매달 MetaMask 보안 디렉터 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 떠오르는 위험에 대해 보고합니다. 아래에서 자세한 내용을 확인하세요. 하지만 먼저…
Willis Ware는 디지털 프라이버시와 사이버 보안 분야의 선구자입니다. 그는 "20세기 후반 현대 컴퓨터의 청사진을 제시한 IAS 머신을 공동 개발"했으며, 미국 정보처리학회 연합(The American Federation of Information Processing Societies)을 창설했습니다.
이번 달, MetaMask의 위임 아키텍처가 세 가지 고유한 사용 사례를 통해 그 가치를 입증했습니다. CoinFello는 Smart Accounts Kit의 ERC-7710 위임을 활용해 DeFi용 자기 수탁 AI 에이전트를 구축했습니다. 이를 통해 서명 키가 에이전트의 런타임이 아닌 기기의 보안 영역(secure enclave)에 보관되므로, 프롬프트 인젝션이나 손상된 종속성으로도 키에 접근할 수 없습니다.
Clawnch는 이 모델을 한 단계 더 발전시켜, 실제 거래 수수료를 수익으로 얻는 에이전트가 에이전트 자체의 판단을 신뢰하는 대신 컨트랙트로 강제된 제한 조건 내에서만 해당 수익을 사용하도록 설계했습니다. 위임 범위를 벗어난 행동은 사후가 아닌 컨트랙트 수준에서 즉시 되돌려집니다. 이러한 보안 우선 모델이 바로 Agent Wallet이 맹목적인 위임이 아닌 규칙을 중심으로 구축된 이유입니다. 에이전트는 행동할 수 있지만, 반드시 사용자가 설정한 경계 안에서만 행동합니다.
에이전트 기반 기능에 대한 궁금증을 해소하고 싶다면, 자동화와 자기 수탁이 상호 배타적이라는 오해를 바로잡는 개발자 관계 총괄 Francesco Andreoli의 이 글을 확인해 보세요.
에이전트를 넘어, Revoke.cash는 MetaMask의 Smart Accounts Kit을 활용해 자동 취소(Auto-Revoking) 기능을 출시했습니다. 이 기능은 사용자의 키를 보유하지 않고도, 해당 작업만을 수행하도록 범위가 제한된 ERC-7715 권한을 사용해 위험한 토큰 승인을 정기적으로 정리합니다. 이 세 가지 통합 사례는 우리가 거듭 강조하는 원칙을 잘 보여줍니다. 권한은 범위가 제한되고, 시간적으로 한정되며, 애플리케이션이나 에이전트의 약속이 아닌 온체인에서 강제되어야 한다는 것입니다. 이것이 바로 "나를 믿어라"와 "컨트랙트가 그 이상을 허용하지 않는다"의 차이이며, 더 많은 파트너들이 자기 수탁 지갑에 자동화를 도입함에 따라 우리가 계속해서 구현해 나갈 설계 패턴입니다.
Consensys의 보안 전문가 Herman Junge가 하버드 케네디 스쿨의 사이버 보안 정책 임원 과정에서 얻은 핵심 내용을 공유했습니다. 공격자와 방어자 모두에게 역량을 배가시키는 AI, 현대 디지털 생활이 의존하는 인프라의 취약성, 그리고 사이버 분쟁이 전쟁의 문턱 아래 회색 지대에서 어떻게 작동하는지를 다룹니다. 그는 보안의 성패는 결국 커뮤니케이션에 달려 있다는 관찰로 글을 마무리합니다. 기술적 위험은 예산과 의사결정권을 가진 사람들이 이해할 수 있는 언어로 전달되어야 하며, 그렇지 않으면 사실상 존재하지 않는 것과 다름없다는 것입니다.
Trezor는 최근 배송 업체 중 한 곳이 데이터 침해를 당해 2026년 8월 8일 이전 90일 이내에 배송을 받은 고객들의 주문 데이터가 노출되었다고 공개했습니다. 피해 국가는 미국, 영국, 스웨덴, 콜롬비아, 브라질, 이탈리아, 포르투갈이며, 약 12,000명의 고객 이름, 배송 주소, 전화번호, 이메일이 노출되었습니다. 다만 지갑, 자금, 펌웨어는 영향을 받지 않았으며, Trezor의 엄격한 90일 데이터 보존 정책 덕분에 위험에 노출된 데이터의 양이 제한되었습니다.
