지난주, 한 트러스트 월렛 사용자가 갑작스러운 자금 손실을 겪었습니다. BeInCrypto와 공유된 최근 보고서에 따르면, 그는 악성 웹사이트나 애플리케이션에 권한을 부여한 사실을 알지 못했다고 합니다.
트러스트 월렛의 정보 보안 책임자인 이브 램은 BeInCrypto와의 인터뷰에서 대부분의 무단 암호화폐 인출은 사용자 문제에서 비롯된다고 말했습니다. 해켄의 컴플라이언스 책임자인 드미트로 야스마노비치는 이 관점을 공유하며, 암호화폐 지갑이 손상되었다고 의심될 경우 사용자가 취해야 할 조치를 안내했습니다.
하룻밤 사이 손실
지난주, 칠레의 암호화폐 사용자 마티아스는 아무 걱정 없이 잠자리에 들었습니다. 그러나 아침에 일어났을 때 상황이 달라졌습니다. BeInCrypto와 공유된 정보에 따르면, 마티아스가 트러스트 월렛에 접속했을 때, 그의 계좌에서 자금이 인출된 것을 확인했습니다.
이런 상황은 그가 모바일 지갑을 사용한 5년 동안 한 번도 겪어보지 못한 일이었습니다. 마티아스는 오전 8시에 소량의 암호화폐가 계좌에 입금된 것을 곧 알아차렸습니다. 그 후, 그의 계좌는 비워졌습니다.
마티아스는 어떻게 이런 일이 발생했는지 전혀 알지 못했습니다. 트러스트 월렛의 보안 팀에 설명을 요청한 후, 그는 자신이 무심코 한 행동에서 문제가 발생했다는 것을 알게 되었습니다.
“내부 데이터와 사건 대응 조사에 따르면, 무단 인출의 대부분은 사용자 측 문제로 추적됩니다.”라고 램은 BeInCrypto에 말했습니다.
그녀는 사용자가 악의적인 행위자와 민감한 정보를 공유할 수 있는 여러 방법을 설명했습니다.
사용자 측 취약점 현실
트러스트 월렛의 내부 데이터와 사건 대응 조사에 따르면, 사용자 측 문제로 인해 대부분의 무단 암호화폐 인출이 발생합니다.
이는 종종 유출되거나 손상된 시드 구문과 관련이 있으며, 소셜 엔지니어링 전술, 불안전한 저장, 사용자가 승인한 악성 스마트 계약으로 인해 발생합니다.
기기 수준의 손상과 SIM 스왑 공격이나 잠금 해제된 기기의 도난과 같은 사건도 이러한 무단 인출에 기여합니다.
“이 모든 경우에 트러스트 월렛 앱 자체는 침해되지 않았습니다. 문제는 외부 환경에서 발생하거나 설치 전에 취한 행동에서 비롯됩니다.”라고 램은 설명했습니다.
이러한 착취 방법은 모바일 지갑에서 암호화폐를 훔치는 가장 일반적인 공격 기술 중 하나입니다.
사용자 실수 vs 지갑 해킹…손실은 어디서?
해켄은 모바일 지갑 공격 트렌드에 대한 구체적인 내부 데이터는 없지만, 야스마노비치는 BeInCrypto에 사용자 행동으로 인한 자금 손실이 점점 더 명확해지고 있다고 설명했습니다.
“우리의 조사와 도구는 훨씬 더 광범위한 문제를 가리킵니다. 오늘날 암호화폐에서의 대규모 손실은 모바일 악성코드보다는 서명자 워크플로우, 인터페이스 보안, 접근 제어의 실패와 더 관련이 있습니다.”라고 야스마노비치는 설명했습니다.
서명자 워크플로우는 개인 키로 암호화폐 거래를 승인하는 것을 포함합니다. 이 키가 손상되면 무단 거래 서명이 가능합니다. 한편, 암호화폐 지갑과 dApp의 결함 있는 사용자 인터페이스는 사용자를 유해한 거래로 오도할 수 있습니다. 공격 방법에는 주소 중독이 포함되며, 공격자는 유사한 주소를 만들어 자금을 가로챕니다.
또한, 자격 증명을 훔치거나 유해한 거래 서명을 유도하기 위해 설계된 스푸핑된 또는 악성 dApp을 배포합니다. UI 리드레싱은 사용자를 속여 의도하지 않은 행동을 하게 만드는 기만적인 오버레이를 포함합니다.
종종 사용자는 악성 스마트 계약을 승인하는 경우도 있습니다.
