공격을 시도하려는 사람들 사이에서 유포 중인 Changelly 제로데이 익스플로잇으로 알려진 것이 실은 미끼로 밝혀졌다. ThreatMon의 조사에 따르면, 해당 코드는 암호화폐 거래 가로채기 도구이며, 가장 큰 피해를 입을 가능성이 높은 사람은 바로 이 코드를 실행하는 사람들이다. 이 가짜 Changelly 제로데이 지갑 탈취 사건은 공격자들이 동일한 JavaScript 한 조각으로 호기심 많은 사람, 기회주의적인 사람, 부주의한 사람을 모두 겨냥할 수 있음을 보여준다.

가짜 Changelly 익스플로잇이 피해자를 유인한 방법

이 캠페인은 암호화폐 거래소 서비스인 Changelly의 취약점에 대한 실제 작동하는 익스플로잇으로 위장되었다. 제로데이 취약점이라는 주장은 효과적인 미끼다. 제로데이는 벤더가 아직 인지하지 못한 취약점으로, 즉시 사용 가능한 익스플로잇이 있다는 약속은 그것으로 이익을 얻거나 단순히 테스트해 보려는 사람들을 끌어들인다.

그것이 바로 함정이다. ThreatMon에 따르면, 가짜 취약점 주장은 사용자들을 코드와 상호작용하도록 유인하는 데 사용되었다. Changelly를 공격하는 대신, 이 스크립트는 그것을 실행하는 사람을 공격한다. 공격하려던 사람이 표적이 되는 것이다.

이 접근 방식은 본질적으로 새로운 것이 아니다. 보안 연구자들은 오랫동안 지름길을 찾는 사람들을 겨냥한 함정이 설치된 개념 증명 코드와 가짜 도구들을 목격해 왔다. 이 사건이 주목할 만한 이유는 특정 페이로드, 즉 브라우저에서 직접 암호화폐 거래를 방해하도록 만들어진 스크립트라는 점이다.

악성 스크립트가 지갑 주소에 하는 일

ThreatMon의 조사 결과에 따르면, 악성 JavaScript는 두 가지 일을 하도록 설계되었다:

  • 지갑 주소 교체. 사용자가 거래를 위해 목적지 주소를 입력하거나 복사할 때, 스크립트가 공격자가 제어하는 주소로 바꿔치기할 수 있다. 선의로 전송된 자금이 잘못된 지갑으로 들어가게 된다.
  • 표시되는 거래 값 조작. 스크립트가 화면에 표시되는 숫자를 변경할 수 있어, 사용자가 보는 환율이나 금액이 실제와 일치하지 않게 된다. 이는 절도를 숨기고 거래가 정상적으로 보이게 하는 데 도움이 된다.

암호화폐 거래는 일반적으로 되돌릴 수 없다. 코인이 공격자의 주소로 전송되면, 일반적으로 연락할 은행도 없고 요청할 지불 거절(차지백)도 없다. 그렇기 때문에 목적지 주소를 조용히 변경하는 모든 도구는 특히 더 큰 피해를 준다.

브라우저 수준 탈취가 발견하기 어려운 이유

이런 종류의 공격은 거래소에 침입하거나, 비밀번호를 해독하거나, 개인 키를 훔칠 필요가 없다. 그것은 정보를 보고 확인하는 지점, 즉 브라우저에서 작동한다. 페이지 자체가 주입된 JavaScript에 의해 변경되고 있다면, 보이는 것이 실제로 일어나는 일과 다를 수 있다.

이것을 포착하기 어려운 몇 가지 이유는 다음과 같다:

  • 긴 주소는 읽기 어렵다. 지갑 주소는 무작위 문자의 문자열이다. 모든 문자를 확인하는 사람은 거의 없으며, 공격자들은 종종 그것에 의존한다.
  • 인터페이스는 여전히 정상적으로 보인다. 표시되는 거래 값이 조작되면, 전송하는 순간까지 화면이 일관되고 신뢰할 수 있게 보일 수 있다.
  • 명백한 경고가 없다. 로그인 실패나 보안 경고와 달리, 바뀐 주소는 오류 메시지를 생성하지 않는다.

