블록체인/레벨 IV · 프로토콜 심화/4.3 커스터디와 프라이버시/수업 5
운영 보안 및 흔한 사기 수법
암호학은 버티지만, 사람은 버티지 못한다
준비물독립적인 디스플레이 화면을 갖춘 하드웨어 지갑장기 보관용 별도 에어갭 장치미국 FBI 인터넷 범죄 신고 센터(IC3)의 암호화폐 사기 관련 연례 보고서
호기심
- 하드웨어 지갑도 피싱 사이트로 인해 자금을 잃을 수 있는 이유는 무엇인가요?
- 정상적인 키로 서명된 거래가 어떻게 사용자도 모르게 공격자의 주소로 전송될 수 있을까요?
- 왜 대부분의 손실은 암호가 깨져서가 아니라 기만 때문에 발생할까요?
탐구
- 비트코인의 프로토콜 보안은 secp256k1 타원곡선 암호에 기반하며, 이를 깨는 방법은 알려져 있지 않습니다. 그럼에도 대부분의 큰 손실은 수학적 실패가 아니라 사회공학에서 비롯됩니다. 원장은 변경할 수 없으므로, 컨펌된 거래는 어떤 기관도 되돌릴 수 없습니다. 이 최종성은 네트워크를 보호하지만, 개별 보유자를 되돌릴 수 없는 실수와 기만에 노출시킵니다.
- 피싱은 도난의 가장 흔한 경로 중 하나입니다. 공격자들은 정상 인터페이스를 흉내 낸 유사 도메인이나 가짜 지갑 앱을 배포합니다. 피해자가 이런 가짜 환경에 시드 문구나 개인 키를 입력하면 공격자가 완전한 통제권을 얻습니다. 미국 FBI 인터넷 범죄 신고 센터는 매년 꾸준히 많은 암호화폐 사기 건수를 보고하고 있으며, 손실액 기준으로는 투자 사기가 가장 큰 유형입니다.
- 클립보드 악성코드는 백그라운드에서 조용히 작동하며 복사된 주소를 공격자가 통제하는 주소로 바꿔치기합니다. 사용자는 지갑이나 연락처에서 정상 주소를 복사해 송금 화면에 붙여 넣지만, 모르는 사이에 다른 곳으로 자금을 보내게 됩니다. 주소 포이즈닝(address poisoning)은 이 위험을 더 키웁니다. 공격자는 사용자의 기존 거래 내역에 있는 주소와 겉보기에 비슷한 주소에서 소량의 더스트를 보내, 피해자가 거래 기록에서 그 가짜 항목을 복사하기를 노립니다.
- 사회공학은 사칭과 장기 사기로도 이어집니다. 가짜 고객지원 직원이 계정에 문제가 있다고 하거나 도난 자금을 복구해 주겠다며 사용자에게 연락합니다. 정상적인 기관은 시드 문구를 절대 요구하지 않습니다. '돼지 도살(pig butchering)' 사기는 몇 달에 걸쳐 관계를 쌓은 뒤 피해자를 사기 투자 플랫폼으로 유도합니다. 2020년 7월 해커들은 주요 기술 기업 임원들의 계정을 포함한 유명 트위터 계정들을 탈취해, 입금한 비트코인을 두 배로 돌려준다는 경품 사기를 홍보했습니다.
- SIM 스왑 공격은 통신사를 속여 피해자의 전화번호를 공격자가 제어하는 기기로 이전하게 함으로써 거래소 계정을 노립니다. 번호를 장악한 공격자는 SMS 기반 로그인 코드를 받아 거래소 지갑에 접근합니다. '렌치 공격(wrench attack)'이라 불리는 물리적 강압은 하드웨어 장치를 빼앗거나 협박이나 폭력으로 시드 문구 공개를 강요해, 모든 디지털 보안 장치를 완전히 우회합니다.
- 운영상의 관행은 이러한 위험을 없애지는 못하지만 줄여 줍니다. 사용자는 서명하기 전에 하드웨어 지갑의 독립된 화면에서 수취인 주소를 확인해 목적지가 의도와 일치하는지 확인합니다. 많은 사람이 일상 거래용 기기와 장기 보관용 기기를 따로 두어 악성코드 노출을 줄입니다. 보유 자산에 대해 말을 아끼면 표적이 될 가능성이 줄어듭니다. 재산을 공개적으로 드러내면 사기꾼과 물리적 위협 모두의 주목을 끌게 됩니다.
핵심 사실
- 비트코인 손실은 암호가 깨져서가 아니라 기만, 사용자 실수, 서비스 실패에서 발생합니다.
- 클립보드 악성코드는 시스템 버퍼에 복사된 주소를 대체하여 거래를 공격자가 통제하는 계정으로 유도합니다.
- 주소 포이즈닝은 비슷하게 생긴 주소에서 더스트를 보내 피해자가 거래 내역에서 그 주소를 복사하게 만드는 수법입니다.
- 2020년 7월에 발생한 트위터 계정 해킹 사건에서는 유명인들의 계정을 해킹하여 그들의 팔로워들에게 가짜 비트코인 증정 이벤트를 홍보했습니다.
- SIM 스왑은 공격자가 피해자의 전화번호를 자신의 기기로 옮김으로써 SMS 기반의 로그인 코드를 받을 수 있게 해줍니다.
- 하드웨어 지갑은 물리적 화면에 목적지 주소를 표시하여 호스트 컴퓨터와는 별개로 확인이 가능합니다.
연습 아홉, 여섯, 셋, 하나
9모으기최근 법 집행 기관 보고서나 보안 권고에서 설명된 서로 다른 유형의 암호화폐 사기 또는 사회공학 공격 9가지를 나열하세요. 각각에 대해 기만의 주요 수법과, 셀프 커스터디 지갑, 거래소 계정, 또는 둘 다 중 무엇을 노리는지 적으세요.
6묶기9가지 사기 유형을 공격 경로에 따라 직접적인 키 탈취, 거래 경로 변경, 보조 인증 요소를 통한 계정 탈취, 장기적 관계 조작, 물리적 강압, 프로토콜 수준 악용의 6개 범주로 분류하세요. 각 분류의 근거를 속임수가 일어나는 구체적인 기술적 단계로 설명하세요.
3추리기6개 클러스터를, 사기 유형과 상관없이 사기꾼들이 악용하는 근본적인 인간의 취약점 3가지로 줄이세요.
1결정화블록체인 보안의 핵심 특성인 최종성(finality)이 왜 프로토콜을 보호하는 동시에 개인이 사기에 가장 취약해지게 만드는지 한 문장으로 설명하세요.
팩트 체크
날짜, 수치 및 주장은 아래에 명시된 출처들을 통해 확인되었습니다.