根据 Cyvers 总结 2024 년 핵심 보안 동향 보고서에 따르면, 올해 Web3 네트워크 위협이 급증하여 총 165건의 보안 사고가 발생했고, 자금 손실이 23억 달러를 초과했으며, 2023년 (16.9억 달러)에 비해 40%(시장 요인 포함) 증가했습니다. 이 중 액세스 제어 관련 사고 (67건)가 23억 달러 손실의 81%를 차지했고, 약 98건의 스마트 계약 취약점으로 인한 손실이 총 4.563억 달러, 1건의 주소 오염 사고로 인한 손실이 680만 달러를 초과했습니다.그러나 2022년 (37.8억 달러)과 비교하면 2024년 보안 사고로 인한 손실이 14.8억 달러 감소했습니다(40% 감소), 그리고 13억 달러의 도난 자금이 회수되었습니다.Web3는 마치 짙은 안개에 싸인 어두운 숲과 같아서, 여기에는 숨어서 기회를 노리는 사냥꾼들과 풍부한 경험을 가진 경비원들, 그리고 안개를 걷어내고 악행을 폭로하는 의협들이 있습니다. Starlabs Consulting의 이번 「Disruptors Unplugged」 대화에 참여한 슬로우 미스트(SlowMist) 기술은 후자에 속합니다.슬로우 미스트는 블록체인 생태계 보안에 전념하는 회사로, 2018년 1월에 설립되었습니다. 주요 서비스는 "위협 발견부터 위협 방어까지 통합적이고 맞춤형 보안 솔루션"으로, 전 세계 많은 선두 및 유명 프로젝트에 서비스를 제공하며 국제적인 블록체인 보안 선두 기업으로 성장했습니다. 보안 솔루션에는 보안 감사, 위협 정보(BTI), 방어 배치 등의 서비스와 암호화폐 자금세탁방지(AML), 가짜 충전 취약점 검사, 보안 모니터링(MistEye), 해킹 기록 데이터베이스(SlowMist Hacked), 스마트 계약 방화벽(FireWall.X) 등의 SaaS 보안 제품이 포함됩니다. 슬로우 미스트는 업계에서 다수의 일반적인 고위험 블록체인 보안 취약점을 독립적으로 발견하고 공개하여 업계의 광범위한 관심과 인정을 받았습니다.이하는 이번 「Disruptors Unplugged」 대화의 핵심 발췌입니다.- 스마트 계약 취약점, 개인 키 유출, 사회 공학적 공격, 공급망 공격은 현재 Web3 생태계에서 가장 일반적이고 심각한 보안 위협이며 지속적으로 업계에 도전을 주고 있습니다.
- 보안은 동적 관리 프로세스이며, 제3자 보안 감사는 단기적으로 프로젝트의 보안 관행 이행을 안내할 수 있지만 장기적인 프로젝트 보안 및 안정성을 보장할 수는 없습니다. 따라서 자체 보안 체계를 구축하고 개선하는 것이 매우 중요합니다.
- 현재 MistTrack은 3억 개 이상의 주소 태그, 1,000개 이상의 주소 엔티티, 50만 건 이상의 위협 정보, 9,000만 건 이상의 위험 주소를 축적했으며, 이는 디지털 자산 보안 및 자금세탁 범죄 대응에 강력한 보호를 제공합니다.
- Web3의 폭발적 성장으로 많은 새로운 프로젝트와 사용자가 등장했지만, 보안 사고가 빈번하게 발생하면서 전문 보안 서비스에 대한 시장 수요가 지속적으로 증가하고 있습니다. 동시에 점점 더 많은 프로젝트가 보안과 규정 준수의 결합을 중요시하고 있어, 전문 보안 서비스 기업에게 새로운 진입점을 제공하고 있습니다.