MetaMask는 같은 날 사용자들에게 이 사실을 알렸습니다. 암호화폐 자산이 직접 침해되지 않았더라도, 이러한 유형의 침해는 공격자에게 설득력 있는 후속 피싱 공격, 최악의 경우 물리적 표적 공격에 활용될 수 있는 실제 정보(이름, 주소, 하드웨어 지갑 소유 여부)를 제공합니다. 지갑 제공업체를 사칭하는 예상치 못한 이메일이나 문자 메시지에는 각별히 주의하세요. 이번 사건은 2022년과 2024년에 이어 Trezor 사용자들이 겪은 세 번째 데이터 침해입니다.
주의가 필요한 것은 Trezor 사용자만이 아닙니다. 암호화폐 지갑을 사칭하는 악성 이메일이 새롭게 급증하고 있으며, 가짜이지만 그럴듯한 파란색 인증 마크까지 사용하고 있습니다. 항상 발신자 주소를 확인하고, MetaMask는 절대로(어떠한 경우에도) 비밀 복구 구문을 요청하거나 계정 접근 유지를 위해 무언가를 인증하도록 요청하지 않는다는 점을 기억하세요.
긴박감을 조성하는 커뮤니케이션에는 특히 주의하세요. 의심스러운 경우 언제든지 support.metamask.io 또는 @MetaMaskSupport로 문의하시기 바랍니다. 자세한 내용은 지원 문서 "이 이메일이 정말 MetaMask에서 보낸 것인가요?"를 확인하세요.
"콜드 스토리지가 안전한 선택"이라고 믿었던 분들에게는 충격적인 소식입니다. 2026년 7월 30일부터 공격자가 Coinkite의 Coldcard 지갑에 존재하던 5년 된 펌웨어 취약점을 악용하기 시작했습니다. 이 취약점은 2021년 3월 빌드 오류로 거슬러 올라가며, 기기의 하드웨어 난수 생성기를 조용히 비활성화하고 취약한 소프트웨어 대체재로 폴백하여 유효 키 강도를 40비트까지 낮춰 기기에 물리적으로 접근하지 않고도 시드를 무차별 대입 공격으로 해독할 수 있게 만들었습니다. 네 차례의 공격을 통해 5,200개 이상의 주소에서 약 1,816 BTC(약 1억 1,600만 달러)가 탈취되었으며, 이는 2026년 세 번째로 큰 암호화폐 해킹이자 역대 최대 규모의 하드웨어 지갑 익스플로잇으로 기록되었습니다. 펌웨어를 업데이트해도 취약한 코드로 이미 시드를 생성한 지갑은 수정되지 않습니다. 해당 기간에 해당하는 사용자는 기존 시드가 손상된 것으로 간주하고 새로 생성한 시드로 마이그레이션해야 합니다.
이 사건에서 주목해야 할 점은 피해 금액보다 보안 모델로서의 "신뢰하지 말고, 검증하라"가 시사하는 바입니다. Coldcard의 펌웨어는 오픈 소스였고, 사용자들은 5년 중 어느 시점에서든 빌드를 재현하여 버그를 발견할 수 있었습니다. 그러나 CoinDesk가 밝혀낸 바에 따르면, 사실상 아무도 충분히 면밀히 살펴보지 않았으며, 한 개발자가 익스플로잇이 발생하기 1년도 더 전에 결함 있는 난수 코드를 지적했지만 "실제 문제였다면 이미 드러났을 것"이라는 답변을 들었다고 합니다.
암호화폐에 대한 양자 위험이 최근 더욱 구체화되고 있으며, 이번 달 세 가지 소식이 이론에서 대비로의 전환을 보여줍니다. 먼저, Quantus Network 창립자 Christopher Smith는 암호화폐에 대한 최초의 실제 양자 공격은 극적인 사토시 지갑 탈취처럼 보이지 않을 것이라고 경고했습니다. 대신, 충분히 강력한 양자 컴퓨터가 이미 온체인에 노출된 공개 키에서 직접 개인 키를 도출할 수 있어 지목할 만한 손상된 기기나 거래소 없이 포렌식 흔적도 남기지 않는, 평범해 보이는 지갑 침해의 물결로 나타날 수 있다는 것입니다.
