매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2025년 6월은 공격과 사기 단속 모두 규모 면에서 주목할 만한 달이었습니다. 인터폴은 글로벌 인포스틸러 캠페인에서 악성 IP 20,000개를 해체하고 32명을 체포했습니다. 미국 법무부(DOJ)는 역대 최대 규모인 2억 2,500만 달러의 pig butchering 피해금 회수를 발표했습니다. 그러나 라자루스 그룹(Lazarus Group)도 이에 못지않은 활동을 이어갔습니다. Tron의 저수수료 인프라를 통해 수십억 달러 상당의 탈취 암호화폐를 세탁하고, 대만 거래소 BitoPro를 해킹해 1,100만 달러를 탈취했으며, 가짜 IT 직원 신분으로 미국 기업에 계속 침투했습니다. 더 가까운 소식으로는, MetaMask Security의 Taylor Monahan이 EIP-7702 익스플로잇이 Pectra 문제가 아닌 개인 키(Private Key) 보안 문제임을 상세히 설명했습니다. 또한 모회사인 Consensys가 Web3Auth를 인수하여 지갑 복구를 간소화하고 MetaMask의 선도적인 보안을 한층 강화했습니다. 자세한 내용은 아래에서 확인하세요. 그 전에 먼저...
Nergis Mavalvala는 LIGO 프로젝트에서 중력파 검출에 기여했으며, 양자 측정 과학 분야의 실험 연구를 이끌었습니다.
이 보고서에서는 악성 공격에 대해 많이 다루지만, 사용자의 35%가 시크릿 복구 구문(Secret Recovery Phrase)을 제대로 백업하지 않아 자산 손실 위험에 노출되어 있다는 사실을 알고 계셨나요? MetaMask 공동 창립자 Dan Finlay의 말처럼: "누구에게도 공유하지 말되, 잃어버리지도 말라는 건 정말 어려운 균형입니다."
그래서 MetaMask의 모회사 Consensys가 키 관리 및 임베디드 지갑 인프라의 선도적 제공업체인 Web3Auth를 인수했다는 소식을 발표하게 되어 기쁩니다. Web3Auth의 기능을 통합함으로써 MetaMask 사용자는 소셜 로그인 및 기기 기반 인증과 같은 친숙한 web2 인증 방식을 사용하여 지갑을 생성하고 복구할 수 있게 됩니다. 이번 인수를 통해 개발자들은 임베디드 지갑 SDK와 키 관리 인프라에 접근할 수 있어 지갑 관리가 더욱 쉽고 효율적으로 이루어집니다.
@lavamoat/webpack 1.0 출시
OtterSec의 감사, 동적 로드 청크 지원, 유지보수성을 위한 리팩토링을 거쳐 Webpack 플러그인이 버전 1.0에 도달했으며, 안정적이고 사용 준비가 완료된 상태입니다. 다음 단계로는 옵트인(opt-in) 보안 개선 계획이 예정되어 있습니다.
React Native의 Hermes 엔진 제약 내에서 Hardened JavaScript의 lockdown()을 작동시키는 것뿐만 아니라, Metro 설정 파일을 통해 통합되는 깔끔한 패키지 형태로 개발자에게 제공하는 방법도 찾았습니다. 매우 초기 버전을 출시했으며 테스트 결과와 피드백을 기다리고 있습니다. 직접 사용해 보시고 경험을 공유해 주세요.
혹시 놓치셨다면, 현재 진행 중인 다른 프로젝트들도 있습니다:
@lavamoat/node
아직 개발 중이지만, Node.js용 LavaMoat의 완전한 재작성 버전은 이미 기능적으로 동작합니다. 완전한 ESM 지원과 npm 패키지에서 명령어를 실행하는 사용자를 위한 DX 개선 사항이 도입되었습니다. lavamoat-node는 여전히 지원되고 안정적이지만, ESM 지원 부재로 인해 결국 deprecated될 예정입니다.
