매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 부상하는 위험에 대해 보고합니다.
2025년 9월, 우리는 겉보기에 사소한 공격이 연쇄 반응을 일으켜 기하급수적으로 더 큰 규모에 영향을 미칠 수 있다는 사실을 다시 한번 목격했습니다. 피싱에 당한 메인테이너 한 명만으로도 주당 20억 건의 다운로드를 기록하는 npm 패키지 18개를 오염시키기에 충분했습니다. 사기꾼들은 전문 성우를 고용해 전화로 암호화폐 임원을 딥페이크로 사칭했으며, 은밀한 신종 악성코드가 거의 한 달 동안 바이러스 백신을 피해 브라우저 지갑을 비워냈습니다. 좋은 소식도 있었습니다. LavaMoat의 샌드박싱 덕분에 npm 공격은 MetaMask 사용자들에게 조용히 무력화되었습니다. 또한 이더리움 재단은 수조 달러 규모의 네트워크 보안 강화를 위한 작업을 계속 추진했습니다. 아래에서 자세한 내용을 살펴보세요. 그 전에 먼저...
Ellen Ochoa는 우주왕복선 디스커버리호에 탑승해 우주를 여행한 최초의 라틴계 여성이며, 이후 NASA 존슨 우주 센터의 최초 라틴계 소장이 되었습니다. 작은 실패 하나가 엄청난 결과를 초래할 수 있는 복잡하고 고위험 시스템을 이끄는 것은 암호화폐 보안 분야도 잘 알고 있는 원칙입니다.
비밀 복구 구문(SRP)을 관리하고 안전하게 보관하는 것은 오랫동안 자기 수탁 책임에서 가장 까다로운 부분 중 하나였습니다. 키를 잃으면 암호화폐도 잃게 됩니다. MetaMask는 이제 그 어느 때보다 쉽게 Apple 또는 Google 계정 자격 증명과 안전한 비밀번호를 결합하여 지갑을 생성, 백업 또는 복원할 수 있도록 지원합니다.
보안 강화를 위해 SRP는 암호화 및 분할되며, 또 다른 암호화 키가 여러 위치에 분산 저장됩니다. 지갑 소유자만이 SRP를 평문으로 재구성할 수 있으므로, SRP를 보호하듯 비밀번호를 철저히 지키는 것이 필수적입니다. 이 새로운 기능에 대한 자세한 내용은 MetaMask 지원 페이지에서 확인하세요.
9월 초, 우리는 역대 최대 규모의 공급망 공격 중 하나를 목격했습니다. Qix라는 메인테이너가 피싱 캠페인의 피해자가 된 후 인기 JavaScript NPM 패키지 18개 이상이 침해되었습니다. 하나 이상의 위협 행위자가 코드를 삽입하고 악성 버전의 패키지를 배포할 수 있었으며, 이 패키지들은 주당 20억 회 이상 다운로드되는 경우가 많아 공격이 무력화되기까지 수 시간 동안 암호화폐 지갑 상호작용을 조작하고 자금을 탈취할 수 있었습니다.
이후 삽입된 악성코드가 웜처럼 동작하여 Qix가 관리하는 다른 프로젝트로 자동으로 확산될 수 있다는 사실이 밝혀졌습니다. 피해가 막대할 수도 있었지만, 악성 버전이 제거되기 전까지 수백 달러 상당의 자금만 도난당했습니다. 이 사건은 오픈 소스 생태계에서 단일 장애점이 얼마나 치명적일 수 있는지를 여실히 보여주었습니다.
다행히 MetaMask의 LavaMoat는 의존성에 대한 런타임 제어를 적용하여 환경과의 상호작용 방식을 제한하는 샌드박싱 프로세스를 통해 이러한 광범위한 공급망 공격으로부터 보호합니다. 악성 패키지가 설치되더라도 LavaMoat는 비밀 정보 유출, 지갑 API 변조, 무단 네트워크 활동을 차단합니다. MetaMask의 Zbyszek Tenerowicz의 말처럼: "NPM에서 악성코드를 실행해도 됩니다... 아무런 결과 없이 말이죠."
소프트웨어 엔지니어 Eito Miyamura가 OpenAI의 최신 ChatGPT 업데이트 이후 개인 사용자 데이터에 대한 위험을 지적하자, Vitalik Buterin이 논의에 참여했습니다. Buterin은 중앙화된 AI에 대한 의존을 실행 가능한 거버넌스 솔루션으로 보는 시각을 일축하며, AI가 자금 배분과 같은 민감한 역할을 맡게 된다면 공격자들이 "가능한 한 많은 곳에 탈옥 코드와 '돈 다 내놔'를 심을 것"이라고 지적했습니다.
