암호화폐 지갑 보안 사고 트래커
2026-10-25 기준으로 2018년 이후 인기 셀프 커스터디 지갑과 사용자에게 영향을 준 보안 사고 60건을 추적하고 있으며, 여기에는 해킹·익스플로잇 또는 공개된 취약점 20건과 공급망 공격 5건이 포함됩니다. 사용자 손실 대부분은 지갑 암호 기술의 결함이 아니라 피싱, 드레이너, 가짜 앱에서 비롯되었습니다.
주요 사실
- 지갑 관련 사고 중 가장 큰 사고는 무엇이었습니까?
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Profanity 배니티 주소 (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- 가장 최근 사고는 무엇입니까?
- 2026-10-09: Ledger가 공인 리셀러로 등재한 동남아시아 리셀러 CryptoBilis를 통해 판매된 Ledger 기기에 숨겨진 임플란트가 있었으며, 이 장치는 설정 중 24단어 문구를 읽어 셀룰러(LTE) 모듈로 외부에 전송했습니다. Ledger는 10월 10일자 성명에서 임플란트의 존재를 확인했습니다. CryptoBilis는 판매를 중단했고, Ledger는 해당 기기 소유자에게 새 시드로 설정한 새 기기로 자금을 옮기라고 안내했으며, 10월 13일에는 아시아 7개 시장의 리셀러에게 재고 회수를 요청했습니다. MediaMarktSaturn도 Ledger 제품 판매를 중단했습니다. Ledger 문서에 따르면 Genuine Check는 보안 요소(secure element)를 검증할 뿐 물리적 개조는 탐지할 수 없습니다.
- 가장 중요한 교훈은 무엇입니까?
- 대부분의 손실은 지갑의 암호 기술 바깥에서 시작됩니다. 피싱 사이트, 가짜 앱, 악성 승인, 공급망 침해가 그 예입니다. 다운로드한 파일을 확인하고, 시드 문구를 웹사이트에 절대 입력하지 말고, 서명하는 내용을 반드시 확인하십시오.
타임라인
| 날짜 | 지갑 | 유형 | 보고된 손실 | 사건 내용 | 출처 |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | 공급망 | ~$86M–$93M | Ledger가 공인 리셀러로 등재한 동남아시아 리셀러 CryptoBilis를 통해 판매된 Ledger 기기에 숨겨진 임플란트가 있었으며, 이 장치는 설정 중 24단어 문구를 읽어 셀룰러(LTE) 모듈로 외부에 전송했습니다. Ledger는 10월 10일자 성명에서 임플란트의 존재를 확인했습니다. CryptoBilis는 판매를 중단했고, Ledger는 해당 기기 소유자에게 새 시드로 설정한 새 기기로 자금을 옮기라고 안내했으며, 10월 13일에는 아시아 7개 시장의 리셀러에게 재고 회수를 요청했습니다. MediaMarktSaturn도 Ledger 제품 판매를 중단했습니다. Ledger 문서에 따르면 Genuine Check는 보안 요소(secure element)를 검증할 뿐 물리적 개조는 탐지할 수 없습니다. | cryptoslate.com |
| 2026-10-01 | MetaMask | 기타 | — | MetaMask는 인프라 일부에 영향을 준 '진행 중인 보안 사고'를 공개하고, 예방 조치로 비수탁형 스테이킹 서비스의 검증자 철수를 시작했습니다(Lido 내 검증자 포함, 10월 7일까지 철수 완료 예정). MetaMask는 지갑이나 고객 자금이 영향을 받았다는 증거는 발견하지 못했다고 밝혔으며, 원인은 공개하지 않았습니다. | thehackernews.com |
| 2026-09-09 | Trezor | 피싱 | — | 공격자들이 Trezor의 이메일 마케팅 업체 Brevo를 침해해 [email protected] 주소로 가짜 STM32 '마이크로컨트롤러 취약점'에 관한 피싱 이메일을 보냈으며, 이메일은 시드 문구를 탈취하는 페이지로 연결되었습니다. Trezor는 약 20분 만에 해당 도메인을 차단하고 Brevo 계정을 정지했으며, 다른 Trezor 시스템은 영향을 받지 않았다고 밝혔습니다. | bleepingcomputer.com |