새로운 기능을 개발하면서 일부는 lavamoat-node에 통합되고 있습니다. 이제 다른 곳에서 쓰기 가능으로 표시된 전역 변수에 대해 더 정밀한 접근 제어가 가능합니다. 모든 LavaMoat 도구에 정책 파일 순서 개선 사항이 적용되어 policy.json 파일을 생성할 수 있습니다. Git diff는 실제 변경 사항만 표시하고 업데이트 시 의존성 트리가 재정렬될 때 리소스 순서 변경을 최소화하도록 최적화되었습니다.
git 저장소에서 직접 의존성(또는 GitHub 액션)을 설치할 때 발생하는 보안 문제를 방지하는 독자적인 검증 도구인 새로운 도구를 출시했습니다. 출시 이후 PagedOut! Magazine 6호에 관련 기사가 게재되었습니다.
Cryptonews가 최근 MetaMask 지갑의 안전성을 검토했으며, "3,000만 명 이상의 활성 사용자와 8년의 실적"을 바탕으로 MetaMask가 "다양한 보안 기능과 보안 수준 향상에 전념하는 활발한 개발팀을 갖춘 매우 안전한 선택"으로 명성을 굳혔다는 평가에 감사드립니다. 해당 기사는 MetaMask의 보안 기능을 강조하고 자기 수탁(self-custodial) 모범 사례에 대한 팁을 제공합니다. 감사합니다, Cryptonews!
이더리움의 최근 Pectra 업그레이드에서 도입된 EIP-7702는 지갑이 일시적으로 스마트 컨트랙트처럼 기능할 수 있도록 허용하여 사용자 경험을 향상시키는 것을 목표로 합니다. 그러나 이 기능이 악의적인 행위자들에 의해 악용되고 있습니다. Wintermute의 분석에 따르면 EIP-7702 위임의 80% 이상이 "CrimeEnjoyor"라는 단일 악성 스크립트와 연관되어 있으며, 이 스크립트는 손상된 키를 가진 지갑을 자동으로 탈취하도록 설계되었습니다. 주목할 만한 사례로, 한 사용자가 이 스크립트를 통한 피싱 공격으로 약 15만 달러를 잃었습니다.
MetaMask Security의 Taylor Monahan은 핵심 문제가 EIP-7702 자체가 아니라 사용자가 개인 키를 안전하게 보관하는 지속적인 과제에 있다고 강조했습니다. 그녀는 EIP-7702가 고급 기능을 제공하는 동시에 공격자에게 손상된 키를 악용하는 더 효율적인 수단도 제공한다고 지적했습니다. 이 상황은 진화하는 이더리움 생태계에서 강력한 개인 키 관리와 높아진 사용자 경각심의 중요성을 강조합니다.
6월에 발표된 세 가지 관련 기사를 통해 북한에서 비롯된 지능형 지속 위협(APT)이 전혀 줄어들 기미를 보이지 않음을 알 수 있습니다.
미국 법무부는 IT 직원으로 위장해 미국 기업에 침투한 북한 해커들과 연관된 암호화폐 770만 달러의 몰수를 추진하고 있습니다. 이들은 가짜 신분을 이용해 원격 일자리를 확보하고, 스테이블코인으로 급여를 받은 후 다양한 방법으로 자금을 세탁하여 북한 정부에 송금했습니다. 전문가들은 AI 생성 페르소나와 딥페이크 기술을 활용하는 이러한 작전이 연간 수억 달러를 창출할 수 있다고 경고합니다.
대만 암호화폐 거래소 BitoPro는 2025년 5월 8일 핫 월렛 시스템 업데이트 중 1,100만 달러 규모의 해킹 피해를 입었습니다. 이 공격은 악성 소프트웨어와 탈취한 AWS 토큰을 사용해 보안을 우회하고 여러 블록체인에서 자금을 탈취한 북한의 라자루스 그룹의 소행으로 추정됩니다. 탈취된 암호화폐는 이후 믹서와 탈중앙화 거래소를 통해 세탁되었습니다. BitoPro는 이후 지갑을 복구했으며 내부 관여가 없었음을 확인했습니다.
북한의 라자루스 그룹은 탈중앙화 금융 플랫폼, 특히 Tron 블록체인의 저수수료 인프라를 활용하여 수십억 달러 상당의 탈취 암호화폐를 세탁해 왔습니다. 온체인 분석가 ZachXBT에 따르면, 이 그룹은 스왑 풀, 새 지갑, P2P 거래 방식을 활용하는 브로커들의 지하 네트워크 내에서 운영되어 추정 50억~100억 달러에 달하는 불법 자금의 추적을 어렵게 만들고 있습니다.
