만무: Replit 플랫폼을 사용해 지갑을 등록할 때 발생할 수 있는 니모닉 키 유출에 주의하라
글: 요
배경
최근 피해자가 슬로우미스트(SlowMist) 보안 팀에 연락해, 온라인 프로그래밍 플랫폼 Replit을 사용하여 Atomicals 프로토콜 지갑을 생성하고 ATOM(Atomicals 프로토콜에서 발행한 ARC20 토큰)을 여러 차례 입금한 결과 90,000개의 ATOM이 해킹당했다고 밝혔다. 피해자의 설명에 따르면, 비밀키 또는 니모닉(mnemonic)이 웹 페이지 상에서 복사-붙여넣기 과정에서 유출된 것으로 보인다.
Replit을 이용한 지갑 생성 분석
atomicals-js (https://github.com/atomicals/atomicals-js)는 Atomicals 공식 팀이 개발하여 GitHub에 공개한 명령줄 인터페이스 및 JavaScript 라이브러리로, 사용자가 JavaScript를 통해 Atomicals와 쉽게 상호작용할 수 있도록 도와준다.
Replit은 대표적인 온라인 프로그래밍 플랫폼으로, 웹 기반 IDE 환경을 제공하며 Python, JavaScript 등 다양한 언어를 지원한다. 브라우저에서 바로 코드 작성이 가능하고, 빠른 프로젝트 시작과 코드 공유 기능 등을 갖추고 있다.
웨이보, 트위터, YouTube 등의 플랫폼에서는 많은 ARC20 지갑 등록 튜토리얼들이 존재한다.
그러나 일부 튜토리얼은 Replit을 활용해 atomicals-js 프로젝트를 온라인에 배포하여 지갑을 생성하는 방법과 ATOM ARC20 토큰을 입금하는 방법을 안내하고 있다.
(https://weibo.com/ttarticle/p/show?id=2309404950524427632902)
이러한 튜토리얼은 ARC20 신규 토큰 청약에 국한되지 않지만, 여전히 Replit 플랫폼 사용을 권장하고 있다.
하지만 Replit 플랫폼은 공개성 특성상 사용자가 배포한 코드가 모두 공개되어 누구나 접근할 수 있다. atomicals-js 프로젝트를 배포하여 실행하면 프로젝트 디렉터리 내에 wallet.json 파일이 생성되는데, 이 파일에는 생성된 니모닉, 비밀키, 주소 등 민감 정보가 포함된다.
특히 간단한 검색이나 Google Hacking 기술 등을 활용하면 Replit에서 atomicals-js를 사용해 운영 중인 프로젝트를 쉽게 발견할 수 있으며, 그 안에 포함된 wallet.json 파일도 찾아낼 수 있다.
따라서 이러한所谓 튜토리얼을 따라 지갑을 생성하는 것은 매우 큰 위험을 수반한다. 민감 정보를 포함하는 코드를 공개적으로 접근 가능한 플랫폼에서 실행하는 것을 피해야 하며, 특히 암호화폐 지갑이나 비밀키 관련 작업은 더욱 안전하고 신뢰할 수 있는 환경에서 수행해야 한다.
악성 주소 분석
MistTrack를 통해 분석한 결과, 피해자는 9월 23일에 여러 차례에 걸쳐 총 98,000개의 ATOM을 새로 생성한 ARC20 지갑 주소 bc1pt046u0mew4yq83ftwrp3eqfalvf8d6g6lncnmnf3l4zaaalpl54qwvxuqp로 입금했으며, 이 토큰들은 9월 24일에 해커의 주소 bc1psanyvngxqgwxcssfwryl8mva7em4pmp37jcck2m67xtux8l887js7ezvev로 전부 이체되었다.
https://satsx.io/ 에서 조회한 결과, 현재 해커가 훔친 ATOM ARC20 토큰 중 약 68,000개는 아직 이동되지 않은 상태이다.
요약
본문에서 다룬 공격 방식은 비용이 극히 낮으며, 공격자는 기본적인 검색 및 스캔 기술만으로도 공격을 수행할 수 있다. 슬로우미스트 보안 팀은 만약 실수로 Replit을 사용해 지갑을 생성했다면 즉시 자금을 이체하고 민감 파일을 삭제할 것을 당부한다. 또한 익숙하지 않은 웹 플랫폼에서 생성한 지갑이나 니모닉을 사용할 때는 항상 경계심을 가져야 하며, 보안 감사를 거친 신뢰할 수 있는 지갑 서비스를 선택함으로써 정보 유출 위험을 줄일 것을 권장한다.
TechFlow 공식 커뮤니티에 오신 것을 환영합니다
Telegram 구독 그룹:https://t.me/TechFlowDaily
트위터 공식 계정:https://x.com/TechFlowPost
트위터 영어 계정:https://x.com/BlockFlow_News
@SlowMist_Team
