취약점

크로스 체인 의도 거래 제품 NEAR Intents의 총괄 매니저 알렉스 셰프첸코는 NEAR Intents의 취약점 사건에서 도난당한 380만 달러가 전액 반환되었다고 밝혔습니다. 그는 자금 반환이 식별된 주체에게 48시간의 상환 기한을 제시한 몇 시간 후에 발생했다고 전했습니다.셰프첸코는 "우리는 조사를 중단하고 있습니다. 서비스 중단이 아닌 취약점 보상을 사용해 주십시오."라고 썼습니다. 그는 관련 조사가 현재 중단되었다고 밝혔습니다.

느림보 보안 최고 정보 보안 책임자 23pds가 발표한 바에 따르면, NEAR Intents의 총괄 매니저 알렉스 셰브첸코는 NEAR Intents의 취약점 이용자가 복구 지갑으로 1 BNB를 전송하고 협력 의사를 밝혔으며, 상대방에게 Signal 연락처를 제공해 달라고 요청했다고 전했습니다.이번 송금은 이전에 약 380만 달러의 자금을 이전한 동일한 주소에서 이루어졌습니다. 약 한 시간 전, 해당 주소는 이더리움 네트워크로 0.295 ETH를 전송하고 동일한 메시지를 보냈습니다.

느린 안개가 안전 경고를 발표하며, Aave V3 Loop Safe 모듈에서 보안 취약점이 발견되었다고 전했습니다. 공격자는 위조된 Safe 인증을 통해 임의의 모듈을 실행하여 두 개의 Safe 다중 서명 지갑에서 약 114.09 ETH를 훔쳤습니다.공격자는 항상 참 값을 반환하는 Safe를 위조하여 인증을 우회하고, 임의로 제어할 수 있는 라우터와 calldata를 이용해 모듈 거래를 실행하여 weETH 및 Aave 담보를 이전했습니다. 공격자는 약 1300개의 WETH 부채를 상환한 후 담보를 잠금 해제했습니다.

Law360에 따르면, Uranium Finance와 관련된 암호 자산 도난 사건이 미국 맨해튼 연방 법원에서 시작되었습니다.검찰은 메릴랜드주 사이버 보안 컨설턴트인 조나단 스팔레타가 2021년에 해당 프로토콜의 스마트 계약 취약점을 이용해 공격을 감행했다고 주장했습니다. 두 번째 공격에서는 26개의 자금 풀에서 약 5,330만 달러가 이체되었으며, 이로 인해 프로토콜이 운영을 중단하게 되었습니다. 관련 주장은 검찰의 기소 내용으로, 아직 유죄 판결이 내려진 것은 아닙니다.

Zcash 창립자 Zooko가 글을 발표하며 Zcash가 이번 라운드에서 800만 달러 이상의 소급 보조금을 지급했다고 밝혔습니다. 이 중 수백만 달러는 올해 AI 취약점 위기 동안 모든 사용자를 보호하기 위해 노력한 인원에게 지급되었습니다.이번 보조금의 더 중요한 의미는 Zcash가 자금 조달 및 자율 거버넌스 시스템의 지속 가능성과 포획 저항 능력을 다시 한 번 입증했으며, 지속적으로 진화할 수 있음을 보여줍니다. Zcash는 앞으로 매년 유사한 보조금을 여러 차례 진행할 것이며, 동시에 메커니즘을 지속적으로 개선할 것입니다.

Zcash 3분기 토큰 보유자 지향 회고적 자금 지원 계획 투표 결과, Orchard 가짜 화폐 취약점 발견자 Taylor Hornby에 대한 두 가지 보상 제안이 모두 통과되었습니다.그 중 하나는 그가 신청한 75만 달러의 취약점 보상이며, 다른 하나는 커뮤니티 회원이 지명한 75만 달러의 추가 보상으로, 총 150만 달러입니다. 자금을 지원받은 후에도 KYC 및 자금 지급 절차를 완료해야 합니다.

슬로우 미스트의 여우가 X 플랫폼에 글을 올리며, iOS 27 버전 이전의 시스템이 일부 블랙 및 그레이 산업 집단에 의해 취약점을 이용해 iPhone 사용자 암호화 지갑을 도난당하고 있다고 밝혔습니다.그는 사용자에게 iPhone, iPad, Mac 등의 장치를 최신 버전으로 업데이트하고, 출처가 불분명한 앱을 신중하게 설치하며, Safari 및 앱 내장 브라우저를 통해 불명확한 링크를 열 때 주의할 것을 권고했습니다.

