목차:

1. 요약

2. 통계 및 그래프

3. 개요

4. 탈취된 자금 탐구: 증가하는 TVL 속 리스크 평가

5. 피싱: 2024년 주요 사이버 위협 분석

6. DMM Bitcoin 사건 분석

7. 기타 주목할 만한 사건들

8. 2024 at CertiK

9. CertiK 보안 솔루션

요약: 

• 2024년에는 총 760건의 온체인 보안 사고로 인해 약 23.63억 달러가 손실되었습니다.
• 이는 2023년에 비해 약 31.61% 증가한 수치이며, 사고 건수는 전년 대비 29건 증가했습니다.
• 2024년 한 해 동안 사고당 평균 손실액은 310.89만 달러로, 전년 대비 23.04% 증가했으며, 중간값은 15.09만 달러로 46.83% 증가했습니다.
• 가장 큰 손실이 발생한 달은 5월로, 63건의 사고로 인해 4.44억 달러가 손실되었습니다.
• 2024년 3분기에는 157건의 해킹, 사기, 취약점 공격으로 약 7.53억 달러가 도난당하며, 2023년 3분기와 비슷하게 가장 많은 손실을 기록했습니다. 반면 4분기에는 총 손실액이 46.65% 감소했습니다.
• 2024년 가장 큰 손실을 초래한 공격 벡터는 피싱 공격으로, 296건의 사고에서 10.5억 달러가 손실되었습니다. 이 중 1억 달러 이상의 손실을 초래한 피싱 사건이 3건 있었습니다. 피싱 공격으로 인한 손실은 연간 손실액의 거의 절반을 차지하며, 사고 건수의 39.1%를 차지했습니다. 이는 피싱 공격이 다른 취약점보다 단일 사건당 손실 규모가 훨씬 크다는 것을 보여줍니다.
• 두 번째로 주요한 공격 벡터는 개인 키 유출로, 65건의 사고에서 8.55억 달러의 손실을 초래했습니다. 2024년 모든 분기에서 피싱 공격과 개인 키 도난 사건이 높은 활동 수준을 보였습니다.
• 이더리움은 가장 많은 보안 사고가 발생한 네트워크로 403건의 해킹, 사기, 취약점 공격으로 인해 7.49억 달러의 손실을 기록했으며, 사건당 평균 손실 금액은 185.78만 달러였습니다.
• 비트코인과 트론도 해커들의 주요 표적이 되어 각각 5.67억 달러와 1.36억 달러가 도난당했습니다.
• 멀티체인과 관련된 보안 사고는 총 39건 발생했으며, 이로 인해 약 4.35억 달러의 손실이 발생했습니다.

CertiK의 2024년 Hack3d 보안 보고서는 Web3 분야의 주요 사건과 트렌드를 심층 분석하며, 업계의 현황을 살펴보고 미래 발전 방향을 제시합니다.

통계 및 그래프: 

월별 통계: 

체인 별 통계: 

유형 별 통계: 

TOP 10 보안 사건: 

개요

2024년, 가상자산 산업은 주요 성과를 통해 전통 금융에 점차 통합되고 수용되는 모습을 보였습니다. 이러한 발전은 지속적으로 증가하는 자본을 보호하기 위한 보안 조치 강화의 필요성을 더욱 강조하고 있습니다.

2024년, Web3 분야에서 보안 사건으로 인한 도난 자금 총액이 전년 대비 약 31.61% 증가하여 23.63억 달러에 달했습니다. 이 수치는 2021년의 52.76억 달러와 2022년의 35.05억 달러보다는 낮지만, 증가폭은 여전히 우려를 불러일으킵니다.

그러나 올해 총 손실액에서 피싱 공격으로 인한 손실을 제외하면, 생태계의 보안 수준이 점차 개선되고 있음을 알 수 있습니다. 예를 들어, 2021년에는 27억 달러의 손실을 초래한 Thodex 공격과 6.02억 달러의 손실을 기록한 Poly Network 공격이 가장 심각한 사건으로 나타났습니다. 2022년에는 약 6.24억 달러의 손실을 가져온 Ronin Network 공격과 약 4.77억 달러의 손실이 발생한 FTX 보안 사건이 있었습니다. 그러나 2024년에는 2021년 1월 이후 유일하게 상위 20대 사건 목록에 오른 사건이 2.31억 달러의 손실을 입힌 WazirX 보안 사건뿐이며, 이는 1억 달러 이상의 중대한 보안 사건 수가 감소하고 있음을 나타냅니다.