“그것은 중요한 점입니다. 악성 승인은 트러스트 월렛이 설치되기 전에 존재할 수 있습니다. 특히 사용자가 다른 지갑이나 브라우저를 사용하여 Web3 앱과 상호작용한 경우입니다.”라고 램은 경고했습니다.
이러한 상황이 발생하면 자금을 회수하기가 매우 어렵습니다.
자금 회수의 도전
비수탁형 지갑으로서의 트러스트 월렛은 사기 후 암호화폐 거래를 되돌릴 수 없습니다. 그러나 도난당한 자금을 추적하기 위해 온체인 분석을 수행하여 사용자들을 돕습니다. 또한 법 집행 기관을 위한 상세한 사건 보고서를 제공하고 때로는 포렌식 회사와 협력합니다.
이러한 노력에도 불구하고 자금을 회수할 가능성은 매우 낮습니다.
“성공은 초기 행동에 크게 의존합니다. 자금이 CEX에 도달하고 사용자가 신속하게 [법 집행] 보고서를 제출하면 자산 동결의 가능성이 있습니다. 모든 사기 관련 사건에서 회수 성공률은 낮지만, 중앙화된 엔드포인트가 관련되고 법 집행이 신속하게 개입할 때, 우리는 자금이 회수되는 것을 보았습니다. 우리가 도운 사례에서 약 40만 달러가 추적되었습니다.” – 램, BeInCrypto에 말했습니다.
결과적으로 사용자 교육은 이러한 손실을 초래하는 문제를 예방하는 가장 효과적인 방법으로 남아 있습니다.
탐지를 넘어…예방과 대응 조치?
트러스트 월렛에는 실시간 위협을 감지하는 보안 스캐너가 내장되어 있습니다. 이는 알려진 사기꾼 주소와 피싱 사이트, 의심스러운 승인과의 상호작용을 경고합니다. 그러나 때로는 이러한 경고가 충분하지 않을 수 있습니다.
암호화폐 지갑을 보호하기 위해 야스마노비치는 조직과 개인이 키 관리와 운영 보안을 보장하기 위해 암호화폐 보안 표준(CCSS) 통제를 구현해야 한다고 조언했습니다.
“키가 손상되었다고 의심될 때의 명확한 조치를 정의하고, 철회, 자금 이동 및 감사 등을 포함하며, 모든 지갑 시스템 및 키 처리 인터페이스에 대한 접근에 [다중 인증]을 요구하고, 자금을 손상시키지 않도록 단일 행위자가 접근하지 못하도록 쿼럼 기반 접근을 사용하며, 중앙 집중화된 위험 없이 복원력을 보장하기 위해 명확하게 정의된 복구 절차와 함께 암호화된 지리적 분산 백업을 구현하십시오.”라고 설명했습니다.
야스마노비치는 이러한 공격이 발생한 후 무엇을 해야 하는지 아는 것이 중요하다고 강조했습니다.
“암호화폐 지갑이 손상되었다고 의심되면 즉시 행동하십시오: 사건을 법 집행 기관에 보고하고 암호화폐 포렌식 전문가를 참여시키며, 체인 분석 도구를 사용하여 도난당한 자금을 추적하고 이동을 모니터링하며 믹서나 관련된 거래소를 식별하고, 동결된 자금 시도를 위해 KYC 데이터를 포함한 요청을 거래소에 제출하십시오.”라고 덧붙였습니다.
이러한 조치에도 불구하고 사용자 측의 취약성은 여전히 손실로 이어지고 있습니다.
모바일 지갑 사용자 취약점 지속적 도전
적극적인 보안 조치에도 불구하고 지속적인 자금 손실의 규칙성은 큰 우려를 불러일으킵니다. 이러한 사건의 규칙성은 모바일 지갑 사용 시 사용자 측 취약성의 지속적인 도전을 강조합니다.
더 안전한 웹3로 가는 길은 강력한 보안 프로토콜과 적극적인 사용자 준비 사이의 균형을 본질적으로 요구합니다. 따라서 사용자 교육에 대한 지속적인 헌신과 이러한 보호 조치의 광범위한 채택은 공격을 효과적으로 줄이고 산업 전반에 걸쳐 더 안전한 환경을 구축하는 데 필수적입니다.
비인크립토 웹사이트에 포함된 정보는 선의와 정보 제공의 목적을 위해 게시됩니다. 웹사이트 내 정보를 이용함에 따라 발생하는 책임은 전적으로 이용자에게 있습니다.
아울러, 일부 콘텐츠는 영어판 비인크립토 기사를 AI 번역한 기사입니다.
