요약

Crypto.com은 악명 높은 Scattered Spider 해커 집단, 특히 Noah Urban과 관련된 2023년 데이터 유출 사건을 확인했으며, 이는 소수의 개인 식별 정보(PII)를 노출시켰습니다. 이 암호화폐 거래소는 이 사건 동안 고객 자금에 접근되거나 위험에 처하지 않았으며, 감지 후 몇 시간 내에 사건이 진압되었다고 주장합니다.

사건 상세

확인된 이 사건은 2023년 Crypto.com 직원을 대상으로 한 정교한 피싱 캠페인에서 시작되었으며, 이는 회사 시스템에 대한 무단 접근을 가능하게 했습니다. 이 공격은 전통적인 악성코드보다는 소셜 엔지니어링 전술에 의존하는 것으로 알려진 그룹인 Scattered Spider의 소행으로 밝혀졌습니다. 블록체인 조사관 ZachXBT는 Crypto.com이 이 유출을 은폐했다고 주장하며 공개적으로 비판했습니다. 이에 대해 Kris Marszalek CEO를 포함한 Crypto.com 관계자들은 회사가 미국 기반 전국 다주 라이선스 시스템(NMLS)에 "데이터 보안 사고 통지"를 제출했으며 "관련 관할 규제 당국에 추가 보고서"를 제출했다고 밝혔습니다. 그들은 미공개 주장이 근거 없다고 주장했습니다. 이 유출은 "매우 적은 수의 개인"에게 영향을 미치는 제한된 PII 데이터의 노출을 포함했습니다. 소식통에 따르면 Scattered Spider는 Noah Urban과 같은 구성원을 통해 소셜 엔지니어링을 활용하고 유나이티드 파셀 서비스(UPS)와 같은 시스템을 잠재적으로 악용하여 개인 데이터를 얻고 자격 증명을 획득했으며, 이는 200개 이상의 회사에 영향을 미친 더 넓은 공격 패턴을 따릅니다.

시장 영향 및 보안 태세

Crypto.com 데이터 유출은 디지털 자산 산업이 직면한 지속적인 사이버 보안 문제, 특히 정교한 소셜 엔지니어링 공격에 대한 취약성을 강조합니다. Crypto.com은 고객 자금이 안전하게 유지되었다고 강조하지만, PII 노출은 영향을 받은 사용자에게 잠재적인 피싱 공격, 신원 도용 또는 스피어 피싱 사기와 같은 위험을 수반합니다. 이 사건은 Crypto.com의 보안 프로토콜 및 보안 사건 중 커뮤니케이션 관행에 대한 정밀 조사를 촉발할 수 있습니다. 더 넓은 Web3 생태계의 경우, 이는 사용자 신뢰를 유지하고 더 넓은 채택을 촉진하기 위해 투명하고 시기적절한 공개와 함께 강력한 보안 조치가 중요하다는 점을 상기시켜 줍니다. 이러한 사건은 기술적 취약점을 넘어 조직 내 인적 요소에까지 확장되는 진화하는 위협 벡터에 대한 지속적인 경계의 필요성을 강조합니다. 시장 영향은 이 경우 암호화폐 자산 가격에 직접적인 영향을 미치지는 않지만, 중앙화된 거래소와 민감한 개인 데이터를 보호하는 능력에 대한 투자자와 사용자 신뢰와 관련이 있습니다.

더 넓은 맥락: Scattered Spider의 행동 양식

당시 18세였던 Noah Urban은 Scattered Spider의 핵심 인물이었으며, 이 집단은 단순한 SIM 스와핑에서 정교한 기업 침투로 전환했습니다. 그의 방법은 소셜 엔지니어링을 통해 직원을 조작하는 것이었고, 때로는 Twilio 침투와 같은 다른 유출에서 도난당한 데이터를 활용하여 209개 회사의 고객 확인 코드에 접근했습니다. 다양한 회사를 포괄하는 Urban의 더 넓은 범죄 활동으로 인한 총 손실은 최대 2,500만 달러로 추정됩니다. 그는 전신 사기 및 가중 신원 도용 혐의에 대해 유죄를 인정했으며, 10년 징역형과 1,300만 달러의 배상 명령을 받았고, 480만 달러의 암호화폐는 이미 압류되었습니다. 이 사례는 사이버 범죄자들이 기술적 방어를 우회하기 위해 인간의 취약점을 목표로 삼는 경향이 증가하고 있음을 보여주며, 효과적인 사이버 보안 전략이 기술적 안전 장치와 소셜 엔지니어링 전술에 대한 포괄적인 직원 교육을 모두 포함해야 함을 입증합니다.