2024년, Web3 산업은 전통 금융 분야에서의 수용도가 더욱 높아지며 여러 주요 이정표 사건들이 시장 구조를 재편했습니다. 가장 주목할 만한 발전 중 하나는 미국 증권거래위원회(SEC)가 현물 비트코인 및 이더리움 상장지수펀드(ETF)를 승인한 것입니다. 수년 간의 기대 끝에 SEC는 BlackRock과 Fidelity와 같은 주요 기업들이 포함된 11개의 현물 비트코인 ETF를 승인했습니다. 7월에는 이더리움 ETF도 승인되어, 기관 투자자들에게 포트폴리오 다각화를 위한 새로운 기회를 제공하고, 이러한 디지털 자산에 대한 주류의 신뢰를 강화했습니다.

시장 신뢰가 회복됨에 따라 "Web3 겨울"의 장기적인 침체가 연중에 걸쳐 지속적으로 개선되고 있습니다. 기관 투자자들이 시장에 복귀하면서 자금 유입이 증가하였고, 이러한 안정적인 자금 증가가 비트코인이 10만 달러를 돌파하는 역사적인 이정표를 마련하는 데 기여했습니다. 이 사건은 2024년 미국 대통령 선거 이후에 발생하였으며, 이더리움, 솔라나 등 다른 주요 가상자산도 함께 상승세를 보였습니다.

도널드 트럼프 대통령의 재선은 미국의 가상자산 산업에 중대한 전환점을 의미하며, 이는 전 세계 다른 가상자산 시장에도 영향을 미칠 것으로 보입니다. 트럼프 행정부는 저명한 블록체인 지지자인 폴 앳킨스를 SEC의 수장으로 임명함으로써 즉각적으로 친암호화폐 입장을 시사했습니다. 또한, 일론 머스크가 “정부 효율부”(DOGE)의 수장으로 임명되면서 행정부의 친암호화폐 정책에 더욱 힘을 실었고, 이는 도지코인의 가치 상승을 이끌었습니다.

이러한 발전이 실제로 어떻게 전개될지는 2025년 1월 중순까지 기다려야 알 수 있지만, 트럼프는 추가적인 가상자산 관련 공약을 발표했습니다. 여기에는 국가 비트코인 보유고 설립, 미국 중앙은행 디지털 통화(CBDC) 생성 중단, 그리고 미국 내 비트코인 채굴 지원이 포함됩니다.

2024년, 전 세계의 규제 동향은 각국 정부가 가상자산 산업 발전에 대해 다양한 전략을 채택하고 있음을 보여줍니다. 예를 들어, 유럽연합은 가상자산 시장 규제안(MiCA)를 적극 추진하여 회원국 간 통일된 규제 프레임워크를 구축했습니다. MiCA는 투명성, 유동성, 소비자 보호를 요구하며, 이를 통해 혁신을 촉진하고 가상자산 시장의 무결성을 보장하는 것을 목표로 하고 있습니다.

아시아 지역에서도 다양한 규제 전략이 나타나고 있습니다. 여러 지역에서는 디지털 통화 관련 ETF를 승인했음에도 불구하고, 일본 규제 기관은 투자자 보호와 시장 안정성을 이유로 유사한 제품을 아직 승인하지 않았습니다. 또한, 일본 금융청(FSA)은 최근 규제를 강화하여 미등록 및 무허가로 운영되는 해외 디지털 통화 거래소에 경고를 보냈습니다. 아시아 지역에서 주목할 만한 진전으로는 한국의 가상자산 이용자 보호법(VAUPA)과 홍콩의 가상자산 세금 감면 제안이 있습니다.

전 세계의 다양한 규제 전략이 가상자산 산업에 미치는 영향은 각기 다르지만, 한 가지는 변함없이 중요합니다: 바로 보안입니다. 시장이 지속적으로 발전하고 전통 금융 시스템에 점차 통합됨에 따라, 비규제 프로젝트, 사기 행위, 자산 도난 등의 위험이 계속해서 증가하고 있습니다.

가상자산 보안 분야의 선구자로서 CertiK은 최첨단 정형 검증 기술을 활용해 블록체인 프로토콜과 스마트 컨트랙트를 스캔 및 모니터링하여 Web3 생태계의 보안을 강화하고 있습니다. 우리는 학계 최첨단의 혁신 기술을 산업에 적용함으로써 기업이 중요한 소프트웨어 및 애플리케이션을 충분히 안전하고 올바른 환경에서 구축할 수 있도록 지원하고 있습니다.  현재까지 4,800개 이상의 기업 고객과 협력하여 총 가치 5,100억 달러 이상의 디지털 자산을 보호하고, 11.5만 개 이상의 블록체인 코드에서 취약점을 탐지했습니다.

