렛저 커넥트 킷 공급망 공격, 탈취용 악성코드로 디앱 이용자 지갑 털린 사건

2023년 12월 14일 렛저의 디앱 연결용 자바스크립트 라이브러리 커넥트 킷에 악성코드가 담긴 버전이 배포됐다. 이 라이브러리를 사용하는 수많은 웹 서비스의 프런트엔드가 해당 코드를 그대로 불러오면서, 사용자가 지갑을 연결하면 승인 요청이 가짜 서명으로 바뀌어 자산이 공격자 주소로 옮겨졌다. 악성 코드는 가짜 월렛커넥트 프로젝트를 통해 자금을 빼돌렸고 NFT와 토큰이 대상이 됐다. 보안업계는 하드웨어 지갑이 아니라 소프트웨어 연결 계층이 뚫린 사건이라고 설명했다. 처음 공개된 피해액은 약 48만 달러 수준이었다.

사건이 알려지자 스시스왑 CTO는 어떤 디앱도 이용하지 말라는 경고를 올렸고, 카이버 등 여러 프로토콜은 사고를 막기 위해 자사 프런트엔드를 일시 중단했다. 리네아 등 이더리움 생태계 프로젝트도 이번 침해가 EVM 전체에 영향을 줄 수 있다고 우려했다. 커넥트 킷은 메타마스크, 코인베이스 등 다수 서비스와 연동되어 있어 영향 범위가 넓었다. 개별 디앱은 코드에 문제가 없어도 외부 라이브러리 하나 때문에 이용자 자산이 위험해지는 구조적 약점이 드러났다. 이용자들에게는 서명 전 거래 내용을 직접 확인하라는 당부가 이어졌다.

렛저는 악성 버전을 확인해 제거했고 정상 버전으로 바꾸는 작업을 진행 중이라고 밝혔다. 다만 교체 후에도 이미 악성 파일을 캐시한 서비스에서는 일정 시간 위험이 남았다. 악성 파일이 활성화된 시간은 약 5시간으로 알려졌고 이 중 실제 자산 탈취가 일어난 시간은 약 2시간으로 분석됐다. 보안업체들은 공격 코드에 월렛커넥트 프로젝트 정보가 포함돼 있었음을 분석해 공개했다. 이 과정에서 피해액은 약 60만 달러까지 추산됐다.

렛저는 사고 원인이 전 직원이 피싱 공격에 속아 자신의 npm 계정이 탈취된 데서 비롯됐다고 밝혔다. 공격자는 이 계정으로 1.1.5, 1.1.6, 1.1.7 세 개의 악성 버전을 게시했다. 퇴사한 직원의 접근권한이 제때 정리되지 않았다는 점에서 내부 보안 절차 문제가 제기됐다. 렛저는 이후 접근 권한 통제를 강화하겠다고 설명했다. 공급망 공격이 소프트웨어 배포 계정 하나에서 시작될 수 있다는 점을 보여준 사례였다.

2023년 12월 20일 렛저는 이번 사고를 계기로 거래 서명 방식을 바꾸겠다고 밝혔고, 피해 이용자들에게 2024년 2월 말까지 자산을 되돌려주겠다고 약속했다. 업체는 사용자가 거래 내용을 장치 화면에서 정확히 읽고 승인하는 구조를 강화하겠다는 계획도 내놨다. 하드웨어 지갑의 핵심 장점이 소프트웨어 연결 단계 때문에 흔들릴 수 있다는 비판이 업계에서 나왔다. 렛저는 앞서 2020년 고객 정보 유출 사고도 겪은 적이 있어 신뢰 문제가 거론됐다.