트러스트 월렛 해킹…브라우저 확장 프로그램 취약점으로 700만 달러 탈취

크립토 지갑 서비스 '트러스트 월렛'에서 약 700만 달러(약 101억 1,000만 원) 규모의 사용자 자금이 도난당한 해킹 사건이 발생했다. 공격자는 지갑의 크롬 확장 프로그램 코드를 악의적으로 조작했으며, 트러스트 월렛 측은 즉시 피해 사실을 인정하고 사용자들에게 전액 보상을 약속했다.

피해는 트러스트 월렛 브라우저 확장 프로그램의 2.68버전에 집중됐다. 해당 버전에는 해커가 삽입한 악성 코드가 포함돼 있었으며, 이를 통해 지갑에 저장된 모든 비밀 복구 문구(니모닉 구문)를 탈취한 것으로 드러났다. 회사는 문제 발생 직후 이용자들에게 확장 프로그램 사용 중지를 권고하고, 보안이 개선된 2.69버전으로의 업데이트를 요청했다. 모바일 앱 및 다른 버전은 영향을 받지 않았다.

사건이 알려진 것은 온체인 보안 분석가 잭엑스비티(ZachXBT)가 텔레그램 채널을 통해 여러 이용자들의 피해 제보를 공유하면서다. 그는 크롬 확장 프로그램 업데이트 직후 몇 시간 만에 수백 개의 지갑에서 자산이 빠져나갔다고 경고했고, 이는 트러스트 월렛 측의 공식 확인으로 이어졌다.

해킹의 구체적인 방식은 공급망 공격 형태였다. 블록체인 보안 기업 슬로우미스트(SlowMist)는 “2.68버전 업데이트에는 악의적으로 삽입된 코드가 포함되어 있었고, 이는 모든 지갑의 니모닉 구문을 반복 요청한 뒤 해커가 제어하는 서버로 전달했다”고 분석했다. 이 과정에서 공격자는 정상적인 분석 도구로 위장된 수단을 이용해 정보 탈취를 수행한 것으로 보인다.

이와 유사한 보안 우려는 과거에도 있었다. 2023년에는 하드웨어 지갑 업체 레저(Ledger)의 CTO 샤를 기예메(Charles Guillemet)가 트러스트 월렛의 크롬 확장 프로그램에서 심각한 해킹 취약점을 발견했다고 밝힌 바 있다. 당시엔 규모 있는 공격 전에 문제를 사전 탐지했지만, 이번에는 실질적인 금전 피해가 발생했다.

바이낸스 창업자 창펑 자오는 자신의 X 계정을 통해 “현재까지 약 700만 달러 규모의 피해가 발생했으며, 트러스트 월렛이 전액 보상할 예정”이라며 “사용자 자금은 안전하게 보호(SAFU)될 것”이라고 직접 피해 이용자들을 안심시켰다. 트러스트 월렛은 2018년 바이낸스에 인수된 이후 대표적인 셀프커스터디 지갑으로 알려져 있다.

이번 사고는 암호화폐 지갑 중에서도 특히 브라우저 기반 확장 프로그램이 외부 공격에 얼마나 민감한지를 보여준다. 사용자의 보안 인식과 개발사의 철저한 코드 검증 없이, 누구든 손쉽게 피해자가 될 수 있는 환경임이 다시 한 번 확인됐다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.