| 2026-08-16 | SafePal | 데이터 유출 | — | 공격자가 SafePal 웹 쇼핑몰의 주문 추적 플러그인에 있는 권한 검증 결함을 악용해 2025년 3월부터 2026년 4월까지의 주문에 대한 이름, 이메일, 전화번호, 배송 주소, 주문 정보를 탈취했습니다. 시드 문구와 키는 노출되지 않았습니다. SafePal은 결함을 수정하고 외부 보안 업체를 고용했으며 30개 이상의 피싱 사이트를 차단했습니다. | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (브라우저 확장 프로그램) | 취약점 | — | 연구자 V12는 Rabby 확장 프로그램의 '무음 서명 추출' 결함을 보고했습니다. 자동 잠금 타이머가 10분으로 설정된 경우, 사용자가 연결한 적이 있는 악성 사이트가 확인 창 없이 서명을 얻을 수 있었습니다. Rabby는 2026년 8월 11일 수정 버전을 배포했으며, 모바일 앱은 영향을 받지 않았고 알려진 악용 사례는 없다고 밝혔습니다. | techflowpost.com |
| 2026-08-10 | Trezor | 데이터 유출 | — | Trezor의 물류 업체 ShipMonk가 Metabase 취약점을 통해 침해되어 2026년 5월 10일부터 8월 8일까지 접수된 주문의 이름, 이메일, 전화번호, 배송 주소가 노출되었습니다. Trezor는 9월 7일, ShipMonk가 데이터를 삭제하지 않아 2019년 11월부터 2021년 8월 사이에 주문한 미국 고객 67,000명의 데이터도 노출되었다고 밝혔습니다. Trezor는 자사 시스템과 기기는 침해되지 않았다고 밝히고 후속 피싱에 주의하라고 경고했습니다. | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | 취약점 | ~$116M | Coldcard 펌웨어 4.0.1(2021년 3월)부터 이어진 빌드 설정 오류로 인해, 영향을 받은 Mk2/Mk3와 상대적으로 덜하지만 Mk4, Mk5, Q 펌웨어에서 시드가 하드웨어 엔트로피 소스 대신 약한 소프트웨어 RNG로 생성되어 무차별 대입으로 알아낼 수 있었습니다. 도난은 2026년 7월 30일에 시작되었습니다. Coinkite는 7월 31일 수정 펌웨어(Mk3 4.2.0, Mk4/Mk5 5.6.0, Q 1.5.0Q)를 배포하고 노출된 시드의 소유자에게 새 시드를 만들어 자금을 옮기라고 안내했습니다. 이 업데이트는 새 시드만 보호합니다. | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (사칭) | 가짜 앱 | ~$1.8M | 사용자 3명이 캘리포니아 연방 법원에 Apple을 상대로 소송을 제기하며, 가짜 'Sparrow Wallet' iOS 앱(실제 Sparrow에는 iOS 버전이 없음)이 2025년 중반 자신들의 시드 문구와 비트코인을 탈취했다고 주장했습니다. Apple은 소송에 대한 언급을 거부했지만, 현재 App Store에 Sparrow Wallet 모방 앱은 없다고 밝혔습니다. | decrypt.co |
| 2026-06-03 | Trezor (Safe 7, TROPIC01 칩) | 취약점 | — | Ledger의 Donjon은 Trezor Safe 7에 사용된 TROPIC01 보안 칩에서 레이저 결함 주입 취약점을 발견했습니다. 이 공격에는 기기의 물리적 확보, 칩 개봉(decapsulation), 실험실 장비가 필요하며, 기존 칩에서는 펌웨어로 수정할 수 없습니다. Trezor는 지갑 키와 백업이 해당 칩에 저장되지 않으므로 자금, PIN, 백업이 노출될 수 없으며 사용자가 별도로 조치할 필요는 없다고 밝혔습니다. | trezor.io |