우리의 사명은 계속 진행 중이며, 2024년에는 여러 성과를 달성했습니다. 예를 들어, Apple Vision Pro의 시선 추적 기술에서 취약점을 발견하여 여섯 번째로 Apple의 인정을 받았고, 삼성 블록체인 키스토어에서 고위험 취약점을 발견하여 세 번째로 삼성으로부터 인정을 받았습니다. 또한, 144개의 명령어가 포함된 zkWasm 회로의 정형 검증을 완료하여 영지식 증명 생태계에서 포괄적인 정형 검증 작업을 처음으로 수행했습니다. 또 다른 주목할 만한 성과로는 탈중앙화 물리적 인프라 네트워크(DePIN) 분야로 연구를 확장하여 APhone과 Aethir와 같은 프로젝트의 보안 위험을 완화하는 데 기여한 것입니다. 마지막으로, 2024년 상반기에는 Forbes의 상위 10개 토큰 중 6개에 대해 보안 감사를 수행했으며, 여기에는 TON, Core DAO, PEPE, FLOKI, FET, Bitget이 포함됩니다.

규제 측면에서 CertiK은 홍콩 금융 관리국(HKMA)과 홍콩 재경사 및 재무국(FSTB)에 두 가지 스테이블코인 제안을 제출했으며, 두 제안 모두 승인되었습니다.

비록 가상자산 산업이 흥미로운 방식으로 지속적으로 발전하고 있지만, 우리는 탈중앙화된 미래가 신뢰를 기반으로 해야 한다는 점을 분명히 인식하고 있습니다. 강력한 보안 조치와 규제의 협력이 없다면, 가상자산 분야의 참여자들은 다양한 위험에 직면하게 될 것입니다. 실제로 2024년 동안 악의적인 행위자들이 23억 달러 이상의 자금을 탈취했다는 사실이 이를 잘 보여줍니다.

CertiK의 Hack3d 보안 보고서는 산업의 취약점을 깊이 분석하고 그 회복력을 평가하는 것을 목표로 합니다. 먼저, 2024년 통계 데이터를 살펴보며 가장 흔한 공격 벡터, 가장 많이 이용된 블록체인, 도난된 금액과 가상자산 예치 총액(TVL) 간의 관계 등을 조사합니다. 또한, 2024년의 주요 보안 사건과 기타 주목할 만한 산업 발전을 다루고, 가상자산 참여자들에게 제공하는 최상의 보안 관행에 대한 제안도 포함됩니다.

탈취된 자금 탐구: 증가하는 TVL 속 리스크 평가

2024년, 블록체인 네트워크의 TVL이 크게 증가했습니다. 특히 이더리움의 유동성 스테이킹 TVL은 2024년 1월 약 2.48억 달러에서 12월에는 170억 달러로 급증했습니다. 이러한 성장은 2023년 말부터 시작되어 2024년에 DeFi가 다시 널리 채택되는 추세를 보여줍니다.

Source: DeFiLlama 

TVL(가상자산 예치 총액)은 탈중앙화 프로토콜에서 적극적으로 스테이킹, 자금 풀 또는 잠금된 자산의 총량을 반영하며, 블록체인 기술의 채택과 신뢰도를 측정하는 중요한 지표입니다. 이는 생태계의 재정적 건강과 자금 규모에 대한 인사이트를 제공합니다. TVL의 상승은 사용자와 기관의 신뢰 증가를 나타내며, 변동성은 활동 변화나 시장의 위험에 대한 우려를 반영할 수 있습니다. 탈취된 자금을 TVL 상승 추세와 함께 분석하면, 업계 성장에서 보안 조치의 효과성을 보다 잘 평가할 수 있습니다.

아래 그림은 2024년 매월 해킹 공격과 사기로 인한 자금 손실과 DeFi TVL 간의 상관관계를 보여줍니다. TVL 값은 DeFiLlama의 데이터셋에서 각 월의 마지막 날에 기록된 것이며, 해킹 및 사기로 인한 손실은 CertiK의 데이터에서 수집한 월별 총액입니다.

그림에서 볼 수 있듯이, TVL과 월간 손실 간에는 중간 정도의 정적 상관관계가 있으며, R² 값은 0.32입니다. 이는 약 32%의 월간 손실 변화가 통계적으로 DeFi TVL의 변화에 기인할 수 있음을 나타냅니다. 추세선의 상승은 TVL이 증가함에 따라 보안 사건으로 인한 손실도 증가함을 보여주지만, 이 관계는 엄격하게 비례적이지는 않습니다. 비록 이 상관관계가 통계적으로 유의미하지만, TVL만으로는 나머지 68%의 변화를 설명할 수 없으며, 이는 여전히 손실에 영향을 미치는 다른 요인이 존재함을 의미합니다. 다음은 몇 가지 가능한 요인입니다:

1. 공격 기술의 진화: 해커들은 지속적으로 공격 방법을 개선하고 있으며, 사회공학적 공격과 제로데이 취약점과 같은 고급 전술을 사용하여 기본적인 보안 조치를 넘어서는 취약점을 이용하려고 합니다.

2. 보안 기준의 차이: 프로젝트와 거래소 간의 보안 품질 차이는 손실에 상당한 영향을 미칠 수 있습니다. 보안 감사가 불충분하거나 스마트 컨트랙트 설계가 약하거나 개인 키 관리가 미흡한 프로토콜은 공격에 더 취약합니다.