Web3 산업 관련
🌃 슬로우 미스트 (SlowMist) 컨설팅: 현재 Web3 생태계에서 가장 심각한 보안 위협은 무엇이라고 보시나요?슬로우 미스트:현재 Web3 생태계에서 우리가 가장 심각하다고 판단하는 보안 위협은 다음과 같습니다.첫째, 스마트 컨트랙트 취약점은 널리 주목받는 문제입니다. 스마트 컨트랙트의 불변성으로 인해 취약점이 악용되면 돌이킬 수 없는 손실이 발생할 수 있으며, 이는 대부분의 공격 사건의 근본 원인입니다. 일반적인 스마트 컨트랙트 문제에는 권한 관리 부적절, 정수 오버플로, 논리 오류 등이 있습니다.둘째, 개인 키 유출도 중대한 보안 위험입니다. 사용자나 프로젝트 측 모두 개인 키 관리에 소홀하면 (개인 키 부적절 저장 또는 기기 공격 등) 자산 도난의 주요 원인이 될 수 있으며, 개인 키 안전은 자산 통제권과 직결됩니다.또한, 사회공학 공격(피싱, 계정 탈취, 신분 위장 등)도 자주 발생하는 악용 방식입니다. 일부 사용자와 프로젝트 팀의 보안 의식 부족이 공격자의 돌파구가 되고 있습니다.마지막으로, 최근 다수의 공급망 공격 보안 사고가 발생했기에 공급망 보안도 Web3 업계의 중요한 보안 문제로 부상했습니다. 공급망 보안 취약점으로 인해 악성 소프트웨어와 코드가 개발 도구, 서드파티 라이브러리, 클라우드 서비스, 업데이트 과정 등 다양한 경로에 주입될 수 있습니다. 이러한 악성 요소가 성공적으로 주입되면 공격자는 암호 자산을 탈취하고, 사용자 정보를 유출하며, 시스템 기능을 파괴하거나 랜섬웨어를 확산시킬 수 있습니다.🌃 Starlabs Consulting: Web3 분야의 공격 사건이 빈번한 상황에서 프로젝트 측(특히 초기 프로젝트)에게 제3자 보안 서비스 업체와 협력 외에 일상적인 방어 측면에서 어떤 일들을 할 수 있을까요? 몇 가지 제안 부탁드립니다.슬로우 미스트:현재 Web3 프로젝트가 직면한 공격 기법은 다양하고 프로젝트 간 상호작용이 점점 복잡해지면서 새로운 보안 취약점이 지속적으로 발생하고 있습니다. 많은 Web3 프로젝트 개발팀은 실전 보안 공격방어 경험이 부족한 편입니다. 프로젝트 개발 과정에서 팀은 일반적으로 비즈니스 논리와 기능 구현에 더 집중하고 보안 체계 구축은 소홀히 하는 경우가 많습니다. 따라서 완벽한 보안 체계가 갖춰지지 않은 상태에서는 Web3 프로젝트의 전 생애주기에 걸친 안전성을 보장하기 어렵습니다.보안을 확보하기 위해 프로젝트 측은 일반적으로 전문 블록체인 보안팀에 의뢰하여 코드 감사를 받습니다. 보안 감사를 통해 단기적으로 보안 실행 요구사항을 이행할 수 있지만, 프로젝트 자체의 보안 체계 구축을 지원하지는 못합니다. 이에 슬로우 미스트 보안팀은 《Web3 프로젝트 보안 실천 요구사항》(https://github.com/slowmist/Web3-Project-Security-Practice-Requirement)을 오픈소스로 공개하여 블록체인 생태계의 프로젝트 팀이 Web3 프로젝트 보안 역량을 갖출 수 있도록 지원하고 있습니다. 관심 있는 분들은 해당 자료를 참고하시기 바랍니다.우리는 보안이 동적 관리 프로세스라고 믿습니다. 단기적인 제3자 보안팀의 감사에만 의존해서는 프로젝트의 장기적인 안전성을 보장할 수 없습니다. 따라서 Web3 프로젝트의 자체 보안 체계 구축과 강화가 매우 중요합니다. 프로젝트 팀 자체적으로 일정 수준의 보안 역량을 갖추어야 프로젝트의 안전과 안정적 운영을 보장할 수 있습니다. 또한 보안 커뮤니티 참여, 최신 공격/방어 기술 및 경험 학습, 직원 대상 보안 교육 등을 통해 전사적인 보안 역량을 제고하는 것도 중요합니다.🌃 Starlabs Consulting: 끊임없이 진화하는 공격 기법에 대해 보안 기업은 어떻게 '마법이 높으면 도술도 높다'는 식으로 대응하고 있나요?슬로우 미스트:슬로우 미스트의 대응 방식을 예로 들어 설명드리겠습니다. 