Ark Invest Tracker에 따르면, Ark Invest는 AI 해킹 공격이 모든 것을 강타하고 있다고 밝혔습니다. 위험은 비트코인에 국한되지 않으며, AI는 소프트웨어 취약점을 더 쉽게 발견하고 이용할 수 있게 합니다.비트코인과 하드웨어 지갑이 가장 먼저 타격을 받을 수 있지만, 소셜 미디어, 세무 및 은행 웹사이트도 동일한 위협에 직면할 수 있습니다. 큰 브랜드를 신뢰하는 것은 여전히 AI가 점점 강력해지는 상황에서 해당 회사가 실수를 하지 않을 것이라는 신뢰를 의미합니다. ARK는 대형 수탁 기관도 목표가 될 것이라고 예상하며, AI는 이전에 없던 속도로 취약점을 발견하고 이용할 수 있습니다.

Bitget 대중화구역 책임자 셰지아인은 최근 라이브 방송에서 커뮤니티의 우려에 직접 대응했습니다. 그는 Bitget이 설립된 8년 동안 사용자 자산의 안전을 최우선으로 삼아 여러 차례의 사이버 공격 시도를 성공적으로 방어하며 장기적인 안전 운영 기록을 유지해 왔다고 회고했습니다. 이번 사건은 플랫폼 8년 발전 과정에서 처음으로 발생한 안전 위기입니다.완전한 추적 결과, 이번 사건은 제3자 보안 소프트웨어 공급망을 겨냥한 특별 공격에 해당하며, 공격자는 제3자 제품의 취약점을 이용해 내부 네트워크 자격 증명을 획득했습니다. 그러나 개인 키는 유출되지 않았고, 콜드 월렛 자산은 아무런 영향을 받지 않았습니다. 현재 Bitget은 보안 기관 Mandiant와 SlowMist와 협력하여 독립적인 검토를 진행하고 있으며, 제3자 구성 요소에 대한 모니터링 및 관리 기준을 전면적으로 업그레이드할 예정입니다. 우리는 이번 사건 이후의 전면적인 복구를 추진하는 데 전념할 뿐만 아니라, 지속적인 기술 발전과 시스템 업그레이드를 통해 산업의 더욱 안전하고 안정적이며 건강한 발전에 기여할 것입니다.

오늘 커뮤니티 라이브 방송에서 Bitget CEO Gracy는 최근의 안전 사건 및 플랫폼 재무 상태에 대해 응답했습니다. 그녀는 Bitget이 설립된 8년 동안 처음으로 겪는 안전 사건이라고 솔직하게 밝혔습니다. 완전한 추적을 통해 해커는 제3자 보안 제품의 취약점을 이용해 내부 네트워크 권한 증명서를 탈취하고, 지갑 시스템에 위조된 출금 명령을 보내어 지갑이 위험 검증을 우회하는 비정상적인 이체를 실행하도록 속였습니다. Gracy는 이번 사건에서 개인 키가 유출되지 않았고, 콜드 월렛에 영향을 미치지 않았으며, 구체적인 기술 세부 사항은 공식 발표될 안전 보고서에서 자세히 공개될 것이라고 강조했습니다.Gracy는 이번 사건의 확인된 손실이 보호 기금의 범위 내에 있으며, 사용자 자금의 안전에는 영향을 미치지 않는다고 지적했습니다. 플랫폼의 자체 자금은 14억 달러를 초과하며, 그 중 약 4.64억 달러는 사용자 보호 기금입니다. 플랫폼은 2022년 보호 기금을 설립할 때의 안전 약속을 계속 이행할 것이며, 1주일 내에 기금 규모를 3억 달러의 기준선으로 지속적으로 보충할 계획입니다."보호 기금은 단순한 구호가 아니라 극단적인 안전 사건 발생 시 사용자에게 실질적인 보장을 제공하는 중요한 메커니즘입니다." Gracy는 갑작스러운 안전 도전에 직면했을 때 플랫폼의 종합적인 실력과 책임을 적극적으로 수용하는 능력이 위험 대응 능력과 장기적인 신뢰도를 평가하는 중요한 기준이라고 말했습니다. Bitget은 사용자 이익을 최우선으로 하는 장기적인 약속을 지속적으로 이행할 것입니다.

프라이버시 블록체인 자노는 네트워크 업데이트 공지를 발표하며, 핵심 팀이 게이트웨이 주소에 심각한 취약점이 발견되어 무단으로 ZANO와 fUSD가 유통되었다고 밝혔습니다. 조사 결과, 지갑의 결제 키나 일반 거래의 프라이버시는 침해되지 않았으며, 자노의 핵심 합의 메커니즘도 영향을 받지 않았습니다.팀은 모든 무단 활동을 제거하기 위해 네트워크 업그레이드를 조정하는 해결책을 마련했습니다. 네트워크의 무결성을 보장하기 위해 자노 블록체인은 블록 높이 3,833,000(즉, 6차 하드포크 이전)에서 재시작되었으며, 약 한 달간의 체인 상 역사 기록에 영향을 미쳤습니다. 노드, 채굴자, 스테이커 및 관련 서비스는 긴급 업데이트를 신속히 적용해야 합니다.팀은 영향을 받은 프로젝트와 협력하여 손실을 처리하고, 보상 및 청구 절차를 발표하여 커뮤니티가 보상을 받을 수 있도록 노력할 것이라고 밝혔습니다. 이후 기술적 원인 및 관련 코드 검토 결과를 공개할 예정입니다.

