DeepSeek, Qwen 기반 NOFX AI 트레이딩 시스템 사용자들의 암호화폐 도난 및 개인 키 유출

블록체인 보안 기업 슬로우미스트(SlowMist)는 DeepSeek와 Qwen의 대규모 언어 모델 아키텍처를 기반으로 구축된 오픈소스 암호화폐 선물 트레이딩 시스템인 NOFX AI의 치명적인 취약점을 밝혀낸 조사를 주도했습니다. 

Web⟦N1⟧Caff에 게재된 발견에 따르면 Web3Caff이러한 발견을 한 후, 슬로우미스트 팀은 바이낸스(Binance)와 OKX의 보안 팀에 연락했으며, 이들은 팀과 협력하여 영향을 받은 사용자를 식별하고 손상된 키를 무효화했습니다.

여러 버전에서 인증 결함 노출

슬로우미스트의 조사는 @Endlessss20이라는 핸들을 사용하는 커뮤니티 연구원이 NOFX AI가 거래소 API 키를 유출하고 있을 가능성을 의심한 후 시작되었습니다.

Cos, 

슬로우미스트의 창립자 , X 핸들 @evilcos을 사용하며, 처음에는 NOFX AI의 오픈소스 노력을 칭찬하며 칭찬할 만하다고 불렀습니다.X 핸들 @evilcos을 사용하는 Web⟦N1⟧Caff는 처음에 NOFX AI의 오픈소스 노력을 칭찬하며 ' commendable(칭찬할 만하다)'라고 평가했습니다.

하지만 그는 이어 "그들이 공개한 위험으로 인해 실제 도난 사건이 발생했으며, 일부 사용자의 지갑 개인키와 CEX/DEX API 키가 유출되었습니다"라고 밝혔습니다.

Cos은 SlowMist의 초기 공개 노력이 교환 보안 팀과 의도적으로 조정되어, 세부 사항이 공개되기 전에 영향을 받은 사용자들이 먼저 통보되도록 했다고 덧붙였습니다.

SlowMist의 후속 분석은 오픈소스 저장소의 서로 다른 커밋 세대에 영향을 미치는 두 가지 핵심 인증 문제를 확인했습니다.

이 문제는 오픈소스 플랫폼의 구버전과 신버전 모두에 존재하는 것으로 보고되었으며, 시스템은 실제로 접근 통제가 없는 'Authorization Required(인증 필요)' 상태로 실행되어 인증 없이 민감한 관리자(admin) 기능을 노출시켰습니다.

따라서 공격자는 자격 증명이 필요 없이 관리자 API와 상호작용할 수 있었습니다.

이러한 인증 약점을 더욱 악화시킨 것은 시스템의 일부 API 엔드포인트가 기본적으로 민감한 연결 데이터를 반환했다는 점입니다. 여기에는 Binance, Hyperliquid 등의 거래소 API 키와 관련 비밀 키가 포함되었습니다. Aster DEX.

거래소와의 조정된 보안 대응

문제의 심각성을 확인한 후 SlowMist는 Binance와 OKX의 보안 부서에 연락했습니다.

그들은 공동 보안 운영실을 구축했으며, SlowMist는 정보와 영향 평가를 제공하고, 거래소 팀은 독립적으로 유출된 API 데이터를 분석하고 검증했습니다.

이후 두 그룹은 노출된 키를 역추적하여 플랫폼 내 위험에 노출된 계정을 식별했습니다.

거래소는 대응 조치를 시작하여 각 영향 받은 사용자에게 통지하고 즉시 API 키, 비밀 키, 연결된 모든 자동화 자격 증명을 무효화했습니다. SlowMist는 보고서에서 "11월 17일 기준 모든 영향 받은 CEX 사용자에게 통지되었으며, 관련 키는 무효화되었고 자산은 안전합니다"라고 밝혔습니다.

하지만 분산형 거래소(DEX) 사용자에게 도달하는 것은 상대적으로 더 어렵다고 시인했습니다. SlowMist는 Binance 팀과 함께 Aster 및 일부 사용자에게 직접 연락하려 시도했지만, "분산형 지갑 주소 때문에" 연락이 닿지 않았다고 말했습니다. 2026년 및 그 이후의 Cryptopolitan 하이퍼리퀴드 가격 예측에서 HYPE 토큰의 미래를 깊이 살펴보겠습니다. "Aster 또는 Hyperliquid에서 자동화 거래 시스템을 사용하고 있다면 관련 위험을 즉시 확인하고 조치하시기 바랍니다."라고 보안 회사는 사용자에게 경고했습니다.

AI 거래 생태계에 대한 경고

SlowMist는 대규모 AI 모델 양자화 프로젝트가 증가하고 있지만, 대부분의 오픈소스 구현은 아직 초기 단계에 있음을 지적했습니다.

따라서 이러한 새로운 오픈소스 시스템을 배포하는 사용자는 "재정적 손실을 피하기 위해 철저한 코드 보안 감사와 리스크 관리 조치를 강화해야 한다"고 조언했습니다.

보안 회사는 NOFX AI 팀과 사용자에게도 권장 사항을 제시했습니다. 템플릿 키가 감지될 경우 프로그램 실행을 거부하고, 명시적으로 구성되지 않았거나 강력한 비밀번호와 OTP 인증으로 보호되지 않은 한 관리자 모드를 비활성화하며, 민감한 엔드포인트를 재설계하여 비중요한 메타데이터만 반환하고 개인키 또는 API 키 접근에는 2차 인증을 요구하는 등의 조치를 권고했습니다.

보안 회사는 "개발팀이 이러한 수정을 완료할 때까지 인터넷에 공개적으로 배포하는 것은 고위험으로 간주해야 한다"고 경고했습니다.

블록체인 보안 기업인 SlowMist는 DeepSeek와 Qwen의 대규모 언어 모델 아키텍처를 기반으로 구축된 오픈소스 암호화폐 선물 거래 시스템인 NOFX AI의 치명적 취약점을 발견한 조사를 주도했습니다. Web3Caff에 게재된 조사 결과에 따르면, 시스템의 여러 버전에서 결함이 발견되어 일부 사용자가 자격 증명 유출에 노출되었으며, 공격자는 특정 상황에서…