암호화폐 주소 오염 공격 사례
한 암호화폐 사용자가 66일 전 피해자의 거래 기록에 심어진 유사한 지갑 주소로 자금을 이체한 후 약 10만 달러 USDT를 잃었습니다. Cyvers Alerts는 8월 11일, 피해자가 공격자가 제어하는 주소로 자금을 보낸 후 손실을 감지했다고 보고했습니다.
“우리의 시스템은 10만 달러의 손실을 초래한 주소 오염 공격을 감지했습니다.”
사기꾼은 약 66일 전 피해자의 지갑을 오염시켰고, 오늘 피해자는 무의식적으로 사기꾼의 주소로 자금을 보냈습니다. Cyvers에 따르면, 도난 발생 66일 전 공격자는 피해자의 지갑과 관련된 거래를 보냈습니다. 이 활동은 피해자의 정상적인 이체에 사용된 주소와 유사한 악성 주소를 지갑의 거래 기록에 배치했습니다.
주소 오염 공격의 메커니즘
피해자가 나중에 10만 달러 USDT 결제를 준비할 때, Cyvers는 사용자가 전체 목적지 주소를 비교하지 않고 역사적 기록에 의존했다고 밝혔습니다. 그 결과 자금은 의도한 수취인 대신 유사한 주소로 전송되었습니다. 주소 오염 공격은 공격자가 개인 키를 얻거나 스마트 계약을 손상시키거나 피해자의 지갑을 제어할 필요가 없습니다.
대신 이 방법은 블록체인 주소의 길이와 형식에 의존하며, 많은 지갑과 블록 탐색기는 주소의 첫 번째와 마지막 문자만 표시하여 단축합니다. 공격자는 수신자의 진짜 주소의 가시 부분과 일치하는 주소를 생성한 다음, 작은 또는 제로 가치의 이체를 사용하여 모조 주소를 목표의 거래 기록에 배치합니다.
피해자의 대응과 보안 권장 사항
Cyvers는 이번 사건의 손실을 피해자가 전체 주소를 확인하지 않은 것에 기인한다고 설명했습니다. 보안 회사는 사용자에게 거래 기록을 신뢰할 수 있는 주소록으로 취급하지 말고, 온체인 결제를 승인하기 전에 모든 문자를 확인할 것을 권장했습니다.
“사용자는 거래 기록에서 단축된 기록에 의존하기보다는 전체 지갑 주소를 비교할 것을 권장합니다.”
이체 후 공격자는 도난당한 USDT를 이더리움으로 교환했다고 Cyvers는 보고했습니다. 보안 회사가 경고를 발표했을 때 수신 지갑은 약 52.8 ETH를 보유하고 있었습니다. Cyvers는 이 변환이 도난당한 스테이블코인이 동결될 위험을 줄이기 위해 설계된 것으로 보인다고 밝혔습니다.
법적 대응과 암호화폐 사기 방지
미국 사용자에게 주소 오염은 법률 제정자들이 기관 간 조정을 통해 해결하고자 하는 디지털 자산 사기의 증가하는 범주에 포함됩니다. 상원 의원 Elissa Slotkin과 Jerry Moran은 2025년에 SAFE Crypto Act로 알려진 암호화폐 집행을 위한 기관 프레임워크 강화 법안을 공동 발의했습니다.
이 법안은 사용자가 잘못하여 되돌릴 수 없는 이체를 승인한 경우 환급 프로그램을 만들지 않습니다. 이전 보도에서 설명했듯이, 제안된 태스크포스는 탐지, 방해 및 기관과 산업 참가자 간의 협력에 중점을 둘 것입니다.
결론
Cyvers는 사용자에게 거래 기록에서 단축된 기록에 의존하기보다는 전체 지갑 주소를 비교할 것을 권장했습니다. 대규모 이체의 경우 보안 전문가들은 또한 별도의 통신 채널을 통해 목적지를 확인하고 나머지 잔액을 이동하기 전에 소액 테스트 금액을 보내는 것을 권장합니다.
