이더리움(ETH)의 보안 취약점으로 인해 약 14,545개의 트론(TRON) 지갑이 위험에 처했으며, 수백만 달러 상당의 디지털 자산이 도난될 위험에 놓여있습니다.
트론(TRON) 보안 취약점이 14,500개 이상의 지갑을 위협하고 있습니다. 이미지: cryptomus
취약점의 원인
알려지지 않은 보안 취약점으로 인해 14,500개 이상의 트론(TRON)지갑이 자산 도난의 위험에 처했습니다. 이 취약점으로 인해 수백만 달러 상당의 디지털 자산이 도난될 수 있지만, 지갑 소유자는 이를 알지 못하고 있습니다.
보안 기업 AMLBot에 따르면, 2,130개의 지갑이 'UpdateAccountPermission' 기능과 관련된 취약점을 통해 침해되었으며, 이로 인한 피해 자산 총액은 3,150만 달러에 달합니다.
이 공격의 가장 위험한 점은 은밀성입니다. 공격자는 즉시 자금을 인출하지 않고 지갑에 대한 통제권을 장악할 수 있어 탐지되지 않습니다. 그들은 정당한 거래를 중단시켜 지갑 소유자가 자신의 자산에 접근하지 못하게 할 수 있습니다. 한 피해자는 자신의 지갑이 이미 탈취되었음을 알지 못한 채 1,000 USDT를 계속해서 입금했다고 밝혔습니다.
'UpdateAccountPermission'의 이해
트론(TRON)의 'UpdateAccountPermission' 기능은 멀티시그 방식과 유사한 보안 메커니즘을 통해 계정 보안을 강화하도록 설계되었습니다. 이를 통해 지갑 소유자는 권한을 분할하고 거래 승인을 위한 임계값을 설정할 수 있습니다.
이론적으로는 공격자가 지갑을 장악하면 자신의 키를 추가하고 임계값을 조정하여 거래를 승인할 수 있습니다. 그 결과 지갑 소유자는 단독으로 거래를 완료할 수 없게 되지만, 여전히 탈취된 지갑으로 자금을 송금할 수 있습니다.
AMLBot 기술 책임자 Mykhailo Tiutin에 따르면, 권한 변경에 대한 경고나 징조가 없어 피해자들은 거래를 시도할 때에야 문제를 발견했습니다.
문제를 발견한 경우에도 피해자들은 더 이상 탈취된 지갑으로 자금을 송금할 수 없을 뿐, 자금을 복구할 방법이 없습니다.
이 경고를 받아야 지갑 소유자가 문제를 인식할 수 있습니다.
트론(TRON)만의 문제는 아니다
블록체인 기능 악용은 트론(TRON)에만 국한된 문제가 아닙니다. 이더리움(ETH)에서도 'approve'와 'permit' 기능을 악용하는 사례가 있습니다.
Coin68에서 보고한 바와 같이, 2024년 암호화폐 공격으로 인한 피해가 40% 증가했으며, 탈중앙화 금융(DeFi)이 더 이상 주요 타깃이 아닙니다.
예방 방법
공격자가 'UpdateAccountPermission' 기능을 악용하려면 개인 키(private key)가 유출되어야 합니다. 이를 예방하기 위해 Dowsers의 보안 연구원 Axel Leloup은 트론(TRON) 권한 시스템을 이해하고 정기적으로 계정 권한을 확인할 것을 강조했습니다.
Leloup은 또한 암호화폐 보안의 기본 원칙인 개인 키와 시드 구문을 안전하게 보관하고 신뢰할 수 없는 사람과 공유하지 말 것을 경고했습니다.
한 익명의 피해자는 자신의 지갑이 보안 취약점으로 인해 침해되었다고 밝혔습니다. 이 지갑은 스마트 계약 테스트에 사용되었으며, 개인 키가 소스 코드에 포함되어 여러 기기에 걸쳐 이동했습니다.
다른 보호 조치로는 USDT 거래 시 보유 중인 트론(TRX) 수량을 줄이는 것입니다. 'UpdateAccountPermission' 기능 사용에는 100 TRX의 수수료가 필요하므로, USDT 거래 전용 지갑을 사용하는 것이 좋습니다.
결론적으로, 암호화폐 지갑 보안은 단순히 개인 키를 보호하는 것뿐만 아니라 블록체인 플랫폼의 보안 기능을 이해하고 관리하는 것이 중요합니다. 또한 점점 더 교묘해지는 사기 수법에 대한 대비도 필요합니다. 최근 구인 사기가 대표적인 예입니다.
Coin68 종합
