TechFlow 소식에 따르면, 9월 9일 Scam Sniffer는 유명 개발자 qix가 피싱 공격을 받아 npm 소프트웨어 패키지에 악성 코드가 삽입됐다고 밝혔다. 관련 패키지로는 chalk, strip-ansi, color-convert 등이 있다. 공격 방식은 지갑 기능 훅킹, ETH/SOL 거래 수취 주소 변조 및 네트워크 응답 내 주소 교체 등이다. 사용자들에게는 반드시 지갑 인터페이스에서 수취인과 금액을 확인하고, 주소를 붙여넣은 후 변경 여부를 점검하며 최근 거래 내역을 재확인할 것을 권고한다. 고가치 작업 시에는 하드웨어 지갑 사용을 우선시할 것을 제안한다.
Ledger CTO 찰스 기예메(Charles Guillemet)는 관련 소프트웨어 패키지의 다운로드 횟수가 10억 회를 넘었다며, 이로 인해 전체 JavaScript 생태계가 위험에 처할 수 있다고 말했다. 악성 코드는 사용자의 거래 시 암호화된 주소를 조용히 교체해 자금을 탈취할 수 있다. 하드웨어 지갑 사용자는 거래 서명을 확인함으로써 위험을 회피할 수 있으며, 하드웨어 지갑을 사용하지 않는 사용자는 체인 상 거래를 잠시 보류할 것을 권장한다. 현재로서는 복구 문구(Seed phrase)가 유출되었는지는 불분명하다.
즐겨찾기 추가
소셜 미디어 공유