3. 규제 허점: 지역별로 규제가 일관되지 않으면 도난 행위의 빈도에 영향을 미칠 수 있습니다. 보다 엄격한 규제 환경은 이러한 활동을 어느 정도 억제할 수 있습니다.

4. 시장 조건: 시장 가치가 높거나 가격이 급등하면 공격 성공 시 높은 보상이 따르므로, 더 많은 해커들이 공격을 시도하게 됩니다.

5. 프로토콜 복잡성: 복잡한 DeFi 프로토콜은 잠재적인 취약점이 존재할 가능성이 높아 공격자에게 이용당하기 쉽습니다. 이러한 기술적 결함은 혁신과 포괄적인 보안 테스트 간의 균형을 맞추는 과정에서 발생할 수 있습니다.

6. 중앙화 위험: 중앙화된 시스템은 중앙화 위험을 초래하며, 이러한 지점이 타격을 받을 경우 탈중앙화된 TVL과 무관하게 비례적으로 큰 손실이 발생할 수 있습니다.

2024년의 R² 값인 0.32는 2023년의 0.31에서 소폭 증가한 수치입니다. 2024년에 TVL이 크게 증가했음에도 불구하고 이 미미한 차이는 생태계의 변화하는 역학에 대한 흥미로운 인사이트를 제공합니다. 위에서 언급한 다른 관련 요인들 외에도, 도난된 금액이 TVL과 비례적으로 증가하지 않을 가능성이 있습니다. 이는 향상된 보안 조치, 인식의 증가, 그리고 더 강력한 방어가 일반적으로 높은 TVL과 관련된 일부 위험을 완화하고 있음을 나타낼 수 있습니다. 이러한 점은 고무적이지만, 산업이 성장함에 따라 취약성을 지속적으로 해결하고 손실에 영향을 미칠 수 있는 다른 요인들을 모니터링할 필요성을 강조합니다.

피싱: 2024년 주요 사이버 위협 분석

피싱 공격은 2024년에 가장 큰 손실을 초래한 공격 수단으로, 총 296건의 사건이 발생하여 손실액이 10.5억 달러에 달했습니다. 이 손실 금액은 연간 탈취된 자금 총액의 거의 절반을 차지하며, 보안 사건 총수의 39.1%를 차지합니다. 이러한 데이터는 다른 유형의 보안 사건에 비해 피싱 공격이 단일 사건으로 초래하는 손실이 더욱 심각함을 나타냅니다.

공격당 평균 손실액은 282.7만 달러이며, 중앙값은 20.7만 달러입니다. 또한, 공격자는 2.13억 달러를 반환하여 조정된 총 손실액은 8.37억 달러로 집계되었습니다.

피싱 공격이 공격자들에게 선호되는 이유는 그 간단하고 효율적인 특성 때문입니다. 피싱 공격은 기술적 방어를 겨냥하기보다는 인간의 약점을 이용합니다. 정교하게 설계된 가짜 이메일, 위조된 웹사이트, 또는 사기 정보를 통해 공격자는 사용자로 하여금 비밀번호, 개인 키, 또는 지갑주소와 같은 민감한 정보를 유출하도록 유도합니다. 가상자산 분야에서는 거래의 불가역성이 피싱 공격의 파괴적인 영향을 더욱 강화합니다. 자금이 한 번 이동하면 공격자가 자발적으로 반환하지 않는 한 손실을 회복할 수 없기 때문입니다.

2024년 2분기의 피싱 공격 손실이 가장 심각하여 67건의 사건으로 4.336억 달러가 탈취되었습니다. 이후 손실액은 점차 감소하는 추세를 보였습니다. 그럼에도 불구하고 2024년의 피싱 공격 사건 손실 데이터는 여전히 전년도보다 훨씬 높은 수준입니다. 예를 들어, 2023년 2분기 피싱 공격으로 인한 손실액은 1.031억 달러로, 2024년 1분기를 제외한 나머지 3분기의 손실액에 비해 크게 낮은 수준입니다.

이더리움 체인은 모든 공격 경로에서 가장 취약한 체인으로, 피싱 공격에서도 예외가 아닙니다. 올해 이더리움 체인에서는 총 248건의 피싱 공격 사건이 발생하여 2.97억 달러의 손실이 발생했습니다. 또한, 바이낸스 스마트 체인(BSC)도 피싱 공격의 주요 목표 중 하나로 확인되었습니다.

동시에, 피싱 공격으로 인한 연간 손실 금액도 빠르게 증가하고 있습니다. 2022년에서 2023년 사이에 피싱 손실은 244.41% 증가했고, 2023년에서 2024년 사이에는 331.03% 증가했습니다.

