SlowMist, GitHub의 'Solana-pumpfun-bot'에서 코인 도난 함정 발견

SlowMist는 GitHub 플랫폼에서 널리 사용되는 오픈소스 프로젝트 "Solana-pumpfun-bot"에 사용자의 지갑에서 암호화폐를 도난하는 코드가 있음을 밝혔다. 

수사는 2025년 7월 2일에 시작되었다. 한 피해자가 지갑 자산 도난 사유 분석을 돕기 위해 SlowMist 보안팀에 연락했다. 

이 사건은 전날 GitHub에서 호스팅된 오픈소스 프로젝트를 사용하면서 암호화된 자산이 도난당해 발생했다. SlowMist는 도난된 자금이 FixedFloat 거래소로 이전되고 있다고 밝혔다.

프로젝트 작성자가 주요 용의자

공격을 성공시키기 위해 해커는 공식 오픈소스 프로젝트(solana-pumpfun-bot)인 척하여 사람들이 악성 코드를 다운로드하고 실행하도록 유도했다. 조사 과정에서 'crypto-layout-utils'라는 의심스러운 의존성 패키지가 공식 NPM 소스에서 제거된 것이 발견되었다.

해커는 이후 원래 다운로드 URL을 대신하여 악성 버전의 소프트웨어를 업로드했다. 이는 피해자의 PC에서 지갑 관련 파일을 검색한 후 공격자가 통제하는 서버로 민감한 데이터를 전송했다.

수사 결과 프로젝트 작성자가 여러 GitHub 계정을 통제하고 있는 것으로 의심된다. 이들은 악성 프로젝트를 포크하고, 악성 프로그램을 배포하며, 프로젝트의 인기를 인위적으로 부풀리는 데 사용되었다. 유사한 악성 행동을 보이는 여러 포크 프로젝트가 확인되었으며, 그중 일부는 또 다른 악성 패키지인 'bs58-encrypt-utils'를 사용했다.

전체 공격 사슬에는 여러 GitHub 계정이 함께 관여한다. 이는 확산 범위를 넓히고 신뢰도를 높이며 매우 기만적이다. 동시에 이 공격은 소셜 엔지니어링과 기술적 수단을 모두 사용했으며, 조직 내에서 완전히 방어하기 어렵다.

악성 활동은 2025년 6월 12일에 시작된 것으로 추정된다. 이는 공격자가 악성 패키지 'bs58-encrypt-utils'를 생성한 시점이다. 

암호화폐 해킹은 크게 진전되지 않았음; 오히려 더 교묘해졌다

SlowMist에 따르면 암호화폐 해킹 기술은 크게 진전되지 않았지만 훨씬 더 교묘해졌다. SlowMist의 운영 책임자 리사는 자사의 2분기 MistTrack 도난 자금 분석 보고서에서 해킹 기술의 진보는 보이지 않았지만 사기가 더 정교해졌다고 말했다.

가짜 브라우저 확장 프로그램, 조작된 하드웨어 지갑, 그리고 소셜 엔지니어링 공격이 증가하고 있다. "순수 온체인 공격에서 브라우저 확장 프로그램, 소셜 미디어 계정, 인증 흐름, 사용자 행동 등 오프체인 진입점으로의 명확한 전환을 보고 있으며, 모두 일반적인 공격 표면이 되고 있다,"라고 리사는 말했다.

예를 들어, 공격자들은 사용자를 Notion이나 Zoom과 같이 잘 알려지고 일반적으로 사용되는 웹사이트로 유도한다. 사용자가 이러한 공식 사이트에서 소프트웨어를 다운로드하려고 할 때, 제공된 파일은 이미 악성으로 교체되어 있다. 

또 다른 방법은 해커들이 사용자에게 손상된 콜드 월렛을 보내는 것이다. 그들은 피해자들에게 '로또 추첨'으로 무료 기기를 당첨되었다거나 기존 기기가 손상되어 자산을 이전해야 한다고 말한다. 더 나아가 해커들은 가짜 웹사이트를 도입하기도 했다. 

최종 타격은 보통 조작이다. "공격자들은 '위험한 서명 감지'와 같은 문구가 패닉을 유발하여 사용자가 성급한 행동을 취하도록 한다는 것을 안다. 일단 그 감정 상태가 트리거되면, 일반적으로 하지 않을 것인 링크 클릭이나 민감한 정보 공유 등을 하도록 그들을 조작하는 것이 훨씬 더 쉬워진다,"라고 리사는 말했다.

다른 공격들은 이더리움 Pectra의 최신 버전에 추가된 EIP-7702를 이용한 해킹 방법을 사용했다. 또 다른 공격은 여러 위챗(WeChat) 사용자의 계정을 탈취하여 그들을 표적으로 삼았다. SlowMist에 따르면 이더리움은 2025년 상반기 보안 손실 측면에서 모든 생태계 중 1위를 차지했으며, DeFi 플랫폼은 약 4억 7천만 달러를 손실했다.