비평가들은 Tron과 같은 플랫폼이 실질적인 통제 수단이 부족하여 이러한 대규모 세탁 작전을 가능하게 한다고 지적합니다. TRON DAO는 Tether 및 TRM Labs 등과 협력하여 범죄 방지 노력을 지원한다고 주장하지만, 많은 이들은 이러한 조치가 사후 대응적이고 불충분하다고 주장합니다. ZachXBT는 광범위한 암호화폐 산업이 대규모 해킹과 최소한의 책임이 공존하는 "범죄 슈퍼사이클"을 경험하고 있다고 강조합니다.
인터폴의 "Operation Secure"는 인포스틸러 악성 소프트웨어와 연관된 악성 IP 주소 및 도메인 20,000개 이상을 성공적으로 해체했습니다. 26개국 법 집행 기관과 Group-IB, Kaspersky, Trend Micro 등 민간 부문 파트너가 참여한 이 공조 작전은 서버 41대 압수와 사이버 범죄 활동과 연관된 32명의 체포로 이어졌습니다. 인포스틸러는 감염된 기기에서 비밀번호, 신용카드 정보, 암호화폐 지갑 정보 등 민감한 데이터를 추출하도록 설계된 악성 소프트웨어입니다. 이번 작전을 통해 216,000명 이상의 피해자 및 잠재적 피해자에게 통보하여 즉각적인 보호 조치를 취할 수 있도록 했습니다.
미국 법무부는 피해자를 장기간에 걸쳐 조종하여 최대한의 가치를 착취하는 "pig butchering"으로 알려진 암호화폐 투자 사기와 연관된 자금의 역대 최대 규모 회수를 발표했습니다. 정부는 현재 400명 이상의 피해자에게 압수된 자금을 최대한 반환하기 위해 노력하고 있습니다.
무슨 일이 있었나
암호화폐 가격 추적 사이트 CoinMarketCap이 공급망 공격의 피해자가 되어 방문자들이 지갑 탈취 캠페인에 노출되었습니다. 해커들은 사이트 홈페이지의 낙서 이미지 취약점을 악용하여 악성 JavaScript를 삽입하고, 가짜 Web3 지갑 연결 팝업을 트리거했습니다. 의심 없이 지갑을 연결한 사용자들은 암호화폐를 탈취당했으며, 110명의 피해자로부터 43,000달러 이상이 도난당했습니다. 이번 공격은 플랫폼의 신뢰받는 요소를 악용하여 암호화폐 사용자를 표적으로 삼는 지갑 탈취기의 증가하는 위협을 부각시킵니다. 악성 코드는 신속하게 제거되었지만, CMC는 조사가 여전히 진행 중이라고 밝혔습니다.
사용자 보호 방법
지갑 탈취 공격으로부터 자신을 보호하려면, 지갑을 연결하기 전에 항상 Web3 팝업의 정당성을 확인하세요. 의심스러운 링크를 클릭하거나 낯선 사이트의 팝업과 상호작용하는 것을 피하고, 상당한 규모의 암호화폐 보유를 위해 하드웨어 지갑 사용을 고려하세요. 다행히 이번 사건의 총 피해액은 보안 전문가들의 신속한 대응과 많은 잠재적 피해자들에게 자금 손실 전에 경고한 트랜잭션 시뮬레이터 덕분에 일부 완화되었습니다.
무슨 일이 있었나
CoinTelegraph 웹사이트가 프론트엔드 익스플로잇을 통해 침해되어 존재하지 않는 CTG 토큰을 홍보하는 가짜 에어드롭 팝업이 표시되었습니다. 해당 팝업은 사용자가 지갑을 연결하면 5,500달러를 받을 수 있다고 허위 주장하며, 신뢰성을 높이기 위해 가짜 CertiK 감사를 인용했습니다.
블록체인 뉴스 매체는 신속하게 사용자들에게 이러한 팝업과 상호작용하지 말 것을 경고하고 무단 코드를 제거했습니다. 해당 매체는 이후 "향후 유사한 사건을 방지하기 위해 보안 통제를 강화했다"고 밝혔습니다.
