작성자: 슬로우 미스트 (SlowMist)
최근, 한 피해자가 슬로우 미스트 보안팀에 연락하여 틱톡에서 변조된 콜드 월렛을 구매했고, 이로 인해 약 5,000만 위안의 암호화폐 자산이 도난당했다고 밝혔습니다. 본 글은 대부분 사람들이 신뢰하지만 사용 중 많은 오해가 있는 도구 —— 하드웨어 월렛에 초점을 맞추고 있습니다.
(https://x.com/SlowMist_Team/status/1933799086106538101)
하드웨어 월렛은 개인키를 오프라인으로 저장하기 때문에 암호화폐 자산을 보호하는 신뢰할 수 있는 도구로 여겨져 왔습니다. 그러나 암호화폐 자산의 가치가 계속 상승함에 따라 하드웨어 월렛을 노린 공격 방식도 계속 진화하고 있습니다: 가짜 하드웨어 월렛, 위조 펌웨어 업데이트/검증, 피싱 웹사이트부터 정교하게 설계된 사회공학적 함정까지, 많은 사용자들이 부주의하게 함정에 빠져 결국 자산을 모두 잃고 있습니다. 겉보기에 안전해 보이는 기기에는 숨겨진 백도어가 있고, 공식처럼 보이는 이메일은 실제로는 공격자의 것입니다.
본 글은 하드웨어 월렛의 구매, 사용, 보관 세 가지 단계에서 일반적인 리스크를 정리하고, 실제 사례를 통해 전형적인 사기를 분석하며, 실용적인 보호 방법을 제시하여 사용자가 암호화폐 자산을 효과적으로 보호할 수 있도록 돕겠습니다.
[이하 생략]마치 친구에게 편지를 보낼 때, 나쁜 우체부가 길에서 가로채 편지 내용을 몰래 변조한 후 다시 봉투에 넣는 것과 같습니다. 친구는 편지를 받을 때 전혀 모른 채 그것이 당신의 원래 말이라고 생각합니다. 이것이 바로 중간자 공격의 본질입니다. 하드웨어 지갑이 개인 키를 격리할 수 있지만, 거래를 완료할 때는 여전히 모바일이나 컴퓨터의 지갑 앱, USB, 블루투스, QR 코드 등의 "전달 통로"를 통해야 합니다. 이러한 전송 경로는 "보이지 않는 우체부"와 같아서, 이 중 어느 단계라도 통제되면 공격자는 조용히 수취 주소를 변조하거나 서명 정보를 위조할 수 있습니다.
OneKey 팀은 이더리움(ETH)과 관련된 중간자 공격 취약점을 Trezor와 MetaMask에 보고한 바 있습니다: MetaMask가 Trezor 장치에 연결될 때, 즉시 장치 내부의 이더리움(ETH) 공개 키를 읽고 소프트웨어 측에서 서로 다른 파생 경로를 기반으로 주소를 계산합니다. 이 과정에는 어떠한 하드웨어 확인이나 알림도 없어 중간자 공격에 취약점을 남깁니다.
로컬 악성 소프트웨어가 Trezor Bridge를 제어하면, 통신 경로에 "나쁜 우체부"가 있는 것과 같아 공격자는 하드웨어 지갑과의 모든 통신 데이터를 가로채고 변조할 수 있어 소프트웨어 인터페이스에 표시된 정보가 하드웨어의 실제 상황과 일치하지 않게 됩니다. 소프트웨어 검증 프로세스에 취약점이 있거나 사용자가 하드웨어 정보를 주의 깊게 확인하지 않으면 중간자 공격이 성공할 수 있습니다.
https://zhangzhao.name/
03
보관 및 백업
https://x.com/montyreport/status/1877102173357580680
마지막으로, 보관과 백업 역시 중요합니다. 니모닉 단어를 메모, 앨범, 즐겨찾기, 전송 도우미, 이메일, 클라우드 노트 등 어떤 인터넷 연결 장치 및 플랫폼에도 저장하거나 전송하지 마십시오. 또한 자산 보안은 해커 공격뿐만 아니라 우발적인 재해로부터도 보호해야 합니다. 종이 백업이 상대적으로 안전하지만, 부적절하게 관리되면 화재나 침수 등의 위험에 처해 자산 복구가 어려울 수 있습니다.
따라서 니모닉 단어를 실제 종이에 손으로 적어 여러 안전한 장소에 분산 보관하는 것을 권장합니다. 고가치 자산의 경우 방화 및 방수 금속판 사용을 고려할 수 있습니다. 동시에 니모닉 단어의 보관 환경을 정기적으로 점검하여 안전하고 사용 가능한지 확인하십시오.
04
요약
하드웨어 지갑은 자산 보호의 중요한 도구이지만, 그 보안성은 사용자의 사용 방식에 따라 제한됩니다. 많은 사기는 장치를 직접 뚫는 것이 아니라 "더 안전하게 해줄게요"라는 가면을 쓰고 사용자가 자산 통제권을 자발적으로 넘기도록 유도합니다. 본문에서 언급한 다양한 리스크 시나리오에 대해 다음과 같은 권장 사항을 정리했습니다:
공식 채널을 통해 하드웨어 지갑 구매: 비공식 채널에서 구매한 장치는 변조 위험이 있습니다.
장치가 비활성화 상태인지 확인: 공식적으로 판매되는 하드웨어 지갑은 완전히 새롭고 비활성화된 상태여야 합니다. 전원을 켰을 때 장치가 이미 활성화되어 있거나 설명서에 "초기 비밀번호" 또는 "기본 주소" 등의 비정상적인 상황이 표시되면 즉시 사용을 중단하고 공식 측에 피드백하십시오.
중요 작업은 본인이 직접 수행: 장치 활성화 단계 외에도 PIN 코드 설정, 바인딩 코드 생성, 주소 생성 및 니모닉 단어 백업은 모두 사용자가 직접 수행해야 합니다. 제3자가 대신 수행하는 모든 단계에는 리스크가 있습니다. 정상적인 경우, 하드웨어 지갑을 처음 사용할 때는 최소 3번 연속으로 완전히 새로운 지갑을 생성하고, 생성된 니모닉 단어와 해당 주소를 기록하여 매번 결과가 중복되지 않음을 확인해야 합니다.
본문 링크: https://www.hellobtc.com/kp/du/06/5905.html
출처: https://mp.weixin.qq.com/s/epl0W0NGl4fEa0LCY3x16w
