암호화폐 사용자를 겨냥한 대규모 NPM 공급망 공격은 대체로 실패하여, 탐지 및 차단 전에 최소한의 재정적 손실만 발생했다.

요약

**Node Package Manager (NPM)**를 통한 대규모 공급망 공격이 암호화폐 사용자를 대상으로 했지만, 신속하게 차단되었습니다. Ledger의 CTO에 따르면, 이 공격으로 인해 약 503달러가 완화되기 전에 도난당했습니다. Uniswap 및 Aave를 포함한 여러 암호화폐 플랫폼은 영향을 받지 않았다고 보고했습니다.

상세 이벤트

이 공격은 평판 좋은 개발자의 NPM 계정을 침해하여 chalk, strip-ansi, color-convert와 같이 널리 사용되는 패키지에 악성 코드를 주입했습니다. 이 패키지들은 주당 10억 회 이상 다운로드되었습니다. 악성 코드는 네트워크 요청을 가로채어 암호화폐 주소를 공격자 제어 주소로 바꾸었으며, 주로 소프트웨어 지갑 및 MetaMask와 같은 브라우저 기반 암호화폐 애플리케이션을 대상으로 했습니다.

악성 코드는 NPM 보안 팀이 개입하기 전 약 두 시간 동안 활성화되었습니다. 침해된 패키지에는 지갑 상호 작용을 조작하고 결제를 공격자 제어 계정으로 리디렉션하도록 설계된 코드가 포함되어 있었습니다.

시장 영향

이 공격의 재정적 영향은 미미했지만, 이 사건은 Web3 생태계 내에 존재하는 지속적인 보안 취약성을 강조합니다. 이 사건은 소프트웨어 공급망에 대한 조사를 강화하고 암호화폐 산업 내에서 보안 조치에 더 큰 강조를 두는 계기가 될 수 있습니다. 이 공격은 신뢰할 수 있는 개발 종속성이 금융 악성웨어 배포의 벡터가 될 위험을 부각시킵니다.

전문가 의견

"악성 페이로드는 자금을 훔치기 위해 암호화폐 주소를 즉석에서 조용히 바꾸는 방식으로 작동합니다. 하드웨어 지갑을 사용하는 경우, 서명하기 전에 모든 거래에 주의를 기울이면 안전합니다. 하드웨어 지갑을 사용하지 않는 경우, 당분간 온체인 거래를 삼가십시오."

보안 전문가들은 개발자와 조직이 정기적인 종속성 감사, 일관된 종속성 버전을 보장하기 위한 패키지 잠금 파일 사용, 패키지 게시자 확인을 포함한 강력한 공급망 보안 조치를 구현할 것을 권장합니다.

광범위한 맥락

이 공격은 Web3 공간, 특히 소프트웨어 지갑 및 브라우저 기반 애플리케이션 사용자에게 내재된 위험을 상기시킵니다. Ledger 및 Trezor와 같은 하드웨어 지갑은 안전한 확인 프로세스로 인해 더 안전합니다. 이 사건은 또한 거래를 위해 여러 승인이 필요한 Safe와 같은 다중 서명 지갑의 채택을 장려하여 보안을 강화할 수 있습니다.

개인 키 손실 및 해킹에 대한 우려는 거래자들에게 중요합니다. @GoChapaa가 언급했듯이, 이러한 우려는 핵심 실행 및 보관 위험을 강조하며, 잠재적 손실을 완화하기 위해 하드웨어 지갑 및 다중 서명 솔루션의 채택을 장려합니다.