북한 연계 계약자, MetaMask 에 한 달 간 잠입, 암호 프로젝트의 실제 취약점은 코드에 있지 않다
저자: Liam 'Akiba' Wright
번역: TechFlow
TechFlow 가이드: 북한과 연관된 계약자가 제 3 자 공급업체를 통해 MetaMask 코드베이스에 접근하여 3 월 9 일부터 4 월까지 작업하다가 퇴출당했습니다. Consensys 는 자산 탈취나 악성 코드는 발견되지 않았다고 밝혔으나, 이번 사건은 암호화 프로젝트의 아웃소싱 관리에 치명적인 취약점을 드러냈습니다. 탈취된 DeFi 자금의 76% 가 코드 취약점이 아닌 운영 수준의 권한 상실에서 비롯되었습니다.
Consensys 가 제 3 자 공급업체를 통해 도입한 한 계약자가 3 월 9 일부터 MetaMask 코드 작업에 참여하다가 4 월에야 접근 권한이 차단되었습니다. Consensys 는 이후 이 인물을 북한과 연관되어 있다고 설명했습니다.
Consensys 는 조사 결과 자산이나 데이터 유출, 악성 코드 배포 및 사용자 보안에 대한 영향은 발견되지 않았다고 밝혔습니다. 최고 법률 고문 Matt Corva 는 회사가 위협을 신속히 식별하고 접근을 종료하며 전면 조사를 시작하고 법 집행 기관에 통보했다고 말했습니다.
Drop Site 는 4 월 내부 경보에서 조사 협력을 위해 모든 제품 출시를 중단하고 직원에게 해당 고문과 상호작용하지 말라고 요청했다고 보도했습니다. Corva 는 해당 서비스 공급업체와의 관계가 양호했으며, Consensys 는 이후 제 3 자 서비스 관행을 검토하여 직원에게 적용되는 엄격한 기준을 더 복잡한 외부 관계로도 확장했다고 밝혔습니다.
계약자 심사에는 코드베이스 권한 제한이 필요
이번 사건에서 사용자 계정이나 지갑 자산이 손상되었다는 징후는 없습니다. 그러나 Consensys 와 공급업체 간의 기존 관계에는 여전히 취약점이 존재합니다. 각 계약자와 계정마다 자체적인 보안 조치가 필요합니다.
MetaMask 의 일반 보안 가이드는 악의적인 작업자가 허위 신원과 위조 문서로 원격 직위를 얻을 수 있다고 경고합니다. 실제 문서 확인, 다중 면접, 하드웨어 인증, IP 및 위치 검증, 신원 조회, 그리고 핵심 시스템 접근 제한을 권장합니다.
FBI 는 또한 북한 IT 작업자가 회사 네트워크 접근 권한을 이용해 코드베이스를 복제한다고 경고했습니다. 가이드라인에서는 면접, 온보딩 및 고용 기간 전체에 걸쳐 신원 확인, 제 3 자 인력 회사 정기 감사, 최소 권한 접근, 그리고 비정상적인 원격 연결 또는 코드베이스 유출 모니터링을 요구합니다.
코드베이스 권한과 심사가 핵심 보안 장치
온보딩 후 코드베이스 권한과 심사가 핵심 보안 장치가 됩니다. 영국 국가 사이버 보안 센터 가이드라인은 코드베이스 활동을 추적 가능하게 하고, 모든 프로덕션 환경 변경 사항을 검토하며, 외부 기여에 대한 추가 심사를 수행하고, 더 이상 필요하지 않을 때 접근 권한을 신속히 취소할 것을 권장합니다. 하드웨어 지원 자격 증명은 자격 증명 도난으로부터 계정을 보호하며, 엄격히 제한된 권한과 독립적인 심사는 승인된 계정이 변경할 수 있는 사항을 제한합니다.
CryptoSlate 는 7 월 5 일 보도에서 스마트 계약 취약점이 더 빈번함에도 불구하고 2026 년 상반기에 키, 커스터디, 서명 및 승인 시스템을 대상으로 한 운영 수준 공격이 탈취 자금의 약 76% 를 차지했다고 밝혔습니다. 이 격차는 사건 수는 적더라도 접근 및 운영 통제가 중요한 이유를 보여줍니다.
지갑 및 프로토콜 팀은 계약자 접근 권한을 지속적으로 조건부로 간주해야 합니다. 신원 확인은 고용 기간 전체에 걸쳐 수행되어야 하며, 제 3 자 회사는 감사를 받아야 하고, 코드베이스 권한은 좁고 관찰 가능하게 유지되어야 하며, 모든 프로덕션 환경 변경 사항은 독립적인 심사를 받아야 하고, 더 이상 필요하지 않으면 즉시 접근 권한을 취소해야 합니다.
Consensys 가 4 월에 출시를 중단한 것은 의심스러운 접근을 조사할 때 사용할 수 있도록 변경 사항을 중단할 미리 정의된 방식을 유지하는 가치도 보여줍니다.
TechFlow 공식 커뮤니티에 오신 것을 환영합니다
Telegram 구독 그룹:https://t.me/TechFlowDaily
트위터 공식 계정:https://x.com/TechFlowPost
트위터 영어 계정:https://x.com/BlockFlow_News
@CryptoSlate
