Solidity 프로젝트의 VS Code 백도어, 암호화폐 데이터 노려
SlowMist는 Solidity 면접 연습 프로젝트로 소개된 GitHub 저장소 Hylance/sol-live에서 데이터 탈취 백도어를 발견했습니다. 악성 코드는 VS Code 작업 공간 설정에 숨겨져 있으며, 사용자가 프로젝트의 사용자 지정 터미널 구성을 선택하면 실행될 수 있습니다. macOS와 Linux에서는 원격 스크립트를 다운로드해 실행합니다. 인용 부호 처리 오류가 있을 가능성 때문에 Windows에서 실행되는지는 확인되지 않았습니다.
보관된 코드와 남아 있는 페이로드를 분석한 결과, 브라우저 로그인 데이터베이스와 지갑 확장 프로그램 데이터를 수집하고, macOS Keychain 파일을 복사하며, 로컬 파일을 검색해 업로드하고, 클립보드 내용을 감시하며, 원격 제어 채널을 통해 명령을 실행하는 기능이 확인됐습니다. 브라우저 비밀번호를 복호화하는 함수는 빈 값을 반환합니다. 조사관들은 비밀번호, 시드 구문 또는 개인 키가 복호화되거나 탈취됐다는 사실을 확인하지 못했습니다. 샘플을 직접 실행하지도 않았으며, 피해자 기기에서 감염이나 데이터 유출이 발생했는지도 확인하지 않았습니다.
SlowMist는 프로젝트의 악성 터미널 구성을 실행한 사용자에게 기기를 점검하라고 권고했습니다. 노출 가능성을 배제할 수 없다면 신뢰할 수 있는 기기를 사용해 지갑 자산을 옮기고 인증 정보를 변경해야 합니다. 이번 사건은 암호화폐 개발자에게 소프트웨어 공급망 위험이 있음을 보여 줍니다. 저장소를 여는 것만으로 백도어가 작동한다는 사실은 확인되지 않았습니다.
Neutral
이 보고서는 개인 개발자와 암호화폐 사용자에게 심각한 보안 위험이 있음을 시사하지만, 시장 전반에 걸친 침해나 확인된 피해자 수, 검증된 자금 손실을 입증하지는 않습니다. 분석은 보관된 코드와 저장된 페이로드를 바탕으로 이루어졌으며, 연구진은 악성코드를 실행하지 않았고 지갑의 비밀 정보가 복호화되거나 탈취되었는지도 확인하지 않았습니다. 브라우저 비밀번호 복호화 루틴은 빈 값을 반환하는 것으로 알려져 있어 공격자가 실제로 무엇을 얻었는지에 관한 주장은 더욱 제한됩니다.
단기적으로 영향을 받은 개발자는 엔드포인트 및 네트워크 로그를 검토하고, 자격 증명을 교체하고, 신뢰할 수 있는 기기에서 지갑을 이전하며, 위험한 컨트랙트 승인을 취소할 수 있습니다. 이러한 표적화된 예방 조치는 언급된 저장소나 관련 프로젝트의 사용자들에게 제한적인 우려를 불러일으킬 수 있지만, 기사에는 암호화폐 거래, 거래소 운영 또는 블록체인 네트워크 전반에 더 큰 차질이 발생했다는 증거가 없습니다. 개발자 도구와 공급망을 노린 유사한 악성코드 공개는 일반적으로 보안 점검과 경계심 강화를 촉진했을 뿐, 대규모 자산 탈취가 확인된 경우가 아니라면 주요 암호화폐 가격에 지속적인 변화를 일으키지는 않았습니다.
장기적으로는 이번 사건이 VS Code 작업 공간 설정과 기타 개발자 구성에 대한 검토를 강화하고, 저장소의 악성코드 검사도 개선하도록 유도할 수 있습니다. 트레이더는 이를 시장 촉매로 간주하기 전에 감염 확인, 자산 탈취 또는 더 광범위한 공격 캠페인이 있는지 살펴야 합니다. 현재 확인 가능한 정보에 따르면, 예상되는 영향은 암호화폐 가격의 방향을 가리키는 신호라기보다 제한적인 보안 우려입니다.