• 블록체인 보안 회사 Hacken에 따르면 해커들은 3분기에 암호화폐 프로젝트에서 11억 8천만 달러를 탈취했으며, 이는 전 분기 대비 55% 증가한 수치입니다.
• 약 9억 달러의 손실은 손상된 공급업체나 개발자 도구, 설치되지 않은 보안 수정 또는 보안 검토에서 제외된 구성 요소에서 발생했습니다.
• Hacken은 감사 배지가 투자자들에게 잘못된 안전감을 줄 수 있다고 경고했습니다. 왜냐하면 검토에서 지갑, 서명 시스템 및 공격자가 목표로 하는 타사 소프트웨어를 종종 생략하기 때문입니다.

블록체인 보안 회사 Hacken에 따르면 암호화폐 투자자들은 해커들이 실제로 목표로 하는 시스템을 다루지 못하는 보안 감사에 너무 많은 신뢰를 두고 있을 수 있습니다.

목요일에 발표된 보고서에서 Hacken은 해커들이 3분기에 107건의 사건을 통해 11억 8천만 달러를 탈취했으며, 이는 전 분기 대비 55% 증가한 수치라고 밝혔습니다. 그 중 9억 680만 달러는 손상된 공급업체나 개발자 도구, 설치되지 않은 공개 보안 수정 또는 최신 보안 검토에서 제외된 구성 요소로 인해 손실되었습니다.

"문제는 항상 범위입니다." 회사의 공동 창립자이자 이사인 Andrii Matiukhin은 CoinDesk와의 인터뷰에서 말했습니다. "자금과 경제에 영향을 미치는 모든 구성 요소의 범위를 포괄하는 것은 비용이 많이 들며, 팀은 서비스의 중요한 부분만 감사하여 비용을 절감합니다.”

이 발견은 감사된 것으로 광고하는 암호화폐 프로젝트에서 투자자들이 기대할 수 있는 보호 수준에 대한 의문을 제기합니다. Hacken은 고객들이 종종 감사가 전체 플랫폼을 포괄한다고 가정하지만, 실제로는 특정 스마트 계약만 검토하여 지갑, 서명 시스템 및 타사 소프트웨어를 범위 밖으로 남겨둔다고 말했습니다.

“보통 고객이 새로운 프로젝트를 볼 때, 감사 배지를 보고 전체 시스템이 커버된다고 가정하고, 테스트되지 않은 키, 공급업체, 설정을 통해 돈을 잃습니다,”라고 Matiukhin은 말했습니다.

이 기간 동안 가장 큰 사건은 9월에 발생한 암호화폐 거래소 Bitget에 대한 공격으로, 해커들이 타사 보안 제품의 취약점을 악용하여 출금 인프라에 접근하여 최소 3억 5천 2백만 달러를 잃었습니다.

위험은 거래소를 넘어 확장됩니다. 이번 주에 하드웨어 지갑 제조업체 Ledger는 CryptoBilis라는 동남아시아 리셀러가 판매한 장치에서 무단 하드웨어 “스파이” 임플란트를 발견했다고 밝혔으며, 이로 인해 약 9천 3백만 달러의 손실이 발생했습니다.

Hacken은 7월에 6시간 동안의 공격에서 3개의 암호화폐 브리지와 크로스체인 프로토콜이 3천 5백만 달러 이상을 잃었다고 밝혔습니다. AFX Trade는 공격자들이 검증자 키를 장악한 후 그 중 2천 4백만 달러를 차지했습니다. 다른 공격은 Liquid Network에서 3억 1천 9백만 달러, Tectonic에서 최소 7천 5백만 달러, Coldcard 지갑 소프트웨어에서 약 1억 1천 4백만 달러를 탈취했습니다.

Hacken은 또한 12개의 파생상품 거래소와 예측 시장을 조사하여 두 개의 주요 장소에서 7억 달러 이상의 안전한 자산이 3개의 서명이 필요한 4개의 키 서명 배열 또는 공개적으로 식별되지 않은 관리 키에 의존하고 있음을 발견했습니다.

Matiukhin은 보고서가 발표되기 전에 장소를 식별하거나 자세한 평가를 제공하는 것을 거부했습니다. 그는 활성 취약성의 증거를 찾지 못했지만, 관련된 금액을 고려할 때 일부 배열이 불충분하다고 판단했습니다.

“우리는 검토된 장소의 시스템에서 라이브 버그를 인지하지 못하고 있습니다,”라고 Matiukhin은 말했습니다. “대신, 검토된 장소의 규모를 고려할 때 키 설정이 충분히 안전하지 않은 설정을 발견했습니다.”

Matiukhin은 여러 블록체인이 동일한 소프트웨어에 의존하지만 다른 시간에 업데이트할 때 알려진 취약성 수정의 지연이 또 다른 우려 사항이라고 말했습니다.

“때때로 팀이 중요한 취약성을 낮은 것으로 분류하고 수정 구현이 지연되거나 심지어 거부됩니다,”라고 Matiukhin은 말했습니다.

궁극적으로 책임은 고객 자금을 보유한 회사에 있으며, 이는 수개월 또는 수년 전에 완료된 감사에 의존하기보다는 취약성을 추적하고 신속하게 수정을 설치해야 한다고 Hacken은 말했습니다.