AI 페이스 스와핑, 플러그인 함정으로 수백만 달러 손실 거래소는 정말 안전한가요?

전통 금융권에서는 이미 드물지 않은 보안 사고가 익명의 암호화폐 업계에서는 훨씬 더 흔하게 발생하고 있습니다.

데이터에 따르면 5월 한 달에만 암호화폐 업계에서 37건의 일반적인 보안 사고가 발생했으며, 해킹, 피싱 사기, 러그 풀로 인한 총 손실액은 4월 대비 약 52.5% 증가한 1억 5,400만 달러에 달했습니다.

6월 3일에 또다시 두 건의 보안 사고가 발생했는데, 다른 사건과는 약간 다르지만 두 사건 모두 대형 거래소와 관련이 있었고 그 과정도 상당히 기괴했는데, 이야기의 끝에서 역시 누군가는 기뻐하고 누군가는 슬퍼하는 모습을 보였습니다.

6월 3일, 나카마오라는 아이디를 사용하는 한 사용자가 X 플랫폼에 "암호화폐계의 피해자가 되어 코인세이프 계정에 있던 100만 달러가 연기로 사라졌다"는 내용의 장문의 글을 게시해 큰 화제가 되었습니다. 이 이야기에서 해커들의 연쇄 도난 사건이 공개되었습니다.

5월 24일, 나카마오는 출근 중이었고 모든 통신 장치가 정상적으로 작동하고 있었지만 해커들은 코인세이프 계정 비밀번호나 2차 인증 지침(2FA)이 없는 페어 노크 거래를 통해 계좌에서 모든 자금을 훔쳐간 것으로 추정됩니다. 자금.

페어 노크 거래, 간단히 말해서 페어 노크 거래는 유동성이 부족한 쌍으로 대량의 자금을 거래하는 방식으로, 거래 상대방이 해커의 계정에서 매도 물량을 인수하기 위해 대규모로 매수하여 결국 거래 상대방은 특정 유형의 암호화폐로 실제 자금 또는 스테이블 코인을 받고, 매수자는 매도자의 손에 있는 암호화폐를 인수하는 방식입니다. 이러한 유형의 도난은 거래소에서 드물지 않은데, FTX는 '22년에 3commas API KEY 유출로 인해 600만 달러 규모의 도난이 발생했지만 SBF는 현금 지급으로 이를 해결할 수 있었습니다. 그 후 코인세이프에서도 대규모 녹아웃 거래가 발생했습니다. 하지만 이 모델은 리스크 관리가 취약한 거래소에서 흔히 볼 수 있는 거래 행태일 뿐, 비정상적인 도난은 없었습니다.

이 사례에서는 사용자의 대량 구매를 통해 20% 이상 상승한 QTUM/BTC, DASH/BTC, PYR/BTC, ENA/USDC 및 NEO/USDC가 선택되었습니다. 해커의 모든 작업은 사용자가 1시간 이상 지나서야 계정 정보를 확인하여 이상 징후를 발견했습니다.

보안업체의 대응에 따르면 해커는 웹 쿠키를 인질로 잡고 사용자 계정을 조작했는데, 이는 웹 측에 저장된 단말기 데이터를 이용하는 것을 의미합니다. 일반적인 예를 들어 인터넷의 특정 인터페이스에 들어가면 이미 방문 기록과 기본 기록을 남겼기 때문에 로그인하는 데 계정 비밀번호가 필요하지 않습니다.

이것은 사용자 자신의 과실로 인한 결과일 수도 있지만 더 이상해집니다. 도난 후 나카마오는 먼저 고객과 코인섹 공동 창업자 허이에게 연락하여 해킹된 자금이 단기간에 동결되기를 바라며 보안팀에 UID를 넘겨주었습니다. 그러나 코인시큐리티 직원은 하루가 지나서야 쿠코인과 게이트에게 해커의 자금이 이미 사라진 지 오래되었고, 해커가 계정을 분산하지 않고 단 하나의 계정으로 모든 자금을 무사히 인출했다는 사실을 알렸습니다. 이 모든 과정에서 사용자는 보안 경고를 받지 못했을 뿐만 아니라, 더 아이러니한 것은 거래량이 많았던 둘째 날 코인세이프가 실제로 현물 시장 메이커 초대 이메일을 보냈다는 것입니다.

리뷰 이후, 나카마오의 시야에 Aggr이라는 평범한 크롬 플러그인이 다시 들어왔습니다. 이 플러그인은 시세 데이터 사이트 보기에 사용되는데, 도난당한 설명에 따르면 해외의 많은 KOL이 몇 달 동안 홍보하는 것을 보았기 때문에 자신의 필요에 따라 다운로드하도록 했습니다.

이 플러그인은 실제로 여러 가지 작업을 수행할 수 있으며, 이론적으로는 악성 확장 프로그램을 통해 거래 계좌에 로그인하고 거래를 위해 사용자의 계좌 정보에 접근할 수 있을 뿐만 아니라 자금 인출 및 계좌 설정 수정도 가능한데, 핵심적인 이유는 플러그인 자체에 있습니다. 플러그인 자체에 네트워크 요청에 대한 액세스, 조작, 브라우저 저장소 액세스, 클립보드 조작 및 기타 여러 기능에 대한 광범위한 권한이 있다는 것이 핵심 이유입니다.