| 2026-04-20 | 다수 (MetaMask, Ledger, Trust Wallet, Coinbase 등 사칭) | 가짜 앱 | — | Kaspersky는 Apple App Store에서 가짜 지갑 앱 26개를 발견했다고 보고했으며, 이는 최소 2025년 가을부터 이어진 캠페인의 일부였습니다. 이 앱들은 개발자 프로필을 통해 트로이목마가 심어진 지갑 빌드를 설치하도록 유도하거나, 가짜 화면에서 복구 문구를 요구했습니다. | kaspersky.com |
| 2026-04-07 | Ledger (사칭) | 가짜 앱 | ~$9.5M | Apple Mac App Store에 올라온 가짜 Ledger Live 앱이 복구 문구를 수집했습니다. ZachXBT는 2026년 4월 7일부터 13일 사이의 약 $9.5M 규모 도난을 이 앱과 연관 지었으며, 피해자 3명은 각각 $1M 이상을 잃었습니다. Apple은 앱이 어떻게 심사를 통과했는지 설명하지 않은 채 등록을 삭제했습니다. | theblock.co |
| 2026-02-14 | Trezor, Ledger | 피싱 | — | Trezor와 Ledger의 가짜 레터헤드가 인쇄된 실물 우편이 의무적인 'Authentication Check' 또는 'Transaction Check'가 필요하다고 안내하며, QR 코드로 수신자를 복구 문구를 수집하는 피싱 사이트로 유도했습니다. 두 업체 모두 복구 문구를 절대 요구하지 않는다고 밝혔습니다. | bleepingcomputer.com |
| 2026-01-05 | Ledger | 데이터 유출 | — | 일부 Ledger.com 주문의 결제를 처리하는 Global-e가 침해되어 고객 이름과 연락처가 노출되었습니다. Ledger는 자사 하드웨어, 소프트웨어, 플랫폼은 침해되지 않았으며 자금이 위험에 처하지 않았다고 밝혔습니다. | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (브라우저 확장 프로그램) | 공급망 | ~$8.5M | Trust Wallet의 자체 릴리스 절차를 거치지 않고 게시된 악성 Chrome 확장 프로그램 v2.68이 12월 24일부터 26일 사이에 로그인한 사용자의 복구 문구를 유출했습니다. Trust Wallet은 이 공격이 2025년 11월 Sha1-Hulud npm 웜에서 비롯되었다고 높은 확신을 갖고 있다고 밝혔으며, 이 웜으로 개발자의 GitHub 비밀 정보와 Chrome Web Store API 키가 노출되었습니다. Trust Wallet은 v2.69를 배포하고 릴리스 API를 폐기했으며, 유출 도메인을 차단하고 피해 사용자 보상을 위한 청구 절차를 열었습니다. | trustwallet.com |
| 2025-12-20 | 일반 (주소 포이즈닝) | 피싱 | ~$50M | 한 트레이더가 주소 포이즈닝 스크립트로 거래 내역에 심어진 유사 주소를 복사해, 소액 테스트 송금 후 그 주소로 약 $50M USDT를 보냈습니다. 공격자는 DAI, ETH, Tornado Cash를 거쳐 자금을 세탁했으며, 피해자는 $1M의 현상금을 제시했습니다. | theblock.co |
| 2025-12-16 | Exodus | 정책 | — | 미국 재무부 OFAC는 이란 제재에 대한 254건의 명백한 위반(그중 12건은 중대한 위반으로 간주)과 관련해 Exodus Movement와 $3,103,360의 합의를 발표했습니다. 2017년 10월부터 2019년 1월까지 Exodus 지원 직원들은 이란의 사용자를 도왔으며, 일부 경우 제휴 거래소 이용을 도왔고 12차례 VPN 사용을 제안했습니다. 해킹이 아니며 사용자 자금은 영향을 받지 않았습니다. | ofac.treasury.gov |