피싱 공격이 성공적으로 수행된 후, 해커들은 일반적으로 자금을 세탁하여 도난당한 자금의 추적과 회수를 더 어렵게 만들려고 합니다. 그러나 대부분의 피싱 공격으로 도난당한 자금은 아직 처리되지 않은 것으로 보입니다. 일반적인 세탁 방법으로는 중앙화 거래소에서의 거래와 Tornado Cash 플랫폼 사용이 있습니다.

* 피싱으로부터 자신을 보호하는 방법

1. 항상 요청되지 않은 통신에 주의하세요:  알 수 없는 출처의 이메일, 메시지 또는 전화에 주의하고, 특히 개인 정보를 요구하거나 즉각적인 행동을 촉구하는 경우 더욱 조심하세요. 응답하기 전에 공식 채널을 통해 발신자의 신원을 확인하세요.

2. 이메일 및 URL 세부사항 검토: 이메일 주소와 웹사이트 URL의 정확성을 확인하고, 미세한 철자 오류나 이상한 특징에 주의하세요. 이는 정보 출처의 사기 위험을 나타낼 수 있습니다. 링크에 마우스를 올려 URL을 미리 보기하여 클릭하지 않고도 합법적인 사이트인지 확인할 수 있습니다.

3. 이중 인증(2FA) 활성화: 2FA를 활성화하면 추가적인 보안 층이 생기며, 로그인 시 두 번째 인증(예: 기기로 전송되는 고유한 인증 코드)을 요구하여 무단 접근의 리스크를 줄일 수 있습니다.

4. 소프트웨어 업데이트 유지: 운영 체제, 브라우저 및 애플리케이션을 정기적으로 업데이트하여 사이버 범죄자들이 악용할 수 있는 보안 취약점을 패치하고, 피싱 공격 및 기타 사이버 공격을 방지하세요.

5. 지속적으로 교육받기: 최신 피싱 방법과 사기에 대해 알아두세요. 조직 내 사이버 보안 교육에 참여하고, 잠재적인 위협을 인식하고 피하는 방법에 대한 자료를 정기적으로 검토하세요.

6. 지갑주소 확인: 가상자산을 전송하기 전에 항상 지갑주소를 신중하게 확인하세요. 해커는 피싱 기법을 사용하여 합법적인 주소를 가짜 주소로 대체할 수 있으므로, 자금이 되돌릴 수 없는 경우가 발생할 수 있습니다.

7. 하드웨어 지갑 사용: 가상자산을 오프라인 하드웨어 지갑에 저장하면 온라인 지갑이나 거래소에 대한 피싱 공격을 효과적으로 방지할 수 있습니다.

8. 거래 시 공공 Wi-Fi 피하기: 지갑에 접근하거나 거래를 할 때는 안전하고 개인적인 인터넷 연결을 사용하십시오. 공공 Wi-Fi는 피싱 공격과 중간자 공격에 노출될 수 있습니다.

DMM Bitcoin 사건 분석

2024년 5월 31일, 일본 거래소 DMM Bitcoin은 약 3.04억 달러에 해당하는 4,502.9 BTC가 무단으로 그들의 지갑에서 인출되었다고 발표했습니다.

이번 손실은 지갑주소 오염(address poisoning)으로 인한 것으로 보이며, 이는 피해자가 사용하는 주소와 유사한 주소를 가진 지갑이 거래 내역에 삽입되어 "오염"을 일으키는 피싱 방법입니다. 일반적으로 이러한 지갑은 피해자가 사용하는 지갑의 시작 및 끝 문자가 동일하여, 사용자가 무심코 잘못된 주소를 복사하도록 유도합니다. 피해자가 BTC를 승인되지 않은 지갑으로 전송하기 전에, 해당 지갑은 DMM 지갑에 거래를 요청하여 지갑 주소를 거래 기록에 섞어 놓았습니다.

공격의 출처는 불분명하지만, 여러 언론 매체와 업계 전문가들은 북한 해커 그룹인 라자루스 그룹(Lazarus Group)의 개입 가능성을 제기하고 있습니다.

CertiK의 SkyInsights의 SkyTrace 기능을 사용하면 DMM에서 공격자의 주소로 4,502.9 BTC가 이동한 경과를 확인할 수 있습니다. 또한, 공격자의 지갑주소와 DMM이 자주 송금하는 지갑주소 간의 높은 유사성을 확인할 수 있습니다.

공격자 거래 링크: https://bitaps.com/975ec405ac9dc9fa5ab8009d94d6a1fe31dff8a8127ea90d023104e52754e4d7 

2024년 12월, DMM Bitcoin은 거래 플랫폼 SBI VC Trade와의 계약 체결 후 운영을 중단하고 남은 자산을 SBI VC Trade로 이전한다고 발표했습니다. DMM Bitcoin은 “이 상황이 장기적으로 지속될 경우 고객의 편의성이 크게 저해될 것이라고 판단했습니다. 현재 상황을 고려하여 고객의 이익 보호를 최우선으로 하여 모든 계좌와 자산을 다른 회사로 이전하기로 결정했습니다. 오랜 기간 동안 불편을 드린 점 깊이 사과드립니다. 자산 이전이 완료된 후에는 사업 운영을 중단할 계획입니다.”라고 전했습니다.

