트러스트 월렛 확장 해킹 피해 97억 원...보상 검증 지연, 크롬 배포 오류 겹쳐

트러스트 월렛 크롬 확장 버그로 97억 원 상당 해킹 피해 보상 절차 지연

트러스트 월렛 브라우저 확장 프로그램 해킹 피해자들에 대한 보상이 예기치 않은 기술적 문제로 다시 지연됐다. 지갑 제공업체인 트러스트 월렛은 최근 크롬 웹스토어 버그 탓에 확장 프로그램이 일시적으로 삭제됐고, 이에 따라 핵심 검증 기능 업데이트가 차질을 빚었다고 밝혔다.

CEO 에오윈 첸에 따르면 새 버전의 확장 프로그램은 피해자들이 지갑 소유권을 증명하고 보상 청구를 제출할 수 있도록 돕는 기능을 포함하고 있었지만, 크롬 웹스토어 배포 과정에서 오류가 발생하며 출시가 중단됐다. 그는 "구글 측이 문제를 인지했고 내부적으로 문제를 확대 처리 중"이라며, 허위 확장판을 조심하라는 경고도 함께 전했다.

성탄절 해킹, 악성 확장을 통한 대규모 탈취

이번 기술적 문제는 지난해 12월 말 발생한 보안 사고의 여파다. 트러스트 월렛은 12월 25일, 크롬 확장 프로그램 버전 2.68이 내부 검수 없이 악성 코드가 숨겨진 상태로 배포됐음을 공식 인정했다. 해당 악성 확장은 사용자의 지갑 데이터와 시드 구문(복구 문구)을 탈취해 총 2,520개 지갑에서 약 850만 달러(약 122억 6,950만 원) 상당의 자산을 빼돌렸다.

트러스트 월렛은 영향을 받은 사용자 범위를 명확히 했다. 피해자는 12월 24일부터 26일 사이에 버전 2.68을 설치하고 지갑에 로그인한 사용자들로 제한된다. 모바일 앱 사용자나 해당 시기를 벗어나 앱을 설치했거나 다른 버전을 사용한 이용자는 영향을 받지 않았다.

보안 전문가들은 해당 악성 코드가 정상적인 소프트웨어처럼 위장되어 크롬의 심사를 통과했으며, 사용자가 시드 구문을 입력하자 즉시 여러 블록체인 상에서 자산 유출이 발생했다고 밝혔다.

보상 시스템 구축, 검증 도구 업데이트는 계속 지연

트러스트 월렛은 공격의 근원을 지난해 11월 드러난 공급망 공격 ‘Sha1-Hulud’로 보고 있다. 이는 여러 기업들의 개발 도구가 해킹된 사건으로, 공격자가 깃허브 보안 정보와 크롬 API 키를 훔쳐 공식 인증 없이 악성 확장을 배포할 수 있었던 배경이 됐다.

결과적으로 트러스트 월렛은 악성 버전을 제거하고 새 버전 2.69로 롤백했으며, 유출된 배포 권한을 비활성화했다. 이어 12월 29일부터 피해자 지원을 위해 청구 절차를 개시했다. 사용자는 지갑 주소, 거래 해시, 신원 정보를 공식 지원 포털에 제출해야 한다.

하지만 접수된 청구가 5,000건이 넘는 반면, 실제 피해 지갑은 훨씬 적은 것으로 드러나며 중복 및 허위 청구에 대한 우려가 제기됐다. 바로 이 문제를 해결하기 위한 추가 검증 기능이 다음 업데이트에 포함됐으나, 크롬 웹스토어의 문제로 여전히 제공되지 못하는 상황이다.

지갑 해킹 증가세, 사용자 각별한 주의 필요

이번 사태는 암호화폐 지갑 해킹이 얼마나 치밀하게 벌어질 수 있는지를 단적으로 보여준다. 실제로 최근 분석에 따르면 개인 지갑 해킹 사고 비중이 계속해서 증가하고 있으며, 전체 암호화폐 도난 사건 중 상당수를 차지하고 있다.

사용자 입장에서는 공식 소스 외의 프로그램 설치를 피하고, 시드 구문을 확장 프로그램이나 온라인 환경에서 절대 입력하지 않는 등 보안 수칙을 철저히 따르는 것이 중요하다는 경고가 이어지고 있다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.