원문 제목: "Trust Wallet 플러그인 버전이 공격당해 600만 달러 이상 손실, 공식 긴급 패치 배포"

원문 작성자: ChandlerZ, Foresight News

12월 26일 아침, Trust Wallet이 보안 경보를 발표했습니다. Trust Wallet 브라우저 확장 프로그램 버전 2.68에 보안 취약점이 확인되었으며, 2.68 버전을 사용 중인 사용자는 즉시 해당 확장 프로그램을 비활성화하고 2.69 버전으로 업데이트해야 합니다. 업데이트는 공식 Chrome 웹 스토어 링크를 통해 진행해주시기 바랍니다.

파이쉴드 모니터링에 따르면, Trust Wallet 취약점 악용 이벤트로 해커가 피해자로부터 600만 달러 이상의 암호화 자산을 탈취한 것으로 확인되었습니다.

현재 약 280만 달러의 탈취 자금이 여전히 해커 지갑에 남아 있으며(비트코인 / EVM / 솔라나), 400만 달러 이상의 암호화 자산이 중앙 집중식 거래소로 이체되었으며, 구체적으로 약 330만 달러가 ChangeNOW로, 약 34만 달러가 FixedFloat로, 약 44.7만 달러가 Kucoin으로 이체되었습니다.

피해자 수가 증가함에 따라 Trust Wallet 2.68 버전에 대한 코드 감사 작업이 신속히 진행되었습니다. 보안 분석 팀인 SlowMist는 2.68.0(악성 버전)과 2.69.0(수정 버전)의 소스 코드 차이를 비교함으로써, 해커가 공식 플러그인을 감시하기 위해 장치한 것으로 보이는 데이터 수집 코드 집합을 식별하여 공식 플러그인을 개인 정보를 도난하는 후드로 변형시켰음을 발견했습니다.

분석: Trust Wallet 관련 개발자 장치 또는 코드 저장소가 공격자에게 제어당함

SlowMist 보안 팀의 분석에 따르면, 이번 공격의 핵심 수단은 Trust Wallet 브라우저 확장 프로그램 2.68.0 버전으로 확인되었습니다. 복구된 2.69.0 버전과의 비교를 통해, 보안 직원들은 이전 버전에서 변장이 극도로 심한 잘못된 코드 조각을 발견했습니다. 다음 그림 참조.

후드 코드 추가로 지갑 사용자의 다양한 개인 정보(니모닉 포함)를 수집하고, 이를 공격자 서버 api.metrics-trustwallet [.] com으로 전송하는 것으로 확인되었습니다.

코드 변경 및 체인 상 활동을 기반으로, SlowMist는 이 공격의 추정된 타임라인을 제시했습니다:

· 12 월 08 일: 공격자가 관련 준비를 시작합니다.

· 12 월 22 일: 성공적으로 백도어가 심어진 2.68 버전을 온라인으로 배포합니다.

· 12 월 25 일: 크리스마스 휴가를 이용하여 공격자가 훔친 니모닉을 사용하여 자금을 이체하기 시작하고, 이후 사건이 폭로됩니다.

또한, SlowMist 분석에 따르면, 공격자는 Trust Wallet의 확장 프로그램 소스 코드를 매우 잘 알고 있는 것으로 보입니다. 현재의 패치 버전(2.69.0)은 악의적인 전송은 차단했지만 PostHog JS 라이브러리를 제거하지 않았습니다.

동시에 SlowMist 기술의 최고 정보 보안 책임자 23pds는 소셜 미디어에 게시물을 올려「SlowMist의 분석 결과, Trust Wallet 관련 개발자 장치 또는 코드 저장소가 공격자에 의해 제어될 가능성이 있으니 즉시 네트워크 연결을 끊고 관련 인원의 장치를 조사하세요.」라고 밝혔습니다. 그는 또한「Trust Wallet 영향을 받는 버전의 사용자는 반드시 먼저 네트워크 연결을 끊고, 자금을 이체하기 위해 니모닉을 내보내야 합니다. 그렇지 않으면 온라인으로 지갑을 열 때 자금이 도난당할 수 있습니다. 니모닉 백업이 있는 사용자는 반드시 먼저 자금을 이체한 후 지갑을 업그레이드해야 합니다.」라고 강조했습니다.

플러그인 보안 사건의 빈도가 늘어남

동시에 그는 공격자가 Trust Wallet 확장 소스 코드를 매우 잘 알아보는 것으로 보이며, 사용자의 지갑 정보를 수집하기 위해 PostHog JS를 심었습니다. 현재 Trust Wallet의 패치된 버전에는 아직 PostHog JS가 제거되지 않았습니다.

이번 Trust Wallet의 공식 버전이 트로이 목마로 전락한 사례는 시장에 과거 몇 년간 핫 월렛 프론트엔드를 향한 고위험 공격을 연상시켰습니다. 공격 방식부터 취약점 원인까지, 이러한 사례들은 본 사건을 이해하는 데 중요한 참고점을 제공했습니다.