기타 주목할 만한 사건들

가상자산을 훔치기 위해 사이버 범죄자들이 사용하는 방법은 다양하고 효과적입니다. 고도로 표적화된 사회 공학 기법부터 지갑주소 오염과 같은 기술적 해킹까지, 악의적인 행위자들은 끊임없이 보안을 위협하고 탐지를 회피하기 위해 혁신을 거듭하고 있습니다. 다음의 세 가지 사건은 가상자산을 훔치는 데 사용된 다양한 전술을 보여주며, 경계를 유지하는 것의 중요성을 강조합니다.

1. 사회 공학 공격으로 2.43억 달러 도난 사건 발생

2024년 8월, 정교하게 설계된 사회 공학 공격으로 워싱턴 D.C.의 한 Genesis 채권자가 2.43억 달러의 가상자산을 잃었습니다. 공격자는 Google과 Gemini의 고객 지원 직원으로 가장하여 피해자를 속여 보안 이중 인증(2FA)을 리셋하도록 유도하고, 자금을 통제된 지갑으로 전송하도록 유도했습니다. 원격 접근 소프트웨어 AnyDesk를 사용하여 피해자의 비트코인 코어 지갑에서 개인 키를 획득함으로써 도난을 완료했습니다.

암호화폐 조사관 ZachXBT는 사건 추적 과정에서 중요한 역할을 했습니다. 그는 거래 해시를 통해 도난당한 비트코인의 흐름을 추적하여 범죄 용의자를 확인하고 체포하는 데 기여했습니다. 이들은 절도와 자금 세탁 공모 혐의로 기소되었습니다. 미국 법무부는 수백만 달러의 도난당한 자금을 성공적으로 회수했다고 확인했으며, 이번 작전은 대규모 디지털 화폐 도난 사건 대응에서 중요한 돌파구로 평가받고 있습니다. 

2.미국 정부 소유로 추정되는 지갑 해킹 사건

2024년 10월 24일, 해커가 미국 정부가 통제하는 것으로 추정되는 지갑을 해킹하여 약 2천만 달러를 빼냈습니다. 이 자금은 2016년 Bitfinex 해킹 사건에서 압수된 자산이었습니다. 해커는 무단으로 접근한 후 USDC와 USDT와 같은 스테이블코인을 포함한 자금을 자신의 지갑으로 전송했습니다. 이후 악의적인 행위자는 스테이블코인을 이더리움으로 교환하고, 자금을 세탁하는 플랫폼과 연관된 주소를 통해 자금을 세탁했습니다.

이 사건은 Bitfinex 해커인 Ilya Lichtenstein과 Heather Morgan이 판결을 받기 몇 주 전에 발생하여, 압수된 디지털 자산의 장기 보안에 대한 우려를 다시 불러일으켰습니다. 미국 정부가 과거에 Bitfinex 자금을 회수하는 데 일부 성공을 거두었지만, 이번 해킹 사건은 특히 고위험 사건과 관련된 디지털 자산 보호의 위험성을 여전히 드러내고 있습니다. 

3. 지갑주소 오염 사기로 1.29억 달러 도난

2024년 11월 20일, 한 가상자산 사용자에게 지갑주소 오염 사기가 발생하여 일시적으로 1.29억 달러를 잃었습니다. 사기꾼은 피해자의 지갑에 소액의 정상적인 거래를 전송하여 피해자의 거래 기록에 침투하고, 신뢰할 수 있는 연락처로 가장했습니다. 피해자가 대규모 이체를 시도할 때, 의도치 않게 사기꾼의 지갑 주소를 복사하여 자금을 전송하게 된 것입니다.

놀랍게도, 사기꾼은 한 시간 이내에 모든 자금을 반환했습니다. 구체적인 이유는 아직 불분명하지만, 도난 규모가 법적 결과나 Web3 커뮤니티의 압박을 우려하게 만들었을 것이라는 추측이 있습니다. 비록 실질적인 손실은 없었지만, 이 사건은 거래를 시작하기 전에 지갑주소를 수동으로 확인하는 것의 중요성에 대한 교훈을 여전히 제공합니다.

2024 at CertiK

2024년은 CertiK에게 중요한 해였습니다. 올해의 주요 성과는 다음과 같습니다:

1. 싱가포르 통화청(MAS)의 스테이블코인 프레임워크에 대한 제안이 인정 받았습니다.