대신 Buterin은 AI 시스템이 제3자 감사와 인간 배심원의 무작위 점검에 개방되는 "인포 파이낸스" 모델을 제안했습니다. 이 접근 방식은 투명성과 커뮤니티를 더 안전한 미래로 나아가는 길로 여기는 탈중앙화의 정신과 일치합니다. 이더리움 공동 창립자의 관점은 AI에서 혁신, 보안, 책임의 균형을 어떻게 맞출 것인지에 대한 커지는 논쟁을 부각시킵니다.
미국 암호화폐 업계 임원들을 표적으로 삼는 최신 수법으로, 사기꾼들은 월 최대 2만 달러를 지불하며 전문 성우를 동원한 정교한 보이스 피싱, 즉 비싱(vishing) 공격을 감행하고 있습니다. GK8의 연구원들은 사칭자 팀이 지하 포럼을 통해 모집되고, 엄선된 데이터셋, 딥페이크 기술, 보안 통제를 우회하도록 설계된 정교한 인프라의 지원을 받고 있다는 사실을 발견했습니다.
이러한 전화 기반 공격은 매우 개인화되어 있으며 특권적 접근 권한을 가진 개인을 겨냥하고 있어, 대규모 피싱에서 정밀 사회공학으로의 전환을 반영합니다. GK8 연구원 Tanya Bekker는 임원들이 "자신의 개인 정보가 이미 노출되었다고 가정해야 한다"고 경고하며, "고액 거래는 단 한 명의 개인이 확인해서는 안 된다"고 강조합니다.
스테이킹 플랫폼 Kiln은 파트너사 SwissBorg가 API 보안 침해 피해를 입은 후 만전을 기하기 위해 모든 이더리움 검증자를 탈퇴하겠다고 발표했습니다. 블록체인 조사관 ZachXBT는 SwissBorg가 약 4천만 달러 상당의 SOL을 잃었다고 보고했습니다. Kiln은 사용자 자금은 안전하며 다른 이더리움 자산은 영향을 받지 않았다고 강조하며, 이번 조치는 예방적 차원이라고 밝혔습니다.
결정이 발표될 당시 Kiln은 검증자당 10~42일이 소요되며 출금에는 추가로 9일이 필요할 것으로 추산했습니다. 한편, 250만 ETH 이상이 네트워크의 검증자 탈퇴 대기열에 쌓이면서 과도한 대기 시간이 발생했습니다.
혹시 놓치셨다면, 8월 말 이더리움 재단이 "Trillion Dollar Security(조 달러 보안)" 이니셔티브를 통해 네트워크 안전성을 강화하려는 노력을 공개했습니다. 이 프로그램의 목표는 수십억 명의 사용자가 온체인에서 최소 1,000달러를 보유하는 것에 편안함을 느끼고, 기관과 정부가 이더리움 애플리케이션 내에서 수조 달러 규모의 자산을 안심하고 관리할 수 있는 현실을 만드는 것입니다. 계획은 생태계 전반의 취약점 파악, 파트너와의 수정 및 개선 구현, 명확한 보안 기준 수립의 세 단계로 구성되어 있습니다.
이 프로그램은 Security Alliance 창립자 samczsun, Sigma Prime 공동 창립자 겸 이사 Mehdi Zerouali, Etherealize 공동 창립자 Zach Obront의 지원을 받을 예정입니다. 또한 이더리움 재단은 이더리움 보안이 개선되어야 할 부분에 대한 생태계의 의견을 구하고 있습니다.
몇 주 후, 이더리움 재단은 연구원들이 예정된 Fusaka 업그레이드를 감사하도록 초청하는 200만 달러 규모의 콘테스트 개최를 발표했습니다. 콘테스트는 9월 15일부터 10월 13일까지 Sherlock 테스트넷에서 진행되며, 각각 10만 달러와 2만 5천 달러를 기여한 Gnosis와 Lido가 공동 후원합니다. 이 접근 방식은 네트워크의 미래에 대한 탈중앙화 생태계의 집단적 이해관계를 잘 보여줍니다.