| 2025-09-08 | 일반 (npm 공급망) | 공급망 | ~$600 | 공격자들은 한 메인테이너를 피싱한 뒤 chalk, debug 및 약 18개의 다른 npm 패키지의 악성 버전을 게시했습니다. 이 코드는 브라우저에서 window.ethereum과 네트워크 호출을 가로채 암호화폐 수신 주소를 바꿔치기했습니다. 악성 버전은 신속히 발견되었고 공격자들이 얻은 수익은 매우 적었습니다. | thehackernews.com |
| 2025-06-23 | Trezor | 피싱 | — | 공격자들이 피해자 명의로 Trezor 지원 양식을 제출해 Trezor의 자동 회신 이메일에 피싱 내용이 담기도록 했습니다. Trezor는 자사 시스템과 데이터에 대한 접근은 없었다고 밝히고, 피싱 사이트를 차단했으며 추가 악용을 막기 위해 조치하고 있다고 밝혔습니다. | theblock.co |
| 2025-05-07 | 일반 (Inferno Drainer) | 드레이너 | >$9M | Check Point는 Inferno Drainer가 다시 사용되고 있으며, 가짜 Collab.Land Discord 인증 페이지로 피해자를 유인하고 탐지를 피하기 위해 일회용 컨트랙트와 암호화된 온체인 설정을 추가했다고 보고했습니다. | decrypt.co |
| 2025-04 | Ledger | 피싱 | — | Ledger 사용자들이 QR 코드를 통한 '의무적 지갑 검증'과 복구 문구 입력을 요구하는 실물 우편을 받았습니다. Ledger는 해당 우편이 사기임을 확인하고 24단어를 절대 요구하지 않는다고 밝혔습니다. | theblock.co |
| 2025-03-05 | Trezor | 취약점 | — | Ledger의 Donjon은 기판에서 분리한 마이크로컨트롤러에 전압 글리칭을 가하면 구형 Trezor Safe 3의 일부 공급망 보호 기능을 우회할 수 있음을 보여 주었습니다. Trezor는 이 문제를 공개하면서 악용이 어렵다고 설명하고 패스프레이즈와 펌웨어 검사를 대응책으로 제시했으며, Safe 5에는 글리칭에 강한 칩이 사용된다고 밝혔습니다. | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | 공급망 | ~$1.5B | Lazarus 소행으로 지목된 공격자들이 Safe{Wallet} 개발자의 컴퓨터를 침해하고 Safe의 AWS S3 버킷에 있는 프런트엔드 JavaScript를 변조해, Bybit의 서명자들이 콜드 월렛에서 위장된 악성 거래를 승인하도록 만들었습니다. Safe는 인프라를 재구축하고 모든 자격 증명을 교체한 뒤 서비스를 복구했으며, 자사 스마트 컨트랙트에는 취약점이 없었다고 밝혔습니다. | slowmist.medium.com |
| 2025-02-06 | 일반 (SparkCat) | 가짜 앱 | — | Kaspersky는 App Store와 Google Play 앱에서 SparkCat SDK를 발견했습니다. 이 SDK는 기기 내 OCR을 사용해 사진 갤러리에서 복구 문구 스크린숏을 찾아 업로드했습니다. 두 스토어 모두 해당 앱을 삭제했습니다. | thehackernews.com |
| 2025-01-21 | Ledger | 기타 | — | Balland와 그의 파트너가 프랑스에서 암호화폐 몸값을 노린 납치를 당했으며, Balland의 손가락이 다친 뒤 며칠 만에 경찰에 의해 구출되었습니다. 용의자 10명이 체포되었습니다. 이 사건은 암호화폐 보유자를 겨냥한 물리적 '렌치 공격' 증가를 보여 주는 대표적 사례입니다. | thelocal.fr |
| 2025-01 | 일반 (주소 포이즈닝) | 피싱 | >$83.8M | USENIX Security 2025 연구는 약 2년 동안 Ethereum과 BSC에서 약 2억 7천만 건의 주소 포이즈닝 시도를 측정했으며, 손실액은 최소 $83.8M에 달했습니다. | arxiv.org |
