- GlassWorm 악성코드가 OpenVSX 레지스트리에 73개의 유해 확장 프로그램을 심었습니다.
- 이 확장 프로그램들은 개발자의 암호화폐 지갑 및 기타 민감한 데이터를 탈취하도록 설계되었습니다.
- 악성코드는 지연 활성화 모델을 사용하여, 먼저 정상적인 확장 프로그램을 배포한 후 악성 업데이트를 전송합니다.
잘 알려진 악성 소프트웨어인 GlassWorm이 OpenVSX 레지스트리에 73개의 유해한 확장 프로그램을 넣었다. 해커들은 이를 사용하여 개발자의 암호화폐 지갑과 기타 데이터를 훔친다.
보안 연구원들은 이미 6개의 확장 프로그램이 활성 페이로드가 되었음을 발견했다. 이 확장 프로그램들은 해롭지 않은 잘 알려진 목록의 가짜 복사본으로 업로드되었다. Socket의 보고서에 따르면 나쁜 코드는 나중에 업데이트된다.
GlassWorm 악성 소프트웨어가 암호화폐 개발자를 공격
2025년 10월, GlassWorm이 처음 등장했다. 이는 암호화폐 지갑 데이터와 개발자 자격 증명을 훔치기 위한 코드를 숨기기 위해 보이지 않는 유니코드 문자를 사용했다. 이후 이 캠페인은 npm 패키지, GitHub 저장소, Visual Studio Code 마켓플레이스 및 OpenVSX로 확산되었다.
2026년 3월 중순 수백 개의 저장소와 수십 개의 확장 프로그램에 파도가 밀려왔지만, 그 규모가 사람들의 주목을 끌었다. 여러 연구 그룹이 초기에 활동을 감지하고 이를 막는 데 도움을 주었다.
공격자들은 접근 방식을 변경한 것으로 보인다. 최신 일괄 작업은 즉시 악성 코드를 삽입하지 않고 대신 지연 활성화 모델을 사용한다. 깨끗한 확장 프로그램을 보내 설치 기반을 구축한 후 나쁜 업데이트를 보낸다.
“복제되거나 사칭하는 확장 프로그램은 처음에는 눈에 띄는 페이로드 없이 게시된 후, 나중에 악성 코드를 전달하도록 업데이트됩니다,”라고 Socket 연구원 은 말했다.
보안 연구원들은 73개의 확장 프로그램에 걸쳐 악성 코드를 전달하는 세 가지 방법을 발견했다. 하나의 방법은 프로그램 실행 중 GitHub에서 두 번째 VSIX 패키지를 사용하고 CLI 명령을 사용하여 설치하는 것이다. 다른 방법은 핵심 로직(더 많은 페이로드를 가져오는 루틴 포함)을 포함하는 [.]node 파일과 같은 플랫폼별 컴파일된 모듈을 로드하는 것이다.
세 번째 방법은 실행 시 디코딩되어 악성 확장 프로그램을 다운로드하고 설치하는 심하게 난독화된 JavaScript를 사용하는 것이다. 또한 페이로드를 받기 위해 암호화된 URL 또는 대체 URL을 가지고 있다.
이 확장 프로그램들은 정품 목록과 매우 유사해 보인다.
한 사례에서 공격자는 정품 확장 프로그램의 아이콘을 복사하고 이름과 설명을 거의 동일하게 지정했다. 발행자 이름과 고유 식별자가 유일한 차이점이지만, 대부분의 개발자는 설치 전에 이러한 사항을 자세히 살펴보지 않는다.
GlassWorm은 액세스 토큰, 암호화폐 지갑 데이터, SSH 키 및 개발자 환경 정보에 접근하는 것을 목표로 구축되었다.
암호화폐 지갑은 해커들의 지속적인 공격 대상
위협은 단순히 암호화폐 지갑을 넘어선다. 이와 관련되지만 다른 사건은 공급망 공격이 개발자 인프라를 통해 어떻게 확산될 수 있는지 보여준다.
4월 22일, npm 레지스트리는 공식 패키지 이름 @bitwarden/[email protected]으로 93분 동안 Bitwarden CLI의 나쁜 버전을 호스팅했다. 보안 회사인 JFrog은 페이로드가 GitHub 토큰, npm 토큰, SSH 키, AWS 및 Azure 자격 증명, GitHub Actions 시크릿을 훔쳤다고 발견했다.
JFrog의 분석에 따르면 해킹된 패키지는 설치 후크와 바이너리 엔트포인트를 수정하여 Bun 런타임을 로드하고 난독화된 페이로드를 실행했으며, 이는 설치 중과 실행 중 모두에서 이루어졌다.
회사 자체 기록에 따르면 Bitwarden은 50,000개 이상의 기업과 1,000만 명의 사용자를 보유하고 있다. Socket은 이 공격을 Checkmarx 연구원이 추적한 더 큰 캠페인과 연결했으며, Bitwarden도 이 연결을 확인했다.
문제는 npm 및 기타 레지스트리의 운영 방식에 기인한다. 공격자들은 패키지가 게시된 후 내용이 확인되기 사이의 시간을 이용한다.
Sonatype는 2025년 레지스트리에 침투한 약 454,600개의 새로운 악성 패키지를 발견했다. 암호화폐 보관, DeFi, 토큰 런치패드 접근을 노리는 위협 행위자들은 레지스트리를 표적으로 삼고 악성 워크플로우를 출시하기 시작했다.
73개의 지정된 OpenVSX 확장 프로그램 중 하나라도 설치한 개발자를 위해, Socket은 모든 시크릿을 회전하고 개발 환경을 정리할 것을 권장한다.
다음으로 주목할 점은 남은 67개의 비활성 확장 프로그램이 다가오는 며칠 동안 활성화될지, 그리고 OpenVSX가 확장 프로그램 업데이트에 대한 추가 검토 통제를 구현할지 여부입니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