동시에, 이더리움 재단은 이 위험에 선제적으로 대응하기 위해 실질적인 자원을 투입하고 있습니다. 연구원 Justin Drake는 8년간의 연구 끝에 재단이 이더리움 L1을 Poseidon 해시 함수에서 SHA 및 BLAKE와 같은 검증된 대안으로 전환하고 있으며, 이는 네트워크의 광범위한 포스트 양자 로드맵의 이정표라고 발표했습니다.
이 로드맵은 이제 실제 자금이 보관된 이더리움의 핵심 부분에까지 적용되기 시작했습니다. 이더리움 재단의 Kevaundray Wedderburn이 제출한 EIP 초안은 약 1,040억 달러 규모의 스테이킹된 ETH가 통과하는 관문인 검증자 예치 컨트랙트를 재구축할 것을 제안합니다. 기존 컨트랙트는 현재의 BLS 서명 크기를 하드코딩하고 있어 포스트 양자 방식에 필요한 더 큰 키를 수용할 공간이 없습니다. 새로운 설계는 최대 8,192바이트의 가변 길이 키를 허용하고 각 예치에 "방식 식별자"를 태그로 붙여, 오늘날 BLS가 계속 작동하면서도 아직 선택되지 않은 포스트 양자 표준을 나중에 추가할 수 있는 공간을 남겨두고, 궁극적으로 BLS를 완전히 단계적으로 폐지하기 위한 비가역적 은퇴 모드도 포함합니다.
TheDAO.fund가 이더리움 보안 전문가 그룹을 모아 운영 보안(OpSec)에 관한 토론을 진행했습니다. 참여자는 Hudson Jameson, Isaac Patka, Joseph "Dobs" Dobson, Joe "Audit Wizard" Van Loon, Vladimir "Officer's Notes" Sobolev, Anuoluwapo "Anu" Adeleke, Aruda Usman, Roman, 그리고 진행자 Griff Green입니다.
대화는 암호화폐 팀이 OpSec에서 가장 취약한 이유, 감사 권고 사항이 항상 실행으로 이어지지 않는 이유, 그리고 자만심, 인적 요인, 미흡한 후속 조치가 어떻게 대규모 손실로 이어질 수 있는지를 다뤘습니다.
Griff는 또한 TheDAO.fund의 다음 단계에 대해 더 많은 내용을 공유했습니다. 이더리움 보안 펀딩에 대한 보다 능동적이고 이니셔티브 중심의 접근 방식이 예정되어 있습니다. 예고: 제안 요청(RFP)이 곧 공개될 예정입니다.
기록적인 손실에 관해 말하자면, Bybit은 약 15억 달러 규모의 ETH 및 stETH를 탈취한 세계 최대 암호화폐 도난 사건과 관련하여 북한과 라자루스 그룹을 상대로 미국 컬럼비아 특별구 연방 지방법원에 민사 소송을 제기했습니다. Bybit은 또한 신원 미상의 "John Doe" 피고들이 보유한 탈취 자산을 동결하는 예비 금지 명령을 확보하여, 소송이 진행되는 동안 자금의 이동 및 매각을 금지했습니다.
이 조치는 진행 중인 미국 형사 수사와 병행하여 이루어지며, 자금 회수와 국가 지원 행위자에 대한 책임 선례 수립을 위한 Bybit의 광범위한 노력, 즉 법 집행 기관 및 다른 거래소들과의 협력을 반영합니다. Chainalysis 보고서에 따르면 북한은 2016년 이후 약 67억 5,000만 달러 상당의 암호화폐를 탈취했으며, 그 상당 부분이 북한의 무기 프로그램 자금으로 사용되는 것으로 추정됩니다.
MetaMask의 2026년 8월 암호화폐 보안 보고서는 5년간 발견되지 않은 Coldcard 펌웨어 익스플로잇으로 1,816 BTC가 탈취된 1억 1,600만 달러 사건, 15억 달러 해킹과 관련한 Bybit의 북한 및 라자루스 그룹 상대 민사 소송, 그리고 이더리움 재단의 포스트 양자 로드맵 추진을 다뤘습니다. 더 많은 새로운 위험, 위협, 그리고 생태계 전반에서 안전을 유지하는 방법에 대한 팁은 MetaMask 암호화폐 보안 보고서의 이전 호를 참고하세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
