AI 확산 속 암호화 보안 비상: 주간 다수 프로젝트 공격 당해, 제3자 의존과 인력 리스크가 최대 취약점

BlockBeats 소식, 10월 28일, AI 도구가 코드 감사, 취약점 발굴 및 자동화 공격 스크립트 생성에 광범위하게 사용되면서 암호화폐 분야의 공격 진입 장벽이 현저히 낮아졌고, 취약점 발견부터 악용까지의 윈도우 기간이 단축되었으며, 공급망, 제3자 구성 요소 및 인력 차원의 취약점이 더욱 효율적으로 노출되고 있다. 이번 주에는 여러 프로젝트 보안 사건이 집중적으로 발생했으며, 특히 제3자 의존성과 운영 권한 문제가 두드러졌다.

Coinbase가 이전에 공개한 내부 데이터 유출 사건의 영향은 현재까지 지속되고 있다. 공격자는 해외 외주 고객 서비스 인력에게 뇌물을 제공하여 약 6만 9천 명 사용자의 민감한 데이터를 획득했으며, 여기에는 이름, 주소, 전화번호, 이메일, 일부 신분증 이미지, 계정 잔액 및 거래 내역 등의 정보가 포함된다. 공격자는 이후 2천만 달러의 몸값을 요구했으나 회사가 거절했다. 공식 측은 사용자 비밀번호, 개인 키 및 자금 자체는 직접 탈취되지 않았다고 명확히 밝혔으나, 유출된 데이터는 후속 피싱 및 사회공학 공격에 사용되었으며, 회사는 전체 대응 비용이 수억 달러 규모로 추산된다고 밝히고 법 집행 기관과 지속적으로 협력하여 책임을 추궁하고 있다.

Solana 거래 자동화 플랫폼 Bloom은 10월 26일 공식적으로 보안 사건을 확인했다. 공격자는 제3자 모듈의 복잡한 원격 코드 실행 취약점을 이용하여 9명 사용자의 49개 지갑 주소에서 약 9408 SOL(약 94만 7천 달러)을 탈취했다. 공식 측은 사용자 개인 키가 접근되거나 유출되지 않았으며 다른 지갑은 안전하다고 명확히 밝혔고, 플랫폼은 100% 전액 배상을 약속하고 이미 완료했다.

인도 거래 플랫폼 CoinDCX는 약 1599만 달러의 손실을 확인했다. 자금은 이전 해킹 사건 이후 퇴역했다고 주장된 구 지갑에서 나왔으며, 자동 스윕 서비스 장애로 예치금이 쌓여 탈취된 것으로, 회사는 손실을 자체 흡수한다고 밝혔다. 공식 측은 이전에 관련 보고서를 오보라고 칭했다가 이후에야 공식적으로 인정했으며, 동시에 사용자를 대상으로 한 피싱 활동도 발생했다.

BNB Chain 예측 시장 MYRIAD는 10월 26일 내부 운영 지갑이 악용되는 사건이 발생했다. 공격자는 수 주 전 제3자 라이브러리 취약점으로 유출된 개인 키를 사용하여 10개 시장의 정산 결과를 조작했으며, 팀이 신속히 권한을 철회한 후 공격자는 자금을 성공적으로 인출하지 못했고, 관련 시장은 무효화되고 환불이 처리되었다.

또한 DotSwap V1은 약 10월 25일 구 버전 서버 측 서명 경로 취약점을 통해 약 8.5 BTC를 탈취했다. NGRAVE 하드웨어 지갑 제조사는 최근 지속적으로 보안 경고를 발표하고 있으며, 이전에配套 앱의 제3자 푸시 알림 서비스가 탈취되어 위조 경고로 사용자가 니모닉을 입력하도록 유도하여 약 256만 달러 이상의 손실을 초래했다. 공식 측은 하드웨어 지갑 자체는 해킹되지 않았다고 강조했다. Keystone은 웹사이트가 침해되어 고객 기록 및 기기 검증 키가 유출되었음을 확인했으며, 약 1만 9천 대의 재고 기기를 폐기할 계획이다.