Peringatan Darurat Squads: Pemalsuan akun multisig yang menyuntikkan alamat, mekanisme daftar putih akan segera diluncurkan

Solana 생태 다중 서명(Squads) 프로토콜은 4월 14일 X 플랫폼에서 경고를 발행했으며, 공격자가 Squads 사용자들을 대상으로 주소 포이즈닝(address poisoning) 공격을 수행하는 것을 확인했다고 밝혔다. 공격자는 다중 서명 주소의 첫 글자와 마지막 글자가 진짜와 일치하도록 위조 및 실제 다중 서명 주소의 처음과 끝 문자를 맞춘 가짜 계정을 만들어, 사용자가 악의적인 주소로 자금을 잘못 이체하거나 승인되지 않은 거래에 서명하도록 유도한다. Squads는 아직 사용자 자금이 피해를 입었다는 증거가 없다고 확인했으며, 이는 프로토콜 계층의 보안 취약점이 아니라 인터페이스 계층의 소셜 엔지니어링 공격이라고 설명했다.

공격 메커니즘 분석: 이중 계층 기만 구조가 가짜 계정을 어떻게 만들어내는가

공격자는 블록체인에 공개된 공개키 데이터(public key)를 활용해 이중 기만 구조를 설계했다.

첫 번째 계층: 목표 사용자를 위조된 다중 서명 계정에 자동으로 추가 공격자는 체인에서 기존 Squads 사용자의 공개키를 읽어, 목표 사용자를 구성원으로 포함하는 새 다중 서명 계정을 프로그래밍 방식으로 생성한다. 이를 통해 위조 계정이 인터페이스에서 마치 사용자가 ‘합법적으로 참여한’ 조직인 것처럼 보이게 하여, 목표 사용자의 경각심을 낮춘다.

두 번째 계층: 첫 글자와 마지막 글자가 일치하는 허영(vanity) 주소 생성 공격자는 주소 충돌(collision) 연산을 통해, 사용자의 실제 다중 서명 주소와 첫 글자와 마지막 글자가 완전히 일치하는 공개키를 생성한다. 대부분의 사용자가 주소의 첫 글자와 마지막 글자만 확인하는 작업 습관을 갖고 있다는 점을 결합하면, 위조 계정은 상당히 높은 시각적 기만 성공률을 가진다.

Squads는 공격자가 위의 방식으로는 사용자의 자금에 직접 접근하거나 제어할 수 없다고 명확히 밝혔다. 모든 손실 위험은 사용자가 속은 뒤에 스스로 수행하는 조작에서 발생하며, 기술적 계층의 프로토콜 침해가 아니다.

Squads의 단계별 대응 조치

즉시 경고 배너: 공격 발견 후 2시간 이내, 인터페이스에 의심 계정에 대한 공격 경고 배너를 노출

비(非)상호작용 계정 경보: 사용자와 과거에 어떤 상호작용 기록도 없었던 다중 서명 계정에 전용 경고 표시를 추가하여, 오조작(잘못된 조작) 위험을 낮춤

화이트리스트 메커니즘 출시: 향후 며칠 내 화이트리스트 메커니즘을 도입하여, 사용자가 이미 알려진 신뢰 가능한 다중 서명 계정을 명확히 표시하면 시스템이 알려지지 않은 계정을 자동으로 필터링

즉시 사용자 방어 권장사항: 본인이 생성하지 않았고, 또한 신뢰한 구성원이 명확히 추가하지 않은 모든 다중 서명 계정을 무시한다. 주소를 검증할 때는 전체 문자를 문자 단위로 일대일 비교해야 하며, 절대 첫 글자와 마지막 글자에 의존한 시각적 매칭만으로 판단하지 않는다.

더 넓은 배경: Solana 생태의 소셜 엔지니어링 위협이 계속 고조

이번 Squads 주소 포이즈닝 공격은, 최근 Solana 생태에서 소셜 엔지니어링 보안 위협이 강화되고 있는 흐름의 일부다. 이전에 발생한 Drift 프로토콜 2.85억 달러 도난 사건은 조사 기관에 의해, 지능형 계약 코드 결함보다는 소셜 엔지니어링이 주요 원인인 것으로 규정되었다. 공격자는 수개월에 걸쳐 합법적인 거래 회사로 위장하며 점진적으로 신뢰를 얻고, 시스템 접근 권한에 접촉했다.

Solana 재단과 Asymmetric Research는 이를 위해 STRIDE 보안 계획을 시작했으며, 전통적인 일회성 감사를 대체하기 위해 지속적인 모니터링과 형식 검증을 수행하고, 전 네트워크의 즉시 위기 대응을 조율하기 위한 Solana 사건 대응 네트워크(SIRN)를 구축한다. Drift 사건 이후, 생태 내 다중 서명과 고가치 프로토콜은 더 엄격한 보안 심사를 받고 있으며, Squads의 신속 대응 방식은 생태의 다른 프로토콜에 위기 대응의 참고 템플릿을 제공한다.

자주 묻는 질문

주소 포이즈닝 공격이란 무엇인가요? Squads 사례에는 어떤 특별한 점이 있나요?

주소 포이즈닝 공격은 보통 공격자가 목표 주소와 매우 유사한 가짜 주소를 만들어 사용자가 잘못 조작하도록 유도하는 것을 말한다. Squads 사례의 특별함은, 공격자가 첫 글자와 마지막 글자가 일치하는 허영 주소만 충돌시키는 데 그치지 않고, 목표 사용자를 위조 다중 서명 계정에 자동으로 추가한다는 점이다. 그 결과 가짜 계정은 사용자가 ‘이미 그 안에 참여했다’는 합법적인 조직처럼 보이게 되어, 기만의 층위가 더 복잡해진다.

Squads 다중 서명 프로토콜 자체에 보안 취약점이 있나요?

Squads는 프로토콜 취약점을 명확히 부정했다. 공격자는 주소 포이즈닝 기법을 통해 기존 사용자의 다중 서명 계정 자금에 접근할 수 없고, 기존 다중 서명의 구성원 설정을 수정할 수도 없다. 이번 공격은 인터페이스 계층의 소셜 엔지니어링에 해당하며, 사용자가 스스로 착오로 조작하도록 만드는 것을 기반으로 하며, 기술적 침입에 의존하지 않는다.

사용자는 이런 종류의 주소 포이즈닝 공격을 어떻게 식별하고 방어하나요?

핵심 방어 원칙은 세 가지다. 1) 본인이 생성하지 않았거나 신뢰한 구성원이 명확히 추가하지 않은 모든 다중 서명 계정을 무시한다. 2) 주소를 검증할 때 전체 문자를 문자 단위로 일대일 비교하여, 첫 글자와 마지막 글자만의 시각적 매칭에 의존하지 않는다. 3) Squads 화이트리스트 메커니즘이 출시된 뒤에는 화이트리스트를 통해 신뢰할 수 있는 계정을 능동적으로 표시하여 계정 식별의 신뢰도를 높인다.