| 2024-12-30 | Tangem | 취약점 | — | 사용자가 시드 문구 지갑을 생성할 때 모바일 앱의 로깅 버그로 인해 개인 키가 로그에 기록되었고, 이 로그가 Tangem 지원팀에 전달될 수 있었습니다. Tangem은 2024년 12월 30일 문제를 수정하고 지원 로그를 삭제했으며, 영향을 받은 사용자에게 연락하고 자금 손실은 없었다고 밝혔지만, 공개적으로 설명한 내용이 적다는 비판을 받았습니다. | cointelegraph.com |
| 2024-09 | WalletConnect (사칭) | 가짜 앱 | ~$70,000 | Check Point는 Google Play에서 약 5개월 동안 지갑 자금을 빼낸 가짜 'WalletConnect' 앱을 발견했으며, 이는 Check Point가 확인한 최초의 모바일 전용 암호화폐 드레이너였습니다. 해당 앱은 삭제되었습니다. | thehackernews.com |
| 2024-05-17 | 일반 (Pink Drainer) | 드레이너 | ~$85M | Discord와 X 계정 탈취로 알려진 서비스형 드레이너(drainer-as-a-service) 조직 Pink Drainer가 약 $85M 규모의 도난 이후 운영 중단을 발표했습니다(ScamSniffer). | theblock.co |
| 2024-05-03 | 일반 (주소 포이즈닝) | 피싱 | ~$68M | 한 고래 투자자가 포이즈닝된 유사 주소로 $68M 상당의 WBTC를 보냈습니다. 온체인 협상 끝에 공격자는 약 일주일 만에 자금 거의 전부를 반환했습니다. | unchainedcrypto.com |
| 2024-02-12 | Safe (Angel Drainer가 악용) | 드레이너 | ~$403,000 | Angel Drainer는 악성 Safe 볼트 컨트랙트를 배포하고 피해자들이 Permit2 승인에 서명하도록 유도했으며, Etherscan의 'verified' 배지가 잘못된 안도감을 주었습니다. Blockaid는 Safe 자체가 공격받은 것은 아니라고 밝혔습니다. | cointelegraph.com |
| 2024-02-06 | Exodus (사칭) | 가짜 앱 | ~$490K | Ubuntu Snap Store의 가짜 'Exodus' 지갑 snap이 복구 문구를 탈취했으며, Canonical은 2월 12일 신고를 받은 후 이를 격리했습니다. 2023년 9월에는 가짜 Ledger Live snap으로 한 사용자가 약 $10K를 잃은 바 있습니다. | blog.popey.com |
| 2024-01-17 | Trezor | 데이터 유출 | — | 공격자가 외부 지원 티켓 포털에 접근해 2021년 12월 이후 Trezor 지원팀에 문의한 사람들의 이름과 이메일을 노출시켰으며, 최소 41명이 시드 문구 피싱을 받았습니다. Trezor는 영향을 받은 사용자에게 이메일을 보내고 자산은 침해되지 않았다고 밝혔습니다. | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | 공급망 | ~$600,000 | 피싱당한 전직 직원의 npm 계정이 악성 Ledger Connect Kit 게시에 사용되었고, 이 라이브러리를 쓰는 dApp에 드레이너가 주입되었습니다. Ledger는 수정 버전을 배포하고 피해자에게 전액 보상을 약속했으며, 블라인드 서명을 단계적으로 폐지하고 Clear Signing으로 전환하겠다고 발표했습니다. | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | 해킹 | ~$2.7M | 프록시 관리자 키 유출이 의심되는 사건으로 공격자들이 사용 중단된 OKX DEX 컨트랙트를 업그레이드해 사용자가 승인한 토큰을 빼냈습니다. OKX는 권한을 철회하고 피해 사용자에게 보상을 약속했습니다. | theblock.co |
