- dYdX는 나쁜 행위자들이 악성 패키지를 사용하여 사용자 지갑을 비우는 표적이 되었습니다.
- 해커들은 npm과 PyPI에 게시된 일부 패키지에 악성 코드를 삽입하여 지갑 자격 증명을 탈취했습니다.
- 연구자들은 이번 공격이 dYdX를 표적으로 삼는 우려스러운 추세를 보여준다고 밝혔습니다.
연구자들은 나쁜 행위자들이 dYdX를 표적으로 삼고 악성 패키지를 사용하여 사용자 지갑을 비우고 있다고 밝혔습니다. 보고서에 따르면, npm과 PyPi 저장소에 게시된 일부 오픈 소스 패키지에는 dYdX 개발자와 백엔드 시스템에서 지갑 자격 증명을 훔치는 코드가 포함되어 있었습니다.
dYdX는 퍼페추얼 거래를 위한 수백 개의 시장을 지원하는 탈중앙화 파생상품 거래소입니다. 보고서에서 보안 회사 Socket의 연구원들은 손상된 npm 버전을 사용하는 모든 애플리케이션이 위험에 처해 있다고 언급했습니다. 그들은 공격의 직접적인 영향으로 지갑 전체가 침해당하고 암호화폐가 도난당했다고 주장했습니다. 공격 범위는 손상된 버전에 의존하는 모든 애플리케이션을 포함하며, 실제 자격 증명을 사용한 개발자 테스트와 프로덕션 최종 사용자 모두를 포함합니다.
악성 패키지가 dYdX와 관련된 지갑을 침해하다
보고서에 따르면, 감염된 패키지 중에는 npm(@dydxprotocol/v4-client-js):(3.4.1, 1.22.1, 1.15.2, 1.0.31 버전)과 PyPI(dydx-v4-client):(1.1.5post1 버전)가 포함됩니다. Socket은 플랫폼이 탈중앙화 금융 산업에 데뷔한 이후 1.5조 달러 이상의 거래량을 처리했으며, 평균 거래량은 2억 달러에서 5억 4,000만 달러라고 언급했습니다. 또한, 플랫폼에는 약 1억 7,500만 달러의 미결제 포지션도 있습니다.
거래소는 트레딩 봇, 자동화 전략 또는 서명을 위한 멘모닉 또는 개인 키가 관련된 백엔드 서비스를 위한 제3자 애플리케이션을 허용하는 코드 라이브러리를 제공합니다. npm 멀웨어는 정당한 패키지에 악성 함수를 삽입했습니다. 지갑 보안을 뒷받침하는 시드 구문이 처리될 때, 이 함수는 시드 구문과 애플리케이션이 실행되는 장치의 지문을 함께 복사합니다.
이 지문은 악의적 행위자가 여러 침해 사건에 걸쳐 도난당한 자격 증명을 피해자와 일치시킬 수 있게 합니다. 시드 구문을 받는 도메인은 dydx[.]priceoracle[.]site이며, 이는 typosquatting을 통해 정당한 dYdX 서비스인 dydx[.]xyz를 모방합니다. PyPI에서 사용 가능한 악성 코드는 동일한 자격 증명 도난 기능을 계속 구현하지만, 이미 감염된 시스템에서 새로운 멀웨어를 실행할 수 있는 원격 접근 트로이 목마(RAT)를 구현합니다.
연구원들은 백도어가 dydx[.]priceoracle[.]site에서 명령을 받았다고 지적하며, 이 도메인은 악성 패키지가 PyPI에 업로드되기 17일 전인 1월 9일에 생성되고 등록되었다고 덧붙였습니다. Socket에 따르면, RAT는 백그라운드 데몬 스레드로 실행되며, 10초 간격으로 C2 서버에 비콘을 보내고, 서버에서 Python 코드를 받아 보기가 없는 고립된 하위 프로세스에서 실행합니다. 또한, 하드코딩된 인증 토큰도 사용합니다.
새로운 공격은 우려스러운 트렌드를 보여줌
Socket은 설치된 후 악의적 행위자들이 사용자 권한으로 임의의 Python 코드를 실행하고, SSH 키, API 자격 증명 및 소스 코드를 훔칠 수 있었다고 덧붙였습니다. 또한, 그들은 영구적인 백도어를 설치하고, 민감한 파일을 유출하며, 사용자 활동을 모니터링하고, 중요한 파일을 수정할 수도 있었습니다. 연구원들은 패키지가 공식 dYdX 계정을 사용하여 npm과 PyPI에 게시되었으므로 공격자에 의해 침해되어 사용되었다고 덧붙였습니다.
dYdX가 아직 이 문제에 대한 성명을 발표하지 않았지만, 이는 적어도 세 번째로 공격을 받은 것입니다. 이전 사건은 2022년 9월에 악성 코드가 npm 저장소에 업로드되었을 때 발생했습니다. 2024년에는 V3 웹사이트가 DNS를 통해 하이재킹된 후 dYdX 웹사이트가 장악되었습니다. 사용자는 지갑을 비우도록 설계된 트랜잭션에 서명하라는 메시지가 표시된 악성 웹사이트로 리디렉션되었습니다.
Socket은 이번 최신 사건이 신뢰할 수 있는 배포 채널을 사용하여 dYdX 관련 자산을 표적으로 삼는 적들의 우려스러운 패턴을 강조한다고 주장했습니다. 그들은 공격자들이 npm과 PyPI 생태계의 패키지를 고의로 침해하여 플랫폼을 사용하는 JavaScript 및 Python 개발자에게 도달하기 위해 공격 표면을 확장했다고 지적했습니다. 플랫폼을 사용하는 모든 사람은 악성 패키지에 대한 의존성에 대해 모든 애플리케이션을 신중하게 검토해야 합니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
오와투운세 아데바요
아데바요(Adebayo)는 암호화폐 분야에서 4년간의 경력을 가진 작가입니다. 그는 라고스 대학교에서 도시 및 지역 계획을 전공하고 졸업했으며, 토큰헬(Tokenhell)과 크립토티커(CryptoTicker)에서 암호화폐 및 핀테크 뉴스를 작성했습니다. 현재 그는 크립토폴리탄(Cryptopolitan)의 뉴스 기여자입니다.