Bitget은 9월 24일 발견된 보안 사건에 대해 관련 취약점이 확인되고 수정되었으며, 플랫폼은 추가 보안 점검을 완료한 후 단계적으로 출금을 재개할 것이라고 밝혔습니다. 구글 산하 사이버 보안 회사 Mandiant와 만후 기술이 조사를 지원하고 있습니다.복구 일정은 다음과 같습니다 (UTC):9월 28일 8:00: 비트코인 네트워크 BTC9월 29일 8:00: 이더리움, BNB 스마트 체인, Arbitrum, Base, Optimism 네트워크 ETH9월 30일 8:00: 이더리움, BNB 스마트 체인, 솔라나, 트론 네트워크 USDT10월 2일 8:00: 기타 토큰, 법정 화폐 및 P2P 거래Bitget은 출금 중단이 임시 보안 조치이며 사용자 자산의 가용성과는 무관하다고 전했습니다; 계좌 잔액은 영향을 받지 않으며, 보호 기금이 이번 플랫폼 수준 사건으로 인한 재정적 영향을 부담할 것입니다. 현재 사건은 통제되고 있으며, 무단 이체는 발생하지 않을 것이며, 거래 및 충전 서비스는 정상적으로 운영되고 있습니다. 사용자는 사전 조치를 취할 필요가 없으며, 구체적인 개방 상황은 플랫폼 및 공식 채널의 통지를 기준으로 합니다.

Revoke.cash는 Limit Break의 결제 처리기에 알려진 취약점이 존재한다고 밝혔으며, Magic Eden 이더리움 시장에서 NFT를 거래한 사용자들은 여전히 관련 계약 권한을 보유하고 있을 수 있습니다.이 취약점은 화이트 해커인 0xQuit에 의해 처리되었으며, 현재 NFT 자산은 영향을 받지 않을 것으로 예상되지만, 사용자는 여전히 영향을 받은 권한을 확인하고 철회하여 후속 위험을 줄여야 합니다.

구글 제품 보안 팀이 내부 AI 에이전트 PageBreak를 공개했습니다. 이는 자사의 웹 애플리케이션 보안을 테스트하기 위해 사용됩니다. 이 에이전트는 구글의 제미니 모델을 기반으로 구축되었으며, 2025년 11월에 파일럿을 시작하고 2026년 1월에 공식 프로젝트로 전환될 예정입니다. 목표는 자율적으로 취약점 발견 규모를 확대하고 인력 투입을 줄이는 것입니다.일반적인 AI 스캐닝 도구와 달리, PageBreak는 의심스러운 결함을 발견한 후, 가설을 전문 검증자에게 전달하여 실시간으로 실행되는 애플리케이션 복사본에서 실제로 악용을 시도합니다. 확인된 후에만 보고되며, 오탐률은 거의 제로에 가깝습니다. 구글에 따르면, PageBreak는 자사의 웹 애플리케이션에서 500개 이상의 XSS 취약점을 발견했습니다. 이러한 취약점은 로그인 세션을 탈취하거나 데이터를 훔치거나 사용자를 가장하는 데 사용될 수 있습니다.구글은 최근 몇 년 동안 AI에 의해 생성된, 그럴듯하지만 실제로는 성립하지 않는 취약점 보고서에 의해 보안 팀이 압도당했다고 밝혔습니다. 진짜 결함과 환각을 구별하는 것이 주요 과제가 되었습니다. 차세대 고보장 프레임워크로 구축된 애플리케이션을 테스트할 때, PageBreak는 단 두 개의 취약점만 발견했습니다. 다음 단계로 구글은 PageBreak를 자동 수정 에이전트 CodeMender와 연결하여 확인된 취약점에 대한 수정 방안을 제공할 계획입니다.

메타의 AI 제품 뮤즈에서 보안 취약점이 발견되어 사용자 데이터와 가상 환경의 안전이 위협받을 수 있으며, 회사는 위험 경고를 강화할 계획입니다.