| 2023-11-14 | 일반 (BitcoinJS 'Randstorm') | 취약점 | — | Unciphered는 2011–2015년에 생성된 BitcoinJS 기반 브라우저 지갑의 약한 난수성(JSBN SecureRandom 및 브라우저 Math.random에서 비롯) 문제인 'Randstorm'을 공개했으며, 이로 인해 키가 무차별 대입으로 알아내질 수 있습니다. 소유자에게는 자금을 옮기라는 안내가 있었습니다. | forklog.com |
| 2023-11 | 일반 (Inferno Drainer) | 드레이너 | >$80M | 2022년 11월부터 활동하며 16,000개 이상의 피싱 도메인에서 100개가 넘는 암호화폐 브랜드를 사칭한 Inferno Drainer가 2023년 11월 운영 중단을 발표했습니다(Group-IB). | group-ib.com |
| 2023-10-19 | Ledger Live (사칭) | 가짜 앱 | ~$768,000 | ZachXBT가 지적한 바에 따르면, 2023년 10월 19일부터 Microsoft Store에 올라온 가짜 Ledger Live 앱이 복구 문구를 탈취했습니다. Microsoft는 해당 앱을 삭제했습니다. | bitdefender.com |
| 2023-09-05 | 일반 (LastPass 침해) | 데이터 유출 | >$35M | 연구자들은 일련의 암호화폐 도난 사건을 2022년 침해 사고에서 탈취되어 오프라인으로 해독된 LastPass 보관함 속 시드 문구와 연관 지었습니다. 연구자들은 이 연관성이 유력하지만 확정적이지는 않다고 밝혔습니다. | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | 취약점 | >$900,000 | `bx seed` 명령은 엔트로피가 32비트에 불과한 시간 기반 시드의 PRNG를 사용해(CVE-2023-39910) 시드를 무차별 대입으로 알아낼 수 있었습니다. Libbitcoin은 문서의 경고를 근거로 이것이 버그라는 점에 이의를 제기했습니다. | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | 해킹 | >$100M | Elliptic이 북한 Lazarus Group의 소행으로 지목한 공격으로 수천 명의 Atomic Wallet 사용자 자금이 탈취되었습니다. Atomic은 4가지 가능한 공격 경로를 제시했을 뿐 근본 원인을 확인하지 않았으며, 거래소, Chainalysis, Crystal과 협력해 자금 동결을 시도했고 보상은 발표하지 않았습니다. | decrypt.co |
| 2023-05 | Ledger (Recover) | 정책 | — | Ledger는 시드 문구를 암호화해 3곳의 수탁 기관에 분할 보관하는 선택형 유료 서비스 Ledger Recover를 발표했습니다(2023년 5월 16일). 사용자들은 펌웨어가 키를 추출할 수 있다는 점에 반발했고, CEO Pascal Gauthier는 커뮤니케이션 방식에 대해 사과하며 오픈소스 공개를 앞당기겠다고 약속하고 출시를 연기했습니다. | forklog.com |
| 2023-04-22 | Trust Wallet (브라우저 확장 프로그램) | 취약점 | ~$170,000 | Trust Wallet Core의 WebAssembly 엔트로피 결함으로 확장 프로그램에서 생성된 일부 지갑을 추측할 수 있게 되었고, 이후 두 건의 익스플로잇이 발생했습니다. Trust Wallet은 문제를 수정하고 위험에 처한 자금 대부분을 확보했으며 보상 절차를 마련했습니다. | theblock.co |
| 2023-02 | OneKey | 취약점 | — | Unciphered는 펌웨어 결함을 이용해 약 1초 만에 OneKey Mini에서 비밀 정보를 추출하는 영상을 공개했습니다. OneKey는 해당 결함을 수정했다고 밝혔습니다. | unciphered.com |