사용자 보호 방법
사용자들은 특히 지갑 연결의 대가로 큰 금전적 보상을 약속하는 예상치 못한 팝업이나 제안에 주의해야 합니다. 이러한 프롬프트와 상호작용하기 전에 공식 출처를 통해 정보의 정당성을 확인해야 합니다. 추가 예방 조치로, 해당 조직의 인증된 소셜 미디어, 웹사이트 및 기타 신뢰할 수 있는 마케팅 활동의 메시지를 비교해 보세요.
무슨 일이 있었나
하드웨어 지갑 제조업체 Trezor가 공격자들이 온라인 지원 문의 양식을 악용하여 정당한 지원 답변으로 위장한 피싱 이메일을 발송한 후 보안 경보를 발령했습니다. 이 사기 이메일은 사용자들이 항상 비공개로 오프라인에 보관해야 하는 지갑 백업을 공유하도록 속이는 것을 목표로 했습니다. Trezor는 시스템이나 사용자 데이터 침해가 발생하지 않았음을 확인했으며, 피싱 캠페인은 차단되었습니다. 회사는 경각심의 중요성을 강조하고 향후 악용을 방지하기 위한 조사를 시작했습니다.
사용자 보호 방법
피싱 사기를 피하려면, 요청이 정당해 보이더라도 절대 지갑 백업이나 개인 키를 공유하지 마세요. 항상 통신의 진위를 확인하세요. 특히 민감한 정보를 요청하는 원치 않는 이메일에 주의하고, 알 수 없는 출처의 링크를 클릭하거나 첨부 파일을 다운로드하지 마세요.
무슨 일이 있었나
SparkKitty는 공식 앱 스토어에서 발견된 악성 앱과 가짜 TikTok 클론 및 도박 플랫폼과 같은 사이드로드 앱을 통해 iOS와 Android 기기 모두에 침투합니다. 설치되면 SparkKitty는 기기의 사진 갤러리에 대한 접근 권한을 요청하고 광학 문자 인식(OCR)을 사용하여 이미지에서 민감한 정보, 특히 암호화폐 지갑 시드 구문을 스캔합니다. 해당 데이터를 발견하면 공격자에게 정보를 전송하여 사용자의 디지털 자산을 위협합니다.
Crocodilus는 전 세계 사용자에게 심각한 위협을 가하는 새롭게 식별된 Android 뱅킹 트로이 목마입니다. 이 악성 소프트웨어는 Google Chrome과 같은 합법적인 애플리케이션으로 위장하여 사용자를 속입니다. 설치되면 접근성 권한을 요청하여 화면 콘텐츠 캡처, 키 입력 기록, 자격 증명 수집을 위한 가짜 로그인 화면 오버레이 등의 작업을 수행할 수 있습니다. 특히 뱅킹 및 암호화폐 애플리케이션을 표적으로 삼아 민감한 정보를 추출하고 사용자 계정을 탈취하는 것을 목표로 합니다.
사용자 보호 방법
신뢰할 수 있는 출처에서만 앱을 다운로드하고, 사진, 화면 콘텐츠 또는 접근성 기능에 대한 접근을 요청하는 앱에 주의하세요. 시크릿 복구 구문과 같은 민감한 정보를 사진 갤러리에 저장하지 말고, 하드웨어 지갑이나 암호화된 비밀번호 관리자와 같은 안전한 저장 방법을 사용하세요. 취약점을 패치하기 위해 기기와 앱을 최신 상태로 유지하고, 악성 소프트웨어를 탐지하고 차단하기 위해 평판 좋은 모바일 보안 소프트웨어 사용을 고려하세요. 새롭게 부상하는 위협에 대한 정보를 지속적으로 파악하고 올바른 디지털 보안 습관을 실천하는 것이 암호화폐와 개인 데이터를 안전하게 보호하는 데 큰 도움이 됩니다.
MetaMask의 2025년 6월 암호화폐 보안 보고서는 Tron을 통한 북한 공작원들의 수십억 달러 세탁, 인포스틸러와 연관된 악성 IP 20,000개에 대한 인터폴의 단속, iOS 및 Android에서 암호화폐 시드 구문을 표적으로 삼는 모바일 악성 소프트웨어를 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드 및 팁을 보려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
