TechFlow 소식, 5월 21일 BitsLab이 주도하는 'Web3 호위 프로그램'의 보안팀은 유명한 Meme 거래 플랫폼 Android 앱에서 임의 계정 탈취 취약점을 발견하고 이를 수정 조치 완료했습니다. 앱 감사를 통해 제3자 브라우저 컴포넌트를 사용 중인 것으로 밝혀졌으며, 해당 컴포넌트의 onCreate 메서드에는 Intent 리다이렉션 취약점이 존재했고, 동시에 이 앱의 FileProvider 설정 오류로 인해 시스템 취약점을 이용해 앱의 임의 샌드박스 파일을 읽을 수 있었습니다. 공격자는 이러한 공격 경로를 통해 유명 Meme 거래 플랫폼 Android 앱 내 사용자 토큰을 포함한 민감한 파일을 읽어들여 사용자 계정을 탈취할 수 있으며, 추가적으로 이용하면 사용자 자산에 직접적인 피해를 입힐 수 있어 매우 심각한 위협입니다.
BitsLab 보안팀은 'Web3 호위 프로그램'을 통해 해당 취약점을 수집한 후 철저한 기술 분석을 수행하여 취약점 발생 원인과 공격 방식을 상세히 분석하고 정확한 수정 방안을 제시함으로써 해당 거래 플랫폼이 정보 유출 및 사용자 자산 손실 위험을 효과적으로 회피할 수 있도록 도왔으며, 이로 인해 해당 거래 플랫폼 Android 앱의 개인정보 보호성과 보안성을 크게 강화했습니다. 또한 모든 프로젝트 팀에게 소속 프로젝트의 Android 앱에서 File Provider 설정 오류 여부를 점검할 것을 권고합니다.
이번에 유명 Meme 거래 플랫폼 Android 앱의 고품질 취약점을 발견하고 수정을 지원한 것은 BitsLab 팀과 'Web3 호위 프로그램'이 글로벌 블록체인 자산 보안에 기여한 뛰어난 성과를 다시 한번 입증한 사례입니다.