| 2022-12 | BitKeep (현 Bitget Wallet) | 가짜 앱 | ~$8M | 피싱 사이트를 통해 유포된, 트로이목마가 심어진 BitKeep Android APK가 개인 키를 탈취했습니다. Google Play 버전은 영향을 받지 않았습니다. | halborn.com |
| 2022-10-18 | BitKeep Swap (현 Bitget Wallet) | 해킹 | ~$1M | BitKeep의 Swap 기능이 BNB Chain과 Polygon에서 악용되었습니다. BitKeep은 Swap을 중단하고 청구 포털을 통해 100% 보상을 약속했습니다. | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | 해킹 | — | 출시 한 달도 되지 않아 Rabby Swap 라우터 컨트랙트의 익스플로잇으로 사용자가 승인한 토큰이 빠져나갔습니다. Rabby는 Swap 사용자에게 모든 승인을 철회하라고 안내했습니다. | theblock.co |
| 2022-09-20 | Profanity 배니티 주소 (Wintermute) | 취약점 | ~$160M | 마켓 메이커 Wintermute가 $160M을 잃었으며, 관리자 핫월렛이 키를 무차별 대입으로 알아낼 수 있는 Profanity 생성 배니티 주소였던 것이 원인으로 널리 지목되었습니다. 1inch는 그 일주일 전에 Profanity 결함을 공개한 바 있습니다. | theblock.co |
| 2022-08-02 | Slope Wallet | 취약점 | ~$4M–$5M | Slope의 모바일 앱이 시드 문구를 Sentry 로깅 서버로 전송했고, 시드 문구는 그곳에 암호화되지 않은 상태로 저장되었습니다(Otter Sec). Slope는 사용자에게 자금을 옮기라고 안내했으며, Phantom은 자사 시스템은 침해되지 않았고 피해를 입은 Phantom 사용자는 Slope 시드를 가져온 사용자였다고 밝혔습니다. | theblock.co |
| 2022-06-16 | MetaMask, Phantom (및 Brave) | 취약점 | — | Halborn의 'Demonic' 공개를 통해 브라우저의 '세션 복원' 파일에 시드 문구가 암호화되지 않은 채 디스크에 저장될 수 있음이 드러났습니다. MetaMask와 Phantom은 수정 버전을 배포했습니다. | theblock.co |
| 2022-04-17 | MetaMask (iOS) | 피싱 | ~$650,000 | 전화 사기범이 한 사용자의 Apple ID를 탈취하고 MetaMask 보관함의 iCloud 백업을 이용해 지갑 자금을 빼냈습니다. MetaMask는 사용자에게 경고하고 앱의 iCloud 백업을 끄는 방법을 안내했습니다. | decrypt.co |
| 2022-04-03 | Trezor | 피싱 | — | 내부자가 가담한 Mailchimp 침해 사고로 Trezor 고객들이 시드 문구 탈취용 가짜 'Trezor Suite' 앱 설치를 유도하는 피싱 이메일을 받았습니다. Trezor는 해당 도메인을 차단하고 뉴스레터 발송을 일시 중단했습니다. | siliconrepublic.com |
| 2021-06-16 | Ledger | 피싱 | — | 범죄자들이 2020년 유출 데이터를 이용해 변조된 가짜 Ledger Nano X '교체' 기기를 우편으로 보냈으며, 이 기기는 피해자에게 소프트웨어를 실행하고 복구 문구를 입력하도록 안내했습니다. Ledger는 복구 문구를 절대 요구하지 않는다고 거듭 밝혔습니다. | bleepingcomputer.com |
| 2021-01-22 | Trezor (사칭) | 가짜 앱 | >$1M | 2021년 1월 22일부터 2월 3일까지 Apple App Store에 올라온 가짜 'Trezor' 앱이 시드 문구를 수집했으며, Google Play에도 유사한 가짜 앱이 등장했습니다. | malwarebytes.com |