2. CosmWasm에서 신뢰할 수 없는 Wasm 제출을 허용하는 중대한 취약점을 발견하여, Cosmos 생태계의 20개 이상의 앱 체인에 영향을 미쳤습니다.

3. TikTok의 모회사인 ByteDance의 시스템 내에서 중대한 보안 위험을 식별하고 해결하여 인정을 받았습니다.

4. Ant Group 내의 취약점 위험을 식별하고 AntSRC에 보고하여 필요한 보안 조치가 신속하게 시행되도록 했습니다.

5. 144개의 명령어가 포함된 zkWasm 회로의 정형 검증을 완료하여 영지식 증명 생태계에서 포괄적인 정형 검증 작업을 처음으로 수행했습니다.

6. 100만 명 이상의 사용자를 지원하는 Bybit의 개인 키가 없는 지갑 모듈을 대상으로 철저한 모의 해킹을 완료했습니다.

7. GalaChain의 첫 번째 공개 SDK에 대한 보안 평가를 실시하고, SDK를 사용한 GalaChain의 성능 테스트를 진행하여 여러 시스템 수준의 효율성 문제를 발견하고 코드베이스 개선에 기여했습니다.

8. "Elevating Your Entire Web3 Journey"라는 새로운 브랜드 슬로건을 통해 혁신적이고 전생애주기 제품 및 서비스 제공에 대한 우리의 의지를 표현했습니다.

9. TON의 공식 보안 서비스 제공업체 목록에서 1위를 차지했습니다.

10. Apple Vision Pro의 시선 추적 기술에서 취약점을 발견하여 Apple로부터 여섯 번째 인정을 받았습니다.

11. 홍콩 금융 관리국(HKMA)과 홍콩 재경사 및 재무국(FSTB)에 두 가지 스테이블코인 규제 제안을 제출하여 모두 승인받았습니다.

12. 2024년 상반기 동안 Forbes 상위 10개 토큰 중 6개를 보안 감사하였으며, 여기에는 TON, Core DAO, PEPE, FLOKI, FET, Bitget이 포함됩니다.

13. 탈중앙화 물리적 인프라 네트워크(DePIN) 분야에 대한 연구를 확장하여 APhone 및 Aethir와 같은 프로젝트가 보안 위험을 완화하도록 지원했습니다. 2024 Qualcomm 제품 보안 서밋에서 DePIN 분야에 대한 경험과 인사이트를 공유했습니다.

14. 2024년 7월, 전 세계 Web3 보안 감사 시장의 거의 50%를 차지했습니다.

15. 블록체인 키스토어에서 고위험 취약점을 발견하여 삼성으로부터 세 번째 인정을 받았습니다.

16. CertiK의 CEO이자 공동 창립자인 롱후이 구 교수는 2024 싱가포르 핀테크 페스티벌에 참석하여 Money FM, Lianhe Zaobao, Ming Pao, Hong Kong Economic Journal, Bloomberg Businessweek 등 주요 국제 미디어와 인터뷰를 진행했습니다.

17. 롱후이 구는 CZ와의 Fireside chat에서 Web3 보안 문제, 블록체인 혁신, 생태계의 미래를 형성하는 주요 질문들에 대해 논의했습니다.

CertiK 보안 솔루션

Web3.0 세계를 보호하기 위한 사명의 일환으로 CertiK은 프로젝트와 투자자가 보안에 대한 엔드 투 엔드 접근 방식을 취할 수 있도록 설계된 다양한 도구를 제공합니다.

CertiK KYC는 프로젝트 팀을 위한 포괄적인 개인 신원 확인을 제공합니다. 이 프로세스는 AI 기반 탐지 시스템을 사용한 신원 진위 검사 및 개인이 실존하는 인물이며 신원과 일치하는지 확인하기 위한 라이브 인증을 포함됩니다. CertiK은 또한 각 팀원과의 실시간 화상 통화를 진행하여 필요에 따라 신원 및 기타 매개변수를 확인합니다. 팀 익명성으로 점점 더 고위험 행동이 가능해짐에 따라 CertiK KYC는 투자자가 신뢰를 바탕으로 앞으로 나아갈 수 있도록 프로젝트에 대한 책임을 구축합니다. 이에 CertiK의 보안 리더보드에서는 KYC 조사를 통해 인증된 프로젝트 팀에게 금(Gold), 은(Silver) 또는 동(Bronze)으로 구성된 CertiK KYC 배지를 부여하여, 프로젝트 팀의 익명성을 최소화하고 더욱 완벽한 책임 체계를 구축하여 프로젝트의 신뢰성을 높이고 있습니다.

모의 해킹은 Web3.0 애플리케이션의 보안을 종합적으로 보장하기 위한 중요한 구성 요소입니다. 우리의 모의 해킹 서비스는 경험이 풍부한 윤리적 해커 팀이 전용 도구를 활용하여 코드에서 가장 작은 취약점도 발견합니다.

버그 바운티 서비스는 세계 최고의 화이트 햇 해커들을 모집했으며 악의적인 행위자들이 취약점을 이용하기 전에 이를 탐지할 수 있도록 정보를 수집합니다. CertiK의 보안 전문가 팀은 제출된 모든 자료를 선별하고 감정하며, 고객의 정확한 복구를 도울 것입니다. 인증된 윤리적 해커들을 대상으로 진행되는 버그 바운티(버그를 찾아내면 보상을 주는 이벤트)는 처음부터 끝까지 수수료 없이 진행해 드립니다.