첫째, 우리는 새로운 위협에 대한 민감성을 항상 유지하며, 지속적인 모니터링을 통해 최신 공격 동향을 파악하고 있습니다. 그리고 맞춤형 취약점 탐지, 온체인 분석, 모니터링 도구 개발 등을 통해 실시간 방어와 효과적인 대응 능력을 확보하고 있습니다.둘째, 우리는 위협 정보 공유 네트워크를 운영하고 있습니다. 업계 파트너 및 프로젝트 팀과의 긴밀한 협력을 통해 최신 보안 정보를 신속히 입수하고, 온체인 데이터 분석 기술로 공격자의 자금 흐름을 추적하여 피해 복구를 지원하고 있습니다.마지막으로 역공학과 사례 분석도 빼놓을 수 없는 중요한 부분입니다. 과거 보안 사고에 대한 심층 분석과 정기적인 Hacking Time 세션을 통해 지속적으로 기술 역량을 향상시키고 있습니다.About SlowMist
🌃 스타랩스 컨설팅: 여러분은 매일 많은 작업을 수행하고 해커 주소를 분석하고 자금 흐름을 추적하는데, 그 중 위탁 받은 작업과 공익 목적의 작업이 각각 어느 정도 비율인가요?슬로우 미스트:슬로우 미스트의 자금 세탁 방지 및 자금 추적 업무는 주로 두 가지 출처에서 나옵니다: 고객의 위탁과 공익 서비스입니다.공익 서비스 부분에서 우리는 많은 주요 공개 공격 사건의 추적 작업에 참여했습니다. 프로젝트 측에서 우리에게 연락하지 않더라도 우리는 즉시 사건을 추적합니다. 이 부분의 작업은 주로 우리의 업계 건강한 발전에 대한 책임감에서 비롯됩니다. 해커 행위를 신속히 폭로하고 공격 방식을 분석함으로써 우리는 Web3 생태계 전체의 안전성 향상에 기여하고자 합니다. 이 외에도 슬로우 미스트는 매일 많은 피해자들의 구조 요청을 받고 있는데, 수천만 달러를 잃은 대규모 피해자들도 포함되어 있습니다. 이런 사건들에 대해 우리는 무료로 사건 평가와 커뮤니티 지원 서비스를 제공하고 있습니다(https://aml.slowmist.com/recovery-funds.html).한편 슬로우 미스트는 Web3 프로젝트를 대상으로 하는 긴급 대응 서비스(https://cn.slowmist.com/service-incident-response.html)도 제공하고 있습니다. 이 서비스는 해킹 공격 등 돌발 상황에 직면한 프로젝트가 신속하고 효과적으로 대응할 수 있도록 지원합니다. 우리는 침입 경로와 침입 후 행동을 자세히 분석하고 공격자의 온체인-오프체인 프로필을 구축합니다. 또한 도난 자산의 흐름을 추적합니다. 이 서비스에는 온체인-오프체인 침입 분석부터 자금 추적까지의 전 과정이 포함되어, 프로젝트가 보안 사고를 복기하고 슬로우 미스트의 블록체인 AML 시스템 및 InMist 위협 정보 네트워크를 활용하여 최대한 자금 손실을 만회할 수 있도록 지원합니다.🌃 스타랩스 컨설팅: 온체인 거래 기록은 복잡하고 미묘한데, 우리 일반 사용자도 한 건의 거래 분석에 어려움을 겪는데, 여러분은 매일 엄청난 양의 추적 작업을 해내고 계시죠. 더 효율적인 분석 도구와 데이터베이스를 사용하고 계신가요? 내부에서 사용하는 추적 분석 도구와 C-end 사용자를 위한 MistTrack은 어떤 차이가 있나요?슬로우 미스트:사실 우리도 MistTrack(https://misttrack.io)을 사용하고 있습니다. 간단하고 사용하기 쉬우며 데이터도 포괄적이기 때문입니다. 현재 MistTrack에는 3억 개 이상의 주소 태그, 1,000개 이상의 주소 엔티티, 50만 건 이상의 위협 정보, 9,000만 개 이상의 위험 주소가 누적되어 있어, 디지털 자산의 안전성 보장과 자금 세탁 범죄 척결에 큰 힘이 되고 있습니다. 다른 점은 우리 팀이 내부적으로 지식 베이스를 구축하여 추적 작업의 효율성을 높이고 있다는 것입니다.🌃 스타랩스 컨설팅: 사용자가 슬로우 미스트의 MistTrack 추적 서비스를 이용할 때, 개인 정보 보호에 대해 걱정할 필요가 있나요? 고객 개인 정보를 어떻게 보호하고 계신가요?슬로우 미스트:이 부분은 걱정하지 않으셔도 됩니다. 