나카마오는 플러그인에 문제가 있다는 사실을 발견한 후 즉시 KOL을 찾아 이에 대해 문의하고 KOL에게 사용자에게 플러그인을 비활성화하라고 경고했지만 그 순간 부메랑이 코인셰어에 삽입될 줄은 거의 알지 못했습니다. 나카마오의 초기 자체 보고에 따르면, 코인세이프는 이전에 플러그인의 문제를 알게 되었고 올해 3월에도 비슷한 사례가 있었으며, 코인세이프는 그 후에도 해커를 추적하거나 겁을 주지 않기 위해 제품 중단을 적시에 알리지 않았으며, 또한 KOL이 해커와 계속 연락을 유지하도록 방치하여 나카마오가 다음 피해자가 된 것으로 밝혀졌습니다.

쿠키만으로 로그인과 거래가 가능했다는 사실도 문제였지만, 사건 자체가 사용자의 부주의로 인해 발생했기 때문에 범인을 추적하기 어려웠습니다.

예상대로 이에 대한 코인세이프의 대응은 시장에 큰 파장을 일으켰습니다. 공식 계정 리뷰에서 원인 자체가 해킹이라고 밝힌 것 외에도 코인세이프는 AGGR 플러그인 관련 정보를 알지 못했고, 위챗 그룹에서 허이도 이번 사건에 대해 "이것은 사용자 자신의 컴퓨터가 해킹 당했고, 신을 구할 수 없으며, 코인세이프는 사용자 자신의 장비 타격에 대해 보상 할 수 없습니다. "

나카마오는 코인섹의 조치를 받아들일 수 없다며 코인섹이 바람을 통제하지 않은 죄를 지었다고 주장했고, KOL은 코인섹 팀에 플러그인을 언급한 사실을 명시적으로 확인했으며, 코인섹은 해당 정보를 보고하지 않았다는 의혹을 받고 있습니다. 여론이 계속 악화되자 코인섹은 악성 플러그인을 신고하는 이용자에게 포상금을 지급하겠다고 다시 한 번 대응했습니다.

이것이 이야기의 끝이라고 생각했지만 흥미롭게도 6월 5일, 나카마오는 X-플랫폼에 메시지를 게시하여 코인세이프와 정보에 차이가 있었고 개인적인 추측을 했으며 코인세이프는 플러그인을 둘러싼 상황을 통보받지 못했다고 다시 한번 사과하면서 이야기는 반전되었습니다. 코인세이프가 aggr.trade의 URL에 대해 처음 알게 된 시점은 앞서 언급한 3월이 아닌 5월 12일이었습니다. 또한 KOL은 코인세이프의 위장 에이전트가 아니며, KOL과 코인세이프의 커뮤니케이션은 플러그인 문제가 아니라 계정 문제와 관련된 것이었습니다.

이 발언의 진위 여부와 상관없이 실망스럽다던 태도에서 공개 사과까지 180도 돌아선 태도는 코인세이프가 보상금 중 일부가 틀림없다는 것을 알 수 있으며, 구체적인 보상은 얼마가 될지 알 수 없습니다. <span yes'; font-size:10.5000pt;mso-font-kerning:1.0000pt;"

한편, 6월 3일 코인시큐리티 외에도 OKX도 피해를 입은 것은 우연이 아닙니다. 한 OKX 사용자는 커뮤니티에서 AI 페이스 스왑에 의해 계정이 도난당했으며 계정에서 2백만 달러가 이체되었다고 주장했습니다. 이 사건은 5월 초에 발생했으며, 사용자의 설명에 따르면 계정이 도난당한 이유는 개인 정보 유출과는 무관하며, 해커가 이메일 번호로 로그인하고 비밀번호 분실을 클릭한 후 방화벽을 우회하여 가짜 ID와 AI 얼굴 교환 동영상을 만든 후 휴대폰 번호, 이메일 주소, 구글의 인증자를 교체하여 24시간 만에 계정의 모든 자산을 탈취한 것으로 밝혀졌다고 합니다.

영상을 직접 보지 못했지만, 사용자의 진술로 미루어 볼 때 AI가 합성한 영상이 매우 부실하다는 것을 알 수 있지만, 그럼에도 불구하고 OKX의 바람 제어 시스템을 무너뜨렸으므로 사용자는 OKX에도 책임이 있다고 생각하고 OKX가 자금을 전액 지급하기를 희망하고 있습니다. 그러나 실제로 신중하게 분석하면 가해자는 사용자와 친숙해야하며 사용자의 습관과 계정 금액을 이해하고 범죄의 지인으로 판단 할 수 있으며 사용자 자신도 편지에서 친구와 자신의 불가분의 관계에 대해 언급했습니다. 일반적인 상황에 따라 OKX는 이에 대해 보상하지 않습니다. 현재 이 사용자는 경찰에 신고되었으며 경찰을 통해 돈을 회수할 계획입니다.

