내부자 공격 공개: 전 Fuzzland 직원이 2백만 달러 규모의 Bedrock UniBTC 익스플로잇을 조작하다
Fuzzland는 2024년 9월 Bedrock의 UniBTC 프로토콜에서 발생한 2백만 달러 규모의 익스플로잇 배후에 전 직원이 있었다고 밝혔습니다. 이 정교한 내부자 공격은 악성코드, 사회 공학, 특권 접근을 포함했으며, 암호화폐 산업에서 내부 침해의 위협이 커지고 있음을 강조합니다.
내부자 공격의 해부
2024년 9월 4일에 발생한 이 익스플로잇은 전 Fuzzland 직원에 의해 면밀히 계획되고 실행되었습니다. 이 개인은 처음에는 숙련된 MEV 개발자로 고용되었으며, 자신의 접근 권한을 이용하여 내부 시스템을 침해했습니다.
-
사회 공학: 공격자는 기능적인 MEV 봇을 시연하여 인터뷰 중에 신뢰를 얻었고, Fuzzland의 인프라에 대한 접근 권한을 확보했습니다.
-
악성 코드 주입: 'rands'라는 악성 Rust 크레이트로 위장한 트로이 목마가 Fuzzland의 MEV 코드베이스에 삽입되었습니다. 이 트로이 목마는
Cargo.toml파일을 수정하여 VSCode 및 JetBrains와 같은 일반적인 IDE에서 자동 실행되도록 했습니다. -
영구적인 접근: 이 악성코드는 Falcon 및 AVG와 같은 보안 도구를 우회하여 3주 이상 엔지니어링 워크스테이션에 대한 탐지되지 않은 접근을 제공했습니다.
-
익스플로잇 시점: UniBTC 프로토콜은 Dedaub 보고서에서 식별된 취약점에 대한 내부 논의 직후에 익스플로잇되었습니다.
Fuzzland의 대응 및 복구
Fuzzland는 침해에 대한 전적인 책임을 지고 회사 자금을 사용하여 Bedrock의 2백만 달러 손실을 보상했습니다. 회사는 즉시 포괄적인 조사를 시작하고 상당한 보안 강화를 구현했습니다.
-
조사: Fuzzland는 Web3 보안 회사인 zeroShadow를 고용하여 내부 공모를 조사하고 배제했습니다. FBI와 중국 법 집행 기관 모두에 형사 소송을 제기하기 위해 보고서가 제출되었습니다.
-
보안 개편: 향후 사고를 방지하기 위해 Fuzzland는 새로운 내부 통제를 구현하고 심사 절차를 강화했습니다:
-
현장 직원 심사 및 상세한 KYE(Know-Your-Employee) 확인.
-
민감한 시스템의 엄격한 권한 분리 및 격리.
-
신뢰할 수 있는 실행 환경(TEE)에 안전하게 보관된 개인 키.
-
악성 종속성을 플래그하기 위한 모든 코드베이스에 대한 SBOM(Software Bill of Materials) 검사.
-
CodeQL 및 CodeRabbit과 같은 고급 소스 코드 분석 도구 통합.
-
TLP:RED에 따른 정보 처리에 대한 강화된 프로토콜, 엄격한 필요에 따른 접근 보장.
-
-
산업 협력: Fuzzland는 Bedrock, SEAL 911, Slowmist 및 zeroShadow와 협력하여 의심스러운 IP 주소 및 VirusTotal의 악성코드 샘플과 같은 위협 지표를 공유하여 더 넓은 보안 커뮤니티를 지원했습니다.
더 넓은 산업적 함의
이 사건은 암호화폐 부문 내에서 내부자 위협 및 정교한 사회 공학 공격의 증가하는 추세를 강조합니다. CertiK에 따르면 암호화폐 산업은 2025년에 21억 달러 이상이 암호화폐 관련 공격으로 도난당하는 등 해킹이 크게 증가했습니다.
익스플로잇에도 불구하고 Bedrock의 총 가치 잠금(TVL)은 놀라운 회복력을 보여주었으며, DeFiLlama 데이터에 따르면 2024년 9월 2억 4천만 달러에서 2025년 6월 5억 3천 5백만 달러로 증가했습니다. 이는 심각한 보안 사고 후에도 프로토콜이 회복하고 사용자 신뢰를 유지할 수 있는 능력을 보여줍니다.
출처
-
전 직원이 Bedrock UniBTC를 2백만 달러에 해킹: Fuzzland, 내부자 익스플로잇 발견, Cryptonews.
-
Fuzzland, 2백만 달러 규모의 Bedrock UniBTC 익스플로잇 배후에 전 직원 밝혀, Cointelegraph.
-
Fuzzland, 2백만 달러 규모의 Bedrock UniBTC 익스플로잇 배후에 전 직원 밝혀, StartupNews.fyi.
이 기사는 AI 기반 기술의 지원을 받아 여러 신뢰할 수 있는 출처를 바탕으로 작성되었습니다. 최종 콘텐츠는 BlockzHub 편집팀에 의해 철저히 검토 및 편집되어 정확성, 명확성, 일관성을 보장합니다. 원본 보도 자료는 필요에 따라 적절히 출처를 명시합니다. 본 기사에 표현된 의견은 반드시 BlockzHub의 공식적인 견해나 입장을 반영하는 것은 아닙니다. 이 기사는 정보 제공 목적으로만 제공되며, 금융 또는 전문가의 조언으로 간주되어서는 안 됩니다. 투자는 위험을 수반하며, 투자 결정을 내리기 전에 반드시 자격을 갖춘 금융 전문가와 상담하시기 바랍니다.