매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2024년 11월은 자물쇠를 다시 한번 확인하게 만드는 헤드라인들로 가득했습니다. 한 암호화폐 CEO가 토론토 도심에서 납치되어 100만 달러의 몸값을 요구받았습니다. ZachXBT는 650만 달러 규모의 Coinbase 고객 지원 사칭 사기를 폭로했습니다. Microsoft는 CYBERWARCON에서 북한의 10년에 걸친 사이버 역량 발전을 공개했습니다. 그런데, AI 할머니가 구원자로 등장할지도 모릅니다. 영국 통신사 O2는 전화 사기꾼에 맞서는 최선의 방법이 고양이 얘기를 끊임없이 늘어놓는 AI 할머니라고 판단했습니다.
이달에는 선제적인 보안 업데이트도 풍성했습니다. MetaMask는 Signature Insight Snaps를 출시했고, LavaMoat는 GitNation에서 새로운 데모를 선보였으며, SEAL은 DIY 워게임 훈련 템플릿을 공개했고, The Red Guild는 실제 사기 시나리오에 대비한 사용자 훈련을 돕기 위해 Phishing Dojo를 론칭했습니다. 아래에서 자세한 내용을 살펴보세요. 하지만 그 전에...
Jude Milhon은 "사이퍼펑크(cypherpunk)"라는 용어를 만든 인물로, 해커들의 수호성인으로 알려져 있습니다.
2024년 11월 방콕에서 열린 Devcon 7에서는 놓치기 아까운 내용들이 넘쳐났습니다. 다행히 MetaMask의 Taylor Monahan이 보안 트랙에서 자신이 가장 좋아하는 강연들을 선별해 주었습니다. 팝콘을 준비하세요. 이 스레드는 꽤 방대합니다.
사용자 보안을 강화하는 새로운 유형의 MetaMask Snaps인 Signature Insight Snaps를 살펴보세요. 이 Snaps는 서명 요청을 분석하여 그 목적과 잠재적 위험에 대한 인사이트를 제공함으로써 피싱 시도와 무단 접근을 방지하는 데 도움을 줍니다.
초기 제공 항목으로는 서명 요청을 해독하고 관련 컨트랙트를 식별하여 잠재적 위협을 경고하는 Kleros Scout와, paymaster 관련 트랜잭션에 대한 상세 정보를 제공하여 zkSync 생태계에서 서명 트랜잭션의 가독성을 높이는 ZyFi Paymaster Insights가 있습니다. 사용자는 MetaMask Extension 12.4.2 이상 버전을 사용하여 MetaMask Snaps Directory에서 이 Snaps를 설치할 수 있습니다.
Drainer, 트랜잭션 시뮬레이션, 피그 버처링(pig butchering) 등... MetaMask Security의 Ohm이 진행한 Devcon 2024 라이트닝 토크는 암호화폐 사기 수법으로 가득합니다.
그가 또 해냈습니다. LavaMoat 오픈소스 툴킷이 악성 NPM 패키지 사용의 위험을 어떻게 완화하는지에 대한 Zbigniew의 최신 강연이 GitNation에서 공개되었습니다. LavaMoat는 각 패키지를 독립된 컴파트먼트로 격리하고 엄격한 접근 정책을 정의하는 도구를 제공합니다. 쿠키 탈취 및 민감한 전역 변수에 대한 무단 접근과 같은 위협을 방지합니다. 한시적으로 LavaMoat를 프로젝트에 통합하는 데 도움을 드리는 지원을 제공하고 있으니, 손쉽게 애플리케이션을 보호하세요. 문의 사항은 [email protected]으로 ZB에게 연락하세요.
Security Alliance 워게임 훈련 시나리오 템플릿에 대한 Kelsie Nabben의 기고문을 확인해 보세요. The Security Alliance가 설계하고 출시한 이 오픈소스 GitHub 저장소는 프로토콜 팀이 자체적으로 보안 훈련을 진행할 수 있도록 돕는 템플릿입니다. 이 템플릿은 워게임 시나리오 계획 및 실행에 대한 포괄적인 가이드를 제공하며, 다음 내용을 포함합니다:
훈련 조직 및 실행을 위한 단계별 지침
로컬 포크에서 Foundry와 Hardhat을 사용한 개발 및 테스트 설정
Tenderly의 라이브 포크 구성
Prometheus, Grafana, OpsGenie와 통합된 테이블탑 훈련 및 모니터링 봇 서비스 템플릿
이 이니셔티브는 블록체인 생태계 내에서 선제적인 보안 문화를 조성하고, 진화하는 위협에 대한 지속적인 대비를 장려하는 데 중점을 둡니다. 자세한 내용과 템플릿 접근은 GitHub 저장소를 방문하세요.
영국 통신사 O2가 전화 사기꾼들에게 그들만의 방식으로 맞서는 AI 할머니 Daisy를 선보였습니다. Daisy는 뜨개질, 고양이, 그리고 "소중한 옛 추억"에 대한 엉뚱한 수다로 사기꾼들을 붙잡아 두며, 그들의 시간을 낭비시키고 실제 피해자들을 지켜냅니다. 사기꾼들이 그녀를 속이려는 동안, 그녀는 그들의 수법에 대한 정보를 수집하며 가장 매력적인 방식으로 판세를 뒤집습니다. 할머니의 수다가 비밀 무기가 될 줄 누가 알았을까요?