이 두 가지 사건에 대해 암호화폐 커뮤니티에서 많은 논의가 있었습니다. 물론 보안의 관점에서 많은 사람들이 자산의 절대적인 통제권을 갖기 위해 지갑이 자체 호스팅된다는 점을 강조하지만, 거래소가 개인 통제에 비해 더 안전하다는 점은 인정해야 하며 그 핵심은 소통하는 당사자의 수가 늘어난다는 점입니다. 거래소는 적어도 도킹하고 연락할 수 있는 직접적인 제3자이며, 결과에 상관없이 최소한 조사에 관여할 것이고, 소통이 적절하다면 위의 피해자처럼 일반적으로 돈을 받을 수도 있지만, 자체 호스팅 지갑을 도난당한 경우 조직이 인수할 수 있는 것은 거의 없습니다.

그러나 현재 거래소의 보안 개선도 시급합니다. 대형 거래 플랫폼이 사용자 자산의 대부분을 통제하고 있고, 암호화폐 자산은 복구가 어려운 만큼 보안도 더욱 중요하게 고려해야 합니다. <강조>기존의 금융 거래에서는 거의 매번 로그아웃할 때마다 비밀번호를 다시 입력해야 계정이 통제되는 것을 막을 수 있고, 송금할 때도 추가 인증 수단을 추가하는 것이 일반적입니다. 따라서 커뮤니티에서는 거래 플랫폼에 비밀번호 잠금 기능을 추가하고, 거래 전 2단계 인증을 추가하고, IP 변경 후에도 재입력 인증을 하거나, 다자간 보안 MPC 인증을 도입하여 비밀번호를 분산시켜 사용자 경험을 희생하면서 보안을 강화해야 한다고 제안합니다.

허 이 대표는 이에 대해 "현재 급격한 가격 변동은 빅데이터 경보와 인력의 이중 확인에 겹쳐져 있으며, 사용자에 대한 알림도 늘릴 것이며, 플러그인 작업에서 쿠키의 승인은 확인 빈도를 늘리려는 것이며, 거래 비밀번호는 이 시나리오에 적용되지 않지만 코인세이프는 사용자 간의 차이를 고려할 것입니다."라고 답했습니다. 하지만 코인 시큐리티는 사용자의 차이에 따라 보안 인증 링크를 늘릴 것입니다."

다시 시작점으로 돌아가서, 둘 중에서

데이터 준비 완료
데이터 준비 완료
데이터 준비 완료
데이터 준비 완료> 동영상은 바로 사용할 수 있도록 준비되었습니다.

결국 암호화폐 자산은 적어도 추적이 가능한 실물 자산과는 다르며, 규제 제약으로 인해 후속 보상금을 받기가 거의 어려운 암호화폐 자산의 도난은 소송을 제기하기조차 매우 어렵습니다.

이런 사례는 드물지 않습니다. 며칠 전 1818 골든아이의 보도에서 대표적인 사례가 나왔습니다. 피해자 주 씨는 지후에서 코인 투기로 수백만 달러를 벌었다는 형 '청치치'를 발견하고, 그를 따라 코인 투기로 돈을 벌고 싶다는 희망을 품었습니다. 두 사람은 이익 공유 협력을 위해 체결한 계약을 통해 이익의 70%는 청치치에게, 30%는 주 씨가 가져가고, 거래 과정에서 손실이 발생하면 둘 다 50%를 부담하며, 주 씨는 단일 작업만 따르고 모든 계좌는 자신의 손에 속하는 권리에 속한다고 협상했습니다.

이렇게 높은 금액의 이익 공유는 계약에 대한 신뢰가 어느 정도있는 것 같고 결과를 신뢰할 수 없었습니다. 초기 작은 이익 후, 피해자는 "전액 보상"슬로건의 청치 보장, 차입 자본 60만, 100배 짧은 이더리움 레버리지로 칩 투자를 늘렸고, 마침내 이더리움의 상승으로 인해 피해자는 모든 돈을 잃었습니다.

이 사건은 모든 작업이 개인적이고 사기 나 강압적 인 행동이 없으며 문제의 끝, 경찰, 언론인은 중국의 법률 및 규정에 따라 가상 화폐 거래가 보호되지 않고 높은 수준의 위험이 있으며 경계해야한다는 점을 무력하게 강조 할 수 있기 때문에 분명히 제출하기가 어렵습니다.

결국 주 씨는 상심하고 순진한 표정으로. 우스꽝스러운 피날레를 장식했습니다.

어쨌든 거래에 종사하는 사람들에게는 높은 수준의 수익과 자유를 위해 보안을 일부 희생하는 금융 분야, 심지어 암호화폐에서도 보안은 효율성이나 수익성보다 훨씬 더 중요하다는 사실을 상기시키는 것이 중요하며, 이것이 탈중앙화 암호화폐의 세계에서 벗어나기 어려운 이유일 것입니다. 탈중앙화된 암호화폐 세계를 떠나기 어려운 이유 중 하나입니다.

결국 인간의 본성은 그렇습니다. 누구나 누군가가 보험을 들어주기를 원하고, 돈을 많이 벌더라도 다른 사람을 위해 보험을 들어주기를 원하지 않습니다.