무슨 일이 있었나
보안 연구원들이 ModStealer라는 신종 악성코드를 발견했습니다. 이 악성코드는 거의 한 달 동안 바이러스 백신 소프트웨어를 피해 Windows, Linux, Mac 사용자의 암호화폐 지갑 데이터를 탈취했습니다. 공격자들은 개발자를 표적으로 한 가짜 채용 공고를 통해 악성코드를 유포하고 있습니다. 시스템에 침투하면 브라우저 지갑 확장 프로그램과 자격 증명을 탐색한 후 모든 정보를 공격자 서버로 조용히 전송합니다. Mac에서는 시스템 도우미로 위장하여 시작 시 자동으로 실행되도록 설정합니다. 보안 전문가들은 탈취된 개인 키와 시드 구문이 사용자 자금에 대한 직접적인 접근을 의미하기 때문에 암호화폐 보유자에게 심각한 위협이며, 탐지 도구를 우회할 수 있다는 사실이 전체 암호화폐 생태계에 실질적인 위협이 된다고 말합니다.
사용자가 안전을 유지하는 방법
특히 채용 공고나 암호화폐 관련 콘텐츠를 검색할 때 방문하는 사이트에 대한 지속적인 주의가 필요합니다. 항상 신뢰할 수 있는 출처를 참조하여 진위를 확인하세요. 어떤 종류든 원치 않는 제안은 최대한 주의를 기울여야 하며, 대부분의 경우 완전히 무시하는 것이 좋습니다. 또한 하드웨어 지갑과 같은 콜드 스토리지 옵션을 주요 암호화폐 자산에 활용하는 것이 자금을 안전하게 지키는 최선의 방법 중 하나입니다.
무슨 일이 있었나
크립토재킹 캠페인이 잘못 구성된 Docker API를 표적으로 XMRig 암호화폐 마이너를 설치하고 있으며, 공격자들은 TOR 네트워크를 이용해 흔적을 숨기고 있습니다. 악성코드는 다른 노출된 Docker 인스턴스를 스캔하여 확산되며, Telnet 및 Chrome 원격 디버깅 포트를 공격하는 잠재적 코드를 포함하고 있어 공격자들이 더 큰 봇넷 구축을 준비하고 있을 가능성을 시사합니다.
사용자가 안전을 유지하는 방법
연구원들은 조직이 이러한 공격으로부터 보호하기 위해 API 접근을 철저히 제한하고, 네트워크를 적절히 분리하며, 기본 자격 증명을 변경해야 한다고 강조합니다.
무슨 일이 있었나
CertiK에 따르면 7월에서 8월 사이 암호화폐 해킹이 13% 이상 급증하며 약 1억 7,300만 달러가 도난당했습니다. 피싱 사기만으로도 그 중 1억 100만 달러를 차지했습니다. 이달 최대 피해 사례로는 9,100만 달러 규모의 대형 피싱 공격과 BTC Turk의 5,300만 달러 해킹이 포함됩니다.
이는 6월부터 계속되고 있는 추세의 일부이며, 전문가들은 매달 피해가 더욱 심각해질 것으로 예측합니다. 방어 수단이 진화하고 있음에도 불구하고 이러한 기본적인 피싱 사기는 여전히 매우 효과적입니다. 한 CEO는 조직 범죄 집단이 사실상 "사기를 서비스로 제공하는 테크 스타트업"으로 변모했다고 지적했습니다.
사용자가 안전을 유지하는 방법
사회공학 공격은 인간적 요소가 방어하기 가장 어려운 공격 표면이기 때문에 특히 효과적입니다. 항상 대화 상대가 누구인지 파악하고, 원치 않는 모든 종류의 연락에 주의를 기울이세요. 이메일이나 문자 메시지의 무작위 링크는 절대 클릭하지 마세요. 대화 상대가 본인이 생각하는 사람이 아닐 수 있다는 조금이라도 의심이 든다면, 직장 전화 통화나 다른 안전한 방법을 통한 신원 확인 등 다른 방식으로 직접 연락할 방법을 찾으세요.
MetaMask의 2025년 9월 암호화폐 보안 보고서는 18개 패키지를 침해한 주요 npm 공급망 공격, 암호화폐 임원을 표적으로 한 개인화된 보이스 피싱, 2025년 8월 암호화폐 해킹 급증(1억 7,300만 달러 도난, 1억 100만 달러 피싱 피해), 이더리움 재단의 Trillion Dollar Security 이니셔티브를 다루었습니다. 생태계 전반의 더 많은 위협, 트렌드, 안전 유지 팁을 위해 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
