.jpeg)
최근 Node Package Manager(NPM) 생태계 내의 취약점을 악용하려는 시도가 있었는데, 비록 재정적 손실은 미미했지만, 암호화폐 사용자 및 플랫폼이 직면한 지속적인 보안 위협에 대한 분명한 경고가 되었습니다. 이 사건은 특히 소프트웨어 지갑과 거래소에 대한 강력한 보안 조치의 중요성을 강조합니다.
주요 내용
-
암호화폐 50달러만 탈취한 NPM 공격 시도는 심각한 공급망 취약점을 드러냈습니다.
-
전문가들은 소프트웨어 지갑과 거래소가 여전히 이러한 공격에 취약하다고 강조합니다.
-
하드웨어 지갑은 명확한 서명 및 거래 확인과 같은 기능 덕분에 더 안전한 대안으로 홍보됩니다.
NPM 공격 공개
공격은 악의적인 행위자들이 NPM 지원을 사칭한 피싱 이메일을 통해 개발자 계정에 접근하면서 시작되었습니다. 이 접근 권한을 이용하여 그들은 chalk, debug, strip-ansi를 포함한 인기 있는 NPM 라이브러리에 악성 코드를 주입했습니다. 주입된 코드는 비트코인, 이더리움, 솔라나, 트론, 라이트코인과 같은 다양한 블록체인에서 거래 중 암호화폐 지갑 주소를 가로채고 변경하도록 설계되었습니다.
전문가 분석 및 영향
하드웨어 지갑 회사인 Ledger의 CTO 찰스 기예메(Charles Guillemet)는 이번 사건을 지속적인 위험에 대한 "분명한 경고"라고 설명했습니다. 그는 소프트웨어 지갑에 의존하거나 거래소에 자금을 보관하는 사용자들은 "코드 실행 한 번으로 모든 것을 잃을 수 있다"고 말하며, 공급망 침해가 악성코드 전달의 강력한 수단으로 남아있음을 강조했습니다. 기예메는 하드웨어 지갑의 명확한 서명 및 거래 확인 기능을 이러한 위협에 대한 중요한 방어 수단으로 언급하며 하드웨어 지갑을 옹호했습니다.
The Open Network(TON)의 CTO 아나톨리 마코소프(Anatoly Makosov)는 18개 패키지의 특정 버전만 영향을 받았으며 롤백이 신속하게 이루어졌다고 덧붙였습니다. 그는 손상된 패키지가 "암호화폐 클리퍼" 역할을 하여 감염된 버전을 사용하는 애플리케이션에서 합법적인 지갑 주소를 악성 주소로 조용히 대체했다고 설명했습니다. 이는 영향을 받은 블록체인과 상호 작용하는 웹 애플리케이션이 사용자 인지 없이 거래가 재라우팅될 위험에 처했음을 의미합니다.
완화 및 권장 사항
마코소프는 악성 업데이트 직후 빌드를 푸시한 개발자와 코드 라이브러리를 자동으로 업데이트한 애플리케이션이 가장 노출되었다고 지적했습니다. 그는 개발자들에게 손상된 라이브러리의 안전한 버전으로 되돌리고, 깨끗한 코드를 다시 설치하며, 애플리케이션을 재구축할 것을 권고했습니다. 그는 또한 주로 프로젝트가 18개의 특정 손상된 라이브러리 버전에 의존하는지 확인하여 손상된 앱을 식별하는 체크리스트를 공유했습니다. 새롭고 업데이트된 릴리스가 제공되고 있으며, 악성코드를 제거하기 위한 신속한 조치가 촉구됩니다.
출처
-
NPM 해킹, 공급망 위협이 여전히 암호화폐를 위협함을 보여줘, 코인텔레그래프.
이 기사는 AI 기반 기술의 지원을 받아 여러 신뢰할 수 있는 출처를 바탕으로 작성되었습니다. 최종 콘텐츠는 BlockzHub 편집팀에 의해 철저히 검토 및 편집되어 정확성, 명확성, 일관성을 보장합니다. 원본 보도 자료는 필요에 따라 적절히 출처를 명시합니다. 본 기사에 표현된 의견은 반드시 BlockzHub의 공식적인 견해나 입장을 반영하는 것은 아닙니다. 이 기사는 정보 제공 목적으로만 제공되며, 금융 또는 전문가의 조언으로 간주되어서는 안 됩니다. 투자는 위험을 수반하며, 투자 결정을 내리기 전에 반드시 자격을 갖춘 금융 전문가와 상담하시기 바랍니다.