Safe Wallet, 15억 달러 규모 Bybit 해킹 관련 업데이트 발표 및 새로운 보안 강화 사항 공개

2월 21일 15억 달러 규모 Bybit 해킹의 중심에 있던 다중 서명 지갑 플랫폼인 Safe는 사이버 보안 기업 Mandiant와 협력하여 해킹에 대한 조사 결과를 업데이트했습니다. 또한 해킹을 통해 얻은 교훈과 암호화폐 전반의 보안을 강화하기 위해 필요한 조치들을 상세히 설명했습니다.

미국 연방수사국(FBI)은 이번 해킹의 배후를 북한 고유영속위협(APT) 그룹인 TraderTraitor로 지목했으며, 이는 2022년 라자루스 그룹(Lazarus Group) 및 기타 명칭으로 불려온 동일한 그룹으로 확인되었다. Mandiant는 이 그룹을 UNC4899로 지칭하며, Safe 3월 6일 X 기고문에서 이 귀속을 확인했다. 해커들은 북한 정부의 지원을 받고 있다.

해킹은 치밀하게 계획되었습니다

공격자는 '업무 수행을 위해 더 높은 접근 권한을 가진' Safe 개발자의 노트북을 침해했습니다. 또한 다중 인증을 우회하기 위해 AWS 세션 토큰을 하이재킹했습니다. 

조사는 여전히 공격자가 컴퓨터를 침해한 후 취한 행동을 이해하려고 노력 중입니다. 이 작업은 공격자가 작업을 완료한 후 악성 코드를 삭제하고 Bash 기록을 지웠기 때문에 복잡해집니다. Bash는 UNIX 계열 운영 체제에서 프로그래머들이 사용하는 명령줄 인터페이스입니다.

개발자의 컴퓨터는 2월 4일 침해되었으며, Safe는 이를 확인했고 공격자는 다음 날 Safe의 AWS 환경에 접근했습니다. 2월 19일까지 Safe 웹사이트에는 악성 JavaScript 코드가 삽입되었습니다. 2월 21일 14:13 UTC에 Bybit 익스플로잇이 발생했습니다. 악성 코드는 1분 후에 제거되었고, 그 1분 후에 Bybit 도난 거래가 이루어졌습니다.

컴퓨터는 Docker 프로젝트를 통해 침해당했다. Docker는 애플리케이션 설계에 사용된다. 해커들은 이전에 Docker 프로젝트를 사용하여 악성코드를 삽입한 바 있다. 이 공격은 구체적으로 Bybit의 다중 서명 콜드 ETH 지갑의 다음 거래를 표적으로 삼았다.

Bybit의 CEO 벤 저우(Ben Zhou)는 Safe에서 위조된 링크를 받은 후 일부 ETH를 콜드 스토리지에서 핫 월렛으로 이동하려는 이 치명적인 거래를 직접 승인했습니다.

Bybit 해킹 당일 “이 거래는 서명 인터페이스를 숨기고 올바른 주소를 표시하면서 기본 스마트 계약 로직을 변경하는 정교한 공격을 통해 조작되었다”고 설명했다.

공격자들은 해킹 과정에서 Safe 보안의 최소 5개 계층을 우회했습니다. Safe는 식별된 위협을 제거하고 보안을 강화하기 위해 시행한 여러 가지 초기화 및 강화 사항을 나열했습니다. Safe 스마트 계약 지갑과 소스 코드는 해킹의 영향을 받지 않았습니다.

해킹은 예방 가능했습니다

Web3 조직은 “보안적인 거래 관리를 단순화하기 위해 상당한 UX[사용자 경험] 개선이 필요하다”고 Safe는 결론지었다. “현재 거래 서명 자체는 마지막 방어선이며, 사용자가 자신이 서명하는 내용을 이해할 수 있을 때만 효과적일 수 있다.”

Safe{Wallet}로 자주 표기되는 Safe는 스마트 계약 지갑으로, 블록체인에 거래가 제출되기 전에 필요한 모든 승인이 충족되었는지 확인하기 위해 서명을 저장하고 검사를 수행합니다.

Safe가 해킹으로 침해되었음에도 불구하고, 전문가들은 Bybit의 부실한 보안에 대해 비난했습니다. Bybit은 '암호화폐 취미족'에게 더 적합하다고 설명된 Safe 서비스의 무료 버전을 사용했으며, 더 정교한 소프트웨어도 사용 가능했습니다.

Bybit은 몇 달 전부터 해당 소프트웨어가 다른 보안 서비스와 호환되지 않는다는 사실을 인지하고 있었습니다. 이로 인해 Zhou는 이체 내역을 전체적으로 확인할 수 없었습니다.

해커들은 3월 4일까지 훔친 499,000 ETH를 모두 Laundering(세탁)했습니다.