교훈은 실제 돈이 관련될 때 브라우저 화면만으로는 신뢰할 수 있는 진실의 원천이 아니라는 것이다.

이것이 당신에게 의미하는 것

대부분의 독자는 익스플로잇 코드를 찾아 나서지 않겠지만, 근본적인 위험은 광범위하게 적용된다. 의심스러운 다운로드, 콘솔에 붙여넣은 코드 조각, 수상한 확장 프로그램, 또는 손상된 페이지 등 어떤 경로로든 브라우저 세션에서 실행되는 모든 스크립트는 암호화폐 거래 중에 당신이 보는 것을 변경할 수 있다.

암호화폐를 다룬다면, 비공식 "익스플로잇" 또는 "보너스" 코드를 기본적으로 적대적인 것으로 취급하라. 다른 사람의 자금에 대한 손쉬운 접근을 약속하는 코드는 호기심이 아니라 의심을 불러일으켜야 한다. 그리고 보안 연구자나 취미로 하는 사람이라면, 알 수 없는 코드는 격리된 환경에서만 분석하고, 실제 지갑과 연결된 기기나 브라우저 프로필에서는 절대 분석하지 말아야 한다.

네트워크 위생도 중요하다. 신뢰할 수 없는 네트워크는 호텔 Wi-Fi 네트워크에서 러시아 해커들에 대한 마이크로소프트의 경고에서 보여주듯이, 공격자들이 온라인에서 당신이 하는 일을 변조할 수 있는 또 다른 경로를 추가한다. 그 보고서는 자격 증명 탈취와 악성코드에 관한 것이지 암호화폐에 관한 것은 아니지만, 주의는 적용된다: 신뢰하지 않는 네트워크에서 암호화폐를 다루는 것을 피하라.

암호화폐 거래를 보호하는 점검 사항

몇 가지 습관만으로 주소 교체 스크립트로 자금을 잃을 확률을 크게 줄일 수 있다:

  1. 하드웨어 지갑 화면에서 주소를 확인하라. 기기 디스플레이는 브라우저와 분리되어 있으므로 주입된 JavaScript가 변경할 수 없다. 그곳의 주소를 의도한 수신자와 비교하라.
  2. 비공식 익스플로잇 코드를 절대 실행하지 말라. 가짜 Changelly 제로데이 또는 다른 익스플로잇이 포럼이나 채팅에 나타나더라도 실행하지 말고, 알 수 없는 코드를 브라우저 콘솔에 절대 붙여넣지 말라.
  3. 거래소 팝업을 경계하라. 주소를 직접 입력하거나 북마크를 사용하여 거래소에 접속하고, 예상치 못한 프롬프트는 무시하라.
  4. 스크립트 차단기를 사용하라. 실행할 수 있는 JavaScript를 제한하면 주입된 코드가 작동할 여지가 줄어든다.
  5. 먼저 소액 테스트 거래를 보내라. 큰 금액을 이체할 때는 전액을 보내기 전에 자금이 올바른 곳에 도착하는지 확인하라.
  6. 암호화폐 활동은 깨끗한 브라우저 프로필에서 유지하라. 확장 프로그램이 적고 관련 없는 탭이 적을수록 무언가가 방해할 기회가 줄어든다.

핵심 요점

가짜 Changelly 제로데이 지갑 탈취 캠페인은 가장 설득력 있는 미끼가 종종 자신이 공격자라고 생각하는 사람들을 겨냥한다는 것을 상기시켜 준다. 실용적인 방어는 간단하다: 신뢰할 수 없는 코드를 실행하지 말고, 불필요한 스크립트를 차단하며, 거래를 승인하기 전에 모든 지갑 주소를 하드웨어 지갑 화면에서 확인하라. 최종 확인 단계에서는 브라우저를 신뢰할 수 없는 것으로 취급하고, 암호화폐를 이동할 때 공용 또는 낯선 네트워크에서 주의를 기울여라.