Magic Eden은 이번 취약점이 Limit Break 회사가 유지 관리하는 NFT 거래 프로토콜 Payment Processor V2에서 발생했다고 발표했습니다. Magic Eden은 2024년에 해당 프로토콜을 사용하여 EVM 네트워크 거래 결제를 처리했지만, 2024년 10월에 V2 사용을 중단했으며 2026년 1분기에는 EVM 시장을 완전히 종료할 예정입니다. 따라서 현재 Magic Eden에 걸려 있는 NFT는 이번 취약점의 영향을 받지 않습니다.2024년 2월부터 10월 사이에 EVM 시장에 걸려 있는 NFT는 영향을 받을 수 있으며, 2024년 10월 이후의 걸림은 원칙적으로 영향을 받지 않습니다. 플랫폼은 프로토콜 소유자 및 유지 관리자인 Limit Break와 연락하여 다른 위험 완화 조치를 연구하고 있으며, 여기에는 프로토콜 전송 중단이 포함됩니다. 또한 실제 영향 범위를 계속 조사할 것입니다.Magic Eden은 EVM 시장에서 NFT를 걸거나 거래한 사용자에게 이더리움, Polygon 및 Base 네트워크에서 관련 계약 권한을 철회할 것을 권장합니다. 사용자는 revoke.cash를 통해 해당 주소를 필터링하고 "approved for all"로 표시된 모든 NFT 권한을 철회할 수 있습니다. Magic Eden은 권한을 철회하더라도 이미 전송된 자산을 되찾을 수 없음을 강조합니다.Yuga Labs 블록체인 부사장 Quit는 오늘 발표에서, 오늘 미 동부 시간으로 9시에 공격자가 Payment Processor V2의 취약점을 이용해 대량의 NFT를 탈취했다고 밝혔습니다. 그들은 LimitBreak 팀과 연락한 후, 후자는 신속하게 동일하게 영향을 받은 Payment Processor V3를 중단했습니다. 그러나 V2는 중단할 수 없으며, ApeChain의 V3도 일시적으로 중단할 수 없는 상태입니다. 따라서 팀은 화이트 해커 작전을 시행하여 총 23,155개의 NFT를 전송하고 보호했으며, 그 가치는 570만 달러를 초과합니다.

NFT 시장 Magic Eden에서 NFT 보안 취약점이 발생한 것으로 보이며, 화이트 해커가 수백 개의 지갑에서 3832개의 NFT를 전송했습니다.Yuga Labs 블록체인 부사장 Quit는 이번 전송이 화이트 해킹 활동에 해당하며, 관련 NFT는 현재 "0x71cF"로 시작하는 주소에 보관되어 있으며, 자산은 안전한 상태라고 밝혔습니다. 위험이 해소되면 모두 반환될 예정입니다.

화이트 해커가 Coldcard 취약점과 관련된 40.71 비트코인을 한 거래로 전송했으며, 이는 약 331만 달러의 가치가 있습니다. 이 거래는 11개의 주소에서 자금을 모았으며, Crypto Recovery Trust를 가리키는 OP_RETURN 정보가 첨부되어 있습니다.Galaxy Research의 책임자 Alex Thorn은 더 큰 범위의 자금이 총 52.37 비트코인으로 전송되었으며, 여러 공격자 주소 집합이 포함되어 있다고 밝혔습니다. 이는 해당 취약점과 관련된 자금의 약 2.8%를 차지합니다. Coldcard 장치의 2021년 3월 펌웨어 결함으로 인해 니모닉의 무작위성이 부족해졌으며, 관련 자금의 피크는 약 1억 3천만 달러에 달합니다.

블록체인 보안 회사 SlowMist의 최고 정보 보안 책임자 23pds는 공격자들이 Darksword 취약점을 이용하여 Safari를 통해 iOS 보안 메커니즘을 우회하고, 장치를 제어하며 자가 호스팅된 암호화 지갑에서 개인 키 및 기타 데이터를 추출하고 있다고 밝혔습니다. 이 취약점은 사우디아라비아, 터키, 말레이시아 및 우크라이나 사용자에 대한 공격에 사용된 바 있습니다. Google 위협 정보 그룹은 Darksword가 처음에 iOS 18.4에서 18.7 버전만 영향을 미쳤다고 밝혔습니다.23pds는 공격자들이 이를 iOS 26.5에 맞게 조정했다고 주장했지만, 이 판단은 아직 공식적으로 확인되지 않았습니다. 공격은 일반적으로 사회 공학으로 시작되며, 사용자가 소셜 미디어나 통신 애플리케이션을 통해 전송된 악성 링크를 클릭하면 장치가 루트 권한을 얻고 지갑 데이터를 추출할 수 있습니다. 사용자는 즉시 휴대폰 시스템을 업데이트하고, 낯선 사람이 보낸 웹사이트 링크에 접근하지 않아야 합니다; 또한 세 명의 투자자는 애플 공식 App Store에서 가짜 지갑 애플리케이션을 다운로드하여 거의 180만 달러의 비트코인을 잃었고, 애플에 대해 소송을 제기했습니다.