보안 연구 및 교육 그룹 The Red Guild가 암호화폐 공간에서 피싱 사기를 식별하고 예방하는 데 도움을 주는 인터랙티브 플랫폼 Phishing Dojo를 출시했습니다. 이 교육 도구는 사기 이메일, 사기성 에어드롭 사이트, 악성 트랜잭션 승인 등의 시나리오를 제시하여 사용자가 일반적인 위협을 인식하고 대응하는 연습을 할 수 있도록 합니다. 이 이니셔티브는 암호화폐 생태계를 겨냥한 점점 더 정교해지는 사이버 공격에 대한 커뮤니티의 인식과 대응력을 높이는 것을 목표로 합니다.
Microsoft 위협 인텔리전스 분석가들이 CYBERWARCON 2024에서 북한과 중국의 사이버 위협 행위자들에 대한 심층 연구를 발표했습니다. "DPRK – 이제 다 컸다(DPRK – all grown up)"라는 제목의 세션에서는 북한이 10년에 걸쳐 고도화된 사이버 역량을 개발하여 대규모 암호화폐 탈취를 가능하게 하고, 위성 및 무기 시스템과 연관된 조직들을 표적으로 삼고 있음을 강조했습니다. 또한 "중국의 진화하는 사이버 작전(China's evolving cyber operations)"이라는 발표에서는 중국이 소규모 사무실/가정용 사무실(SOHO) 장치의 취약점을 악용하여 활동을 은폐하는 등 작전 보안을 강화하기 위한 새로운 전술을 채택하고 있음을 분석했습니다. 이러한 인사이트는 이들 국가로부터의 사이버 위협이 점점 더 정교해지고 적응력이 높아지고 있음을 보여줍니다.
무슨 일이 있었나
암호화폐 수사관이자 SEAL 멤버이며 진정한 hoopy frood인 ZachXBT가 사기꾼 Ronald Spektor가 주도한 정교한 피싱 작전을 폭로했습니다. Spektor는 2024년 10월 Coinbase 공식 지원팀을 사칭하여 650만 달러 이상을 탈취했습니다. 그는 공식 지원팀으로 위장하여 피해자들을 유인한 뒤, 탈취한 자금을 TON 연결 지갑을 통해 세탁하고 추적을 피하기 위해 소셜 미디어 계정을 삭제했습니다. 이러한 노력에도 불구하고 ZachXBT의 수사를 통해 추적되지 않은 자금과 잠재적 공범이 확인되었으며, 추가 단서가 나타나 피해자와 당국이 탈취된 자산을 회수하는 데 도움이 될 것이라는 희망이 생겼습니다.
사용자가 스스로를 보호하는 방법
암호화폐 공간에서 고객 지원을 사칭하는 사기꾼으로부터 자신을 보호하려면 경계심과 선제적인 보안 조치가 필요합니다. 다음은 몇 가지 핵심 전략입니다:
출처 확인: 공식 웹사이트나 앱을 통해서만 지원팀에 연락하세요. 이메일이나 소셜 미디어의 링크는 피하세요.
불청 연락 무시: 정식 기업은 먼저 연락하거나 긴급한 조치를 요구하지 않습니다.
민감한 정보 보호: 개인 키, 복구 구문, 비밀번호를 절대 공유하지 마세요. 화면 공유도 피하세요.
정보 습득: 일반적인 사기 수법을 파악하고 신뢰할 수 있는 보안 전문가를 팔로우하세요.
추가 보안 사용: 가능한 경우 2FA와 피싱 방지 도구를 활성화하세요.
요청 재확인: 조치를 취하기 전에 공식 채널을 통해 지원 요청의 진위를 확인하세요.
2024년 11월 초, 토론토 소재 암호화폐 기업 WonderFi의 CEO Dean Skurka가 토론토 도심에서 납치되어 100만 달러의 몸값을 요구받았습니다. 이 사건은 오후 6시 직전 University Avenue와 Richmond Street West 인근에서 발생했습니다. 납치범들은 Skurka를 차량에 강제로 태우고 몸값을 요구했으며, 이는 전자 방식으로 지불되었습니다. Skurka는 이후 Etobicoke의 Centennial Park에서 부상 없이 발견되었습니다. 그는 WonderFi의 고객 자금과 데이터가 이번 사건으로 인해 안전하게 보호되었으며 영향을 받지 않았다고 대중에게 확인했습니다. 전문가들은 이러한 공격이 드물기는 하지만 암호화폐 가치 급등 시기와 맞물릴 수 있다고 지적합니다. 범죄자들이 암호화폐 업계의 유명 인사들을 수익성 높은 표적으로 인식할 수 있기 때문입니다.
사용자가 스스로를 보호하는 방법
물리적 강압(위협이나 폭력 등)을 통해 개인 키를 공개하거나 암호화폐 자금에 접근하도록 강요하는 $5 렌치 공격을 절대 가볍게 여기지 마세요. 가능하다면 낮은 프로필을 유지하고 공개적으로 자산을 과시하는 것을 피하세요. 여러 소프트웨어 및 하드웨어 지갑에 자금을 분산하여 보관하고, 대부분의 자산은 콜드 스토리지에 보관하세요. 멀티시그(multi-sig) 지갑과 시간 잠금 트랜잭션 활용을 고려하세요. 그리고 이러한 상황에 처하게 된다면, 여러분의 생명이 암호화폐보다 더 중요하다는 것을 기억하세요.
MetaMask의 2024년 11월 암호화폐 보안 리포트는 WonderFi CEO의 100만 달러 암호화폐 몸값 납치 사건, ZachXBT가 적발한 650만 달러 규모의 Coinbase 고객 지원 사칭 사기, CYBERWARCON에서 Microsoft가 공개한 북한 및 중국의 사이버 역량, 그리고 MetaMask의 Signature Insight Snaps 출시를 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 보려면 MetaMask 암호화폐 보안 리포트의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