슬로우 미스트는 보안 회사로서 개인정보 보호에 매우 신경 쓰고 있으며, 협력 전에 항상 개인정보 정책을 사용자에게 알려드립니다. 우리는 서비스 제공에 필요한 데이터만 최소한으로 보관하며, 접근 권한도 엄격히 제한하여 승인된 직원만 관련 정보에 접근할 수 있도록 하고 있습니다. 또한 모든 사용자 데이터는 강력한 암호화 기술을 사용하여 전송 및 저장되고 있습니다.🌃 스타랩스 컨설팅: 슬로우 미스트가 제공하는 컨소시엄 체인 보안 솔루션에 대해 알고 싶습니다. 컨소시엄 체인 보안과 공개 체인 보안의 주요 차이점은 무엇인가요?슬로우 미스트:컨소시엄 체인과 공개 체인은 보안 요구사항에서 뚜렷한 차이가 있습니다.이러한 차이는 주로 네트워크 아키텍처, 사용자 그룹, 그리고 적용 시나리오의 차이에서 비롯됩니다.예를 들어 액세스 제어 측면에서, 컨소시엄 체인은 일반적으로 허가형 체인으로, 인증된 노드와 사용자만 참여할 수 있습니다. 컨소시엄 체인은 내부의 위협, 예를 들어 악의적인 노드 작동, 부적절한 권한 설정, 데이터 유출 등에 더 많이 노출됩니다. 반면 공개 체인은 개방형 네트워크로, 51% 공격, 스마트 컨트랙트 취약점 악용, 크로스체인 브릿지 공격 등 더 복잡하고 다양한 보안 위협에 직면합니다.노드 보안 측면에서, 컨소시엄 체인의 노드 수는 상대적으로 적으며 일반적으로 몇 개의 신뢰할 수 있는 당사자가 공동으로 유지 관리하므로 신뢰 기반이 높지만 단일 장애 지점 위험도 높습니다. 성능 향상을 위해 컨소시엄 체인은 종종 더 효율적인 합의 메커니즘(예: PBFT, Raft)을 채택하지만 그 대가로 일부 탈중앙화가 희생됩니다. 반면 공개 체인의 노드는 광범위하게 분산되어 있어 더 높은 탈중앙화 수준을 가지지만, 악의적인 노드 행동을 막기 위해 성능이 상대적으로 낮은 합의 메커니즘(예: PoW, PoS)을 사용합니다.컴플라이언스 요구사항 측면에서,컨소시엄 체인은 일반적으로 기업 시나리오에 적용되므로 엄격한 법적 규제와 컴플라이언스 요구사항을 충족해야 합니다. 따라서 보안 솔루션 설계 시 감사와 규제 요구사항을 충분히 고려해야 합니다. 반면 공개 체인은 더 글로벌화된 범위에서 운영되므로 국가 간 법률과 규제 문제에 직면하며, 보안 설계 시 탈중앙화와 효율성의 균형을 맞춰야 합니다.이러한 두 유형 체인의 특성을 고려하여 슬로우 미스트는 차별화된 보안 솔루션을 제공하여 각자의 보안 과제에 대응하고 있습니다.보안 산업에 대하여
🌃 스타랩스 컨설팅: Web3 보안 분야는 아직 블루오션인가요? 스타트업이 이 분야에 진입하거나 Web2 보안 기업이 Web3 보안 사업을 확장하려면 어떤 세부 영역에 주목해야 할까요?슬로우 미스트:Web3의 폭발적인 성장으로 새로운 프로젝트와 사용자가 급증했지만, 보안 사고도 빈번하게 발생하면서 전문 보안 서비스에 대한 시장 수요가 지속적으로 증가하고 있습니다. 동시에 점점 더 많은 프로젝트들이 보안과 컴플라이언스의 결합을 중요시하고 있어, 전문 보안 서비스 기업들에게 새로운 진입점을 제공하고 있습니다. 예를 들어 일반 사용자들이 피싱 공격, 악성 소프트웨어, 키 관리 실수 등으로 자산 손실을 겪는 경우가 많아 사용자 보안이 주목할 만한 영역일 수 있습니다. 또한 온체인 거래 기록이 복잡하고 추적 작업량이 막대해 반 세탁 수요가 늘어나고 있어 자금 추적 및 AML 분야에 주목할 필요가 있습니다. 전반적으로 Web3 보안 분야는 도전과 기회가 공존하는 영역입니다.🌃 스타랩스 컨설팅: 양자 컴퓨팅 기술이 기존 암호화 알고리즘에 미칠 잠재적 위협을 어떻게 평가하고 있으며, 암호화 분야의 향후 대응 전략은 무엇일까요?슬로우 미스트:현재 양자 컴퓨팅의 위협은 아직 완전히 드러나지 않았지만, Web3와 블록체인 분야는 암호화 알고리즘의 안전성에 크게 의존하고 있습니다. 암호화 분야는 기술 혁신, 국제 협력, 단계적 전략 실행 등을 통해 생태계의 장기적인 안전성과 안정성을 확보할 수 있을 것입니다.