| 2020-12-20 | Ledger | 데이터 유출 | — | 2020년 6월 탈취된 Ledger 전자상거래 데이터베이스가 RaidForums에 공개적으로 유포되어 수년간 피싱, 협박, 가짜 기기 캠페인을 부추겼습니다. Ledger는 악용된 API 키를 비활성화하고 2020년 7월 프랑스 CNIL에 신고한 바 있습니다. | decrypt.co |
| 2020-03-24 | 일반 (무제한 토큰 승인) | 취약점 | — | ZenGo는 대부분의 dApp 지갑이 무제한 ERC-20 허용량을 부여해 악성 dApp이 나중에 자금을 빼낼 수 있음을 보여 주었습니다. Trust Wallet은 개선하겠다고 밝혔으며, MetaMask와 Brave는 이미 고급 허용량 제어 기능을 제공하고 있었습니다. | cointelegraph.com |
| 2020-01-31 | Trezor | 취약점 | — | Kraken Security Labs는 전압 글리칭을 이용해 15분 미만의 물리적 접근만으로 Trezor 기기에서 암호화된 시드를 추출했습니다. 이 마이크로컨트롤러 결함은 패치할 수 없습니다. Trezor는 BIP39 패스프레이즈로 이 공격을 막을 수 있다고 밝혔습니다. | theblock.co |
| 2019-04 | Electrum | 기타 | — | Smoke Loader/RIG를 통해 확산된 봇넷이 정상 Electrum 서버에 DDoS 공격을 가해 구버전 클라이언트를 악성 피싱 서버로 유도했습니다. Electrum은 3.3 이전 클라이언트의 DoS 결함을 이용해 업그레이드를 강제했으며 서버 운영자를 위한 안내를 게시했습니다. | malwarebytes.com |
| 2019-02-22 | Coinomi | 취약점 | — | 한 사용자가 Coinomi 데스크톱 지갑이 시드 문구를 포함한 복원 입력란의 텍스트를 Google 맞춤법 검사 API로 전송한다는 사실을 밝혀냈습니다. Coinomi는 잘못 설정된 플러그인을 원인으로 지목하고 2019년 2월 22일 패치했습니다. | theblock.co |
| 2018-12-27 | Trezor, Ledger | 취약점 | — | wallet.fail 팀은 35C3에서 Trezor One(패스프레이즈 없이 키 추출)과 Ledger Nano S/Blue에 대한 공격을 시연했습니다. Trezor는 펌웨어 수정을 약속하고 조율된 공개가 이루어지지 않은 점을 비판했습니다. | crowdfundinsider.com |
| 2018-12-21 | Electrum | 피싱 | >$4M | 악성 Electrum 서버가 클라이언트의 서식 있는 텍스트 오류 메시지 표시 기능을 악용해 가짜 '업데이트' 안내를 띄웠고, 이 안내는 시드를 탈취하거나 결제를 다른 곳으로 돌리는 트로이목마 지갑으로 연결되었습니다. Electrum은 3.3.3/3.3.4에서 문제를 수정하고 이후 업그레이드를 강제했습니다. | malwarebytes.com |
자신을 보호하는 방법
지갑은 주소를 직접 입력해 접속한 공식 사이트나 공식 스토어 등록 페이지에서만 다운로드하십시오. 시드 문구를 웹사이트에 입력하거나 "고객 지원"에 알려 주지 마십시오. 서명하기 전에 모든 거래와 승인 내용을 읽으십시오. 붙여 넣은 주소는 앞뒤 몇 글자만이 아니라 모든 글자를 확인하십시오. 주소 포이즈닝은 바로 그 부분을 흉내 내기 때문입니다. 큰 금액은 하드웨어 지갑에 보관하십시오. 시드 문구 안전 수칙과 암호화폐 지갑 사기도 참고하십시오.
방법론 및 인용
항목은 업체의 사후 분석 보고서, 보안 연구자, 신뢰할 수 있는 언론 보도를 바탕으로 작성되며 각 행에 출처를 밝힙니다. 손실 금액은 당시 보고된 수치입니다. 기자와 연구자는 이 페이지를 인용할 수 있으며, 인용 시 링크를 걸어 주시기 바랍니다. 데이터는 보도자료 페이지에서 무료로 다운로드할 수 있습니다. 정정 요청을 환영합니다.