· 공식 채널이 더 이상 안전하지 않을 때

이번 Trust Wallet 사건과 가장 유사한 점은 소프트웨어 공급망 및 배포 채널을 겨냥한 공격입니다. 이러한 사건에서 사용자는 실수를 저지르지 않았을 뿐더러 '정품 소프트웨어'를 다운로드했음에도 피해를 입었습니다.

Ledger Connect Kit 독 공격 사건 (2023 년 12 월): Ledger의 하드웨어 지갑 거물의 프론트엔드 코드 라이브러리가 해커에 의해 피싱을 통해 권한을 얻고 악성 업데이트 패키지를 업로드했습니다. 이에 따라 SushiSwap을 포함한 여러 핵심 dApp 프론트엔드가 오염되어 가짜 연결 창이 표시되었습니다. 본 사건은 '공급망 공격'의 성공 사례로 간주되며, 매우 안전한 평판의 회사라도 Web2 배포 채널(NPM과 같은)이 여전히 단일 고장 지점이 될 수 있음을 입증했습니다.

Hola VPN 및 Mega 확장 프로그램 해킹 (2018 년): 2018 년에는 유명한 VPN 서비스 Hola의 Chrome 확장 프로그램 개발자 계정이 해킹당했습니다. 해커는 악성 코드가 포함된 "공식 업데이트"를 배포하여 MyEtherWallet 사용자의 개인 키를 감시하고 도난했습니다.

· 코드 결함: 니모닉 "노출" 위험

외부 오염 외에도, 지갑이 니모닉, 개인 키 자료 등 민감한 데이터를 처리할 때의 구현 결함은 대규모 자산 상실을 일으킬 수 있습니다.

Slope Wallet 로깅 시스템이 민감한 정보를 수집한 논란 (2022 년 8 월): 솔라나 생태계에서 대규모 유동성 훼손 사건이 발생했었는데, 사후 관련 조사 보고서는 Slope 지갑을 겨냥하여 제작된 버전이 Sentry 서비스로 개인 키 또는 니모닉을 전송한 것으로 조사되었습니다 (Sentry 서비스는 Slope 팀이 비공개로 운영하는 Sentry 서비스로서 Sentry 공식 API 및 서비스가 아닙니다). 그러나 보안 회사는 Slope 지갑 애플리케이션에 대한 조사를 통해 현재까지 사건의 근본적인 이유를 명확히 할 수 없다고 밝혔으며, 이 사건의 근본적인 이유를 설명하기 위해서는 많은 기술적인 작업이 필요하며, 이 사건의 근본적인 이유를 설명하기 위해 추가 증거가 필요하다고 언급했습니다.

Trust Wallet의 낮은 엔트로피 키 생성 취약점 (CVE-2023-31290로 공개, 2022/2023년으로 거슬러 올라갑니다): Trust Wallet 브라우저 확장 프로그램에는 난수 부족 문제가 있었는데, 공격자가 32비트 시드만 통해서 추론 가능성을 이끌어내어 특정 버전 범위 내에서 영향을 받을 수 있는 지갑 주소를 식별하고 자금을 도난당할 수 있었습니다.

· "이규"와 "이귀"의 게임

확장 프로그램 지갑 및 브라우저 검색 생태계는 오랜 기간 동안 가짜 플러그인, 가짜 다운로드 페이지, 가짜 업데이트 팝업, 가짜 고객 지원 개인 메시지 등 그레이 해커링 링크를 가지고 있습니다. 사용자가 비공식 채널에 설치하거나 피싱 페이지에 니모닉 또는 개인 키를 입력할 경우 즉시 자산이 탈취될 수 있습니다. 사건이 공식 버전으로 진화할 때도 위험성이 있으며, 사용자의 보안 경계가 더욱 압축될 수 있어 이중 사기가 쉽게 증가할 수 있습니다.

기고문 작성 시점까지, Trust Wallet 공식은 영향을 받는 모든 사용자에게 빠른 업데이트를 완료할 것을 촉구했습니다. 그러나 탈취된 온체인 자금의 지속적인 움직임을 고려하면, 이 "크리스마스 트리 장식 도난" 사태의 여파는 분명히 종료되지 않았습니다.

Slope의 평문 로그와 Trust Wallet의 악의적인 백도어 모두, 역사는 놀랍게도 매우 유사합니다. 이는 한 번 더 모든 암호화폐 사용자에게 상기시키는 것입니다. 어떤 단일 소프트웨어 단말기도 맹목적으로 신뢰하지 말아야 합니다. 권한을 정기적으로 확인하고, 자산을 분산 보관하며, 이상 버전 업데이트에 대한 경계를 유지하는 것이 암호화폐 어둠의 숲을 횡단하는 생존 규칙이 될 수 있습니다.

원문 링크

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia