 모두 사기, 규정 위반, 자금 세탁 등 여러 혐의를 인정했습니다. 또한 Mavanga는 증거 조작 및 위조 신분증 소지 혐의도 받았습니다." 영국 금융감독청(FCA)이 주도한 이번 기소는 암호화폐 범죄 단속을 위한 기관의 광범위한 노력의 일환이며, FCA는 현재 피해 자금 회수를 시도하고 있습니다.

그리스, Chainalysis 지원으로 사상 최초 암호화폐 자산 압수

그리스 자금세탁방지청(HAMLA)이 사상 최초로 암호화폐 자금을 압수했습니다. HAMLA는 Chainalysis 및 Performance Technologies와 협력하여 Bybit의 15억 달러 규모 거래소 해킹으로 탈취된 자산의 일부를 추적하고 동결했습니다. 이번 전 세계적 회수 작전은 "최첨단 블록체인 분석 도구와 전문 교육, 국제 협력을 결합한 역량"을 통해 가능했습니다. 참고로, Bybit은 올해 초 북한 라자루스 그룹의 소행으로 추정되는 해킹으로 15억 달러의 피해를 입었습니다.

암호화폐 지갑을 사칭하는 악성 Firefox 확장 프로그램 40개 이상 발견

무슨 일이 있었나

Koi Security의 Yuval Ronen은 MetaMask를 포함한 암호화폐 지갑을 사칭하는 단일 캠페인과 연결된 40개 이상의 악성 Firefox 확장 프로그램을 발견했습니다. 2025년 4월부터 시작된 이 위협은 현재도 활성 상태이며, "대상 웹사이트에서 자격 증명을 추출해 공격자가 제어하는 원격 서버로 유출"하고 외부 IP 주소를 전송하는 데 사용되고 있습니다. 이 위조 확장 프로그램들은 정상적인 것처럼 보이며, 악의적인 긍정 리뷰를 활용해 사용자를 속입니다. 증거는 러시아어권 범행자를 가리키고 있습니다.

사용자가 스스로를 보호하는 방법

Ronen은 보고서와 함께 안전을 유지하기 위한 권고 사항도 공유했습니다:

1. 검증된 게시자의 확장 프로그램만 설치하고, 높은 평점의 목록이라도 주의를 기울이세요.

2. 브라우저 확장 프로그램을 정식 소프트웨어 자산으로 취급하여 검토, 모니터링, 정책 적용의 대상으로 삼으세요.

3. 확장 프로그램 허용 목록을 사용하고 사전 승인된 검증된 확장 프로그램만 설치를 허용하세요. 4. 일회성 스캔이 아닌 지속적인 모니터링을 실시하세요. 확장 프로그램은 자동 업데이트되어 설치 후 동작이 조용히 변경될 수 있습니다.

소셜 엔지니어링, 가짜 암호화폐 카지노 사이트를 통해 도박 및 게임 이용자 표적

무슨 일이 있었나

소셜 미디어는 암호화폐 탈취를 노린 소셜 엔지니어링의 온상이 되고 있습니다. Krebs on Security는 합법적으로 보이는 '스캠블링(scambling)' 사이트들이 Mr. Beast 같은 유명인의 가짜 추천과 무료 크레딧을 내세운 광고로 사용자를 유인하는 방식을 소개했습니다. 사용자는 크레딧을 받기 위해 계정을 만들어야 하며, 이후 잘 만들어진 게임을 즐기고 베팅을 할 수 있습니다. 그러나 이러한 스캠블링 수법은 전형적인 돼지 도살 사기(pig butchering scam)의 특징을 공유합니다. 사용자는 결코 출금할 수 없으며, 대신 추가 "인증 입금"을 하거나 "자금 회수 전문가"에게 상담하라는 안내를 받게 됩니다.

사용자가 스스로를 보호하는 방법

크레딧을 받기 위해 입금을 요구하는 게임 사이트, 특히 출금을 위해 입금을 요구하는 사이트는 주의하세요. 암호화폐 자금 회수 서비스의 대다수는 사기이며, 합법적인 서비스는 보통 수만 달러에 달하는 높은 최소 기준을 요구한다는 점을 기억하세요. 인플루언서가 관련된 프로모션은 반드시 공식 인증 채널을 통해 확인하세요.

북한 BabyShark 캠페인, ClickFix 피싱 전술로 NimDoor macOS 백도어 배포

무슨 일이 있었나

SentinelOne이 최초로 보고한 바에 따르면, 북한 행위자들은 Web3 기업을 공격하는 새로운 방식으로 NimDoor라는 Nim 기반 macOS 백도어를 사용해 자격 증명을 탈취하고 암호화된 WebSocket을 통해 데이터를 유출하고 있습니다. 이 악성 코드는 AppleScript와 프로세스 인젝션도 활용합니다.

더 광범위한 BabyShark 작전의 일환으로, 공격자들은 ClickFix 스타일의 피싱 전술을 사용하고 있습니다. 이 전술은 표적을 긴박감으로 압박하여 무해한 것처럼 위장된 위험한 링크를 클릭하도록 유도합니다. 이러한 활동은 지능형 지속 위협(APT) 그룹 Kimsuky와 연관된 것으로 파악되었습니다.

사용자가 스스로를 보호하는 방법

긴박한 행동을 요구받을 때는 항상 잠시 멈추고 상황을 파악한 뒤 정보 출처를 확인하세요. 채용 면접 과정에서 파일 다운로드를 요구받을 경우 주의하세요. 원격 AppleScript 실행을 비활성화하고, 모든 시스템과 소프트웨어(예: 브라우저, 확장 프로그램, 스크립팅 런타임)를 최신 상태로 유지하세요. macOS 사용자라면 알 수 없는 도메인으로의 WebSocket 연결, 앱 시작 시 실행되는 비정상적인 프로세스 인젝션이나 스크립트, 실행 에이전트 또는 신호 핸들러를 통한 지속성 유지 시도에 주의를 기울이세요.

Don't get rekt doo doo doo doo doo doo…

MetaMask의 2025년 7월 암호화폐 보안 리포트는 암호화폐 지갑을 사칭하는 40개 이상의 가짜 Firefox 확장 프로그램, 화이트햇 바운티로 해결된 GMX의 4,200만 달러 재진입 공격 해킹, 그리고 폐쇄된 암호화폐 프로젝트의 도메인을 되살리는 좀비 앱을 다루었습니다. 생태계 전반의 더 많은 위협, 트렌드, 안전 유지 팁을 확인하려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.