CertiK Advisory는 프로젝트 팀이 Web3.0을 최대한 활용할 수 있도록 지원합니다. CertiK의 전문 컨설팅 서비스는 경험이 풍부한 분석가 팀을 바탕으로 기술적 평가, 독점적 연구 및 전략적 추천 등 종합적인 서비스를 제공하고 있습니다.

CertiK 보안 점수 리더보드는 프로젝트의 보안 점수에 따라 프로젝트를 나열하고 순위를 매깁니다. 보안 점수는 프로젝트의 코드 보안, 기초 건강 상태, 운영 강건성, 커뮤니티 신뢰성, 시장 안정성 및 거버넌스 강도를 고려하는 전용 알고리즘에 따라 생성됩니다.

CertiK KYC 팀 리더보드는 프로젝트의 CertiK KYC 배지 상태에 따라 프로젝트를 나열하고 순위를 매깁니다. 엄격한 배경 조사를 성공적으로 거쳐 프로젝트 팀에게는 금(Gold), 은(Silver) 또는 동(Bronze)으로 구성된 CertiK KYC 배지가 부여됩니다.

인플루언서 점수 리더보드는 Web3.0 인플루언서들을 영향력 점수에 따라 나열하고 순위를 매깁니다. 영향력 점수는 해당 인플루언서가 발포한 콘텐츠 및 온라인 영향력과 영향 범위를 나타냅니다. 이 리더보드는 Web3.0 콘텐츠를 주도하는 인플루언서를 찾고자 하는 사용자에게 유용합니다.

거래소 보안 감사는 중앙화 거래소 (CEX)에 대한 심사를 수행하도록 사용자에게 제공되며, 거래소가 제어하는 지갑 주소에 보유된 온체인 자산을 표시하여 예금 증명 검증을 위한 중요한 첫 단계입니다.

Skynet Alerts는 Web3.0 분야에서 러그 풀 및 악용 사례에 대해 실시간으로 알림을 제공하는 시스템으로 잠재적인 러그 풀 및 악용 사례를 탐지하고 발생 즉시 보고합니다.

스마트 머니 위저드(Smart Money Wizard)는 스마트 자산 지갑 분석기의 액세스 포인트입니다. 이를 통해 사용자들이 지갑 주소를 직접 검색하고 인기 지갑 검색, 스마트 머니 순위 및 유동성 거래 쌍 순위를 확인할 수 있습니다. 지갑 분석기는 지갑 주소에 대한 인사이트를 제공하며, 주요 지갑 특성을 표시하고 지갑 간 온체인 거래를 해석하는 것을 쉽게 만드는 기능으로, 지갑 관계 및 토큰 거래 활동을 시각화합니다.

지금 바로 Skynet for Community 플랫폼을 탐색해 보세요. Skynet 교육 허브에서 자세한 정보를 확인하고, Skynet을 활용하여 업무 조사 연구의 효율성을 높이는 마스터 클래스를 시청해 보시기 바랍니다.

SkyInsights는 종합적인 가상자산 컴플라이언스 및 리스크 관리 플랫폼입니다. 이 플랫폼은 지갑 검토, 실시간 거래 모니터링, 리스크 점수 및 사용자 맞춤형 알림 기능을 제공하여 금융 기관, 중소기업 및 가상자산 기반 플랫폼이 복잡한 준수 요건을 효과적으로 관리할 수 있도록 지원합니다.

Web3 보안 분야의 실전 경험을 바탕으로, CertiK은 SkyNode 서비스를 출시하여 블록체인 인프라 호스팅을 위한 신뢰할 수 있고 안전한 플랫폼을 제공합니다. 이 서비스는 노드 유지 관리, 종합 성능 모니터링 대시보드, 모의해킹, 강력한 재해 복구 기능 등 다양한 기능을 포함하고 있습니다. 현재까지 BNB, exSat, Kaia, Keep, XRP 사이드체인, Wemix 등 6개 이상의 블록체인 검증 노드가 CertiK SkyNode 플랫폼에 호스팅되고 있습니다.

CertiK이 지원하는 생태계: CertiK의 보안 서비스는 모든 블록체인 프로젝트에서 활용할 수 있습니다. 현재 CertiK이 협력하고 있는 생태계는 다음과 같습니다.

• Algorand
• Aptos
• Arbitrum
• Avalanche
• BNB Chain
• Cardano
• Cosmos
• Cronos
• Ethereum
• Fantom
• Ferrum
• Harmony
• IoTeX
• OKTC
• Optimism
• Polkadot
• Polygon
• Solana
• Terra
• TON
• Tron
• WEMIX
• zkSync