피해규모가 꽤 클듯

크립토 역사상 최악의 해킹 사건이 될 이번 바이낸스 해킹에 대해, 두 가지 이야기들이 X에서 존재하는 것 같아 정리해보았습니다.

1. EIP-7702는 해킹에서 어떠한 역할을 하는가

해커는 이더리움의 펙트라 업그레이드에서 도입한 EIP-7702를 활용해 바이낸스 핫 월렛에 악의적인 코드를 설치했고, 단일 트랜잭션을 통해 핫 월렛에 있는 대부분의 자금을 인출하였습니다.

이번 바이낸스 핫 월렛 뿐만 아니라 EOA에 대한 해킹 사건에는 항상 EIP-7702가 애용되는데, 이는 EIP-7702가 편하기 때문이지, EIP-7702 자체가 취약하기 때문이 아닙니다.

EIP-7702는 EOA에 코드를 설치하여, EOA를 스마트 계정처럼 사용할 수 있도록 만들어줍니다. 가장 대표적인 사용처는 배치 트랜잭션(batch transaction)으로, 한 번에 여러 개의 트랜잭션을 보낼 수 있도록 하는 기능이죠. 예를 들어 스왑을 하려고 할때 EVM에서는 스왑 전 토큰 사용을 승인하는 스텝이 존재하는데, 이 기능을 활용하면 승인과 스왑을 한 트랜잭션 안에 수행할 수 있습니다. 메타마스크, OKX, Ambire 등 EIP-7702을 지원하는 지갑을 쓰시는 분들 중에는 이 기능의 혜택을 받은 분들도 계시리라 생각됩니다.

다만 이 기능은, 지갑 키를 탈취한 해커한테도 유용하게 사용될 수 있습니다. 이번 바이낸스 해킹에서도 EIP-7702가 없었다면 해커는 모든 자산마다 최소 한 개의 트랜잭션을 날렸어야 했겠지만, 7702를 활용해 모든 자산을 한 트랜잭션으로 옮길 수 있었죠.

일반적으로 지갑에는 임의의 코드를 EIP-7702로 설치할 수 있는 기능이 존재하지 않으며, 바이낸스도 마찬가지였을 것이기 때문에, 이런 해킹은 지갑 키를 탈취한 케이스에만 유효합니다.

EIP-7702 도입 당시 ‘해커도 이 기능을 유용하게 쓸 수 있지 않냐’며 도입을 반대했던 여론도 있지만, 큰 관점으로 봤을때 전반적인 계정 추상화 과정에서 이런 부작용은 피할 수 없었던 걸로 생각됩니다. 지갑 입장에서 키를 탈취한 공격자와 실제 주인을 구분할 방법은 없으니까요.

이더리움의 다다음 업그레이드에서 EIP-8141이 도입되면, 이러한 상황이 더 나아질 수도 있지 않을까 싶습니다. 예를 들어, EIP-8141에서 파생된 EIP-7906은 트랜잭션의 실행 결과가 특정 조건을 만족시키지 않는다면 전체를 되돌리는 기능을 제공합니다. 만약 거래소 핫 월렛이 이를 활용하여 ‘특정 금액 이상인 이상 출금을 판단하는’ 기능을 갖춘 스마트 어카운트 기반으로 운용된다면, 만약 키가 해킹되더라도 그 영향을 제한할 수 있지 않을까 싶네요.

2. 아베에는 bad debt가 쌓였는가

해커는 탈취한 자금의 일부를 아베에 USDT 형태로 예치하고 검열 불가능한 자산인 ETH를 빌려갔습니다. 이를 두고 ‘아베에 bad debt가 쌓인 것 아니냐’해는 말들이 많은데, 이번 사건은 아베에 큰 영향이 있지 않은 것으로 보입니다.

대출 프로토콜에 Bad debt가 쌓인다는 것은, 프로토콜이 상환 가능한 것보다 많은 돈을 빌려줬을때 성립하는 이야기입니다. 그런데 이번 사례에서 해커가 아베에 맡긴 돈은 전부 정상이었죠. 해커가 돈을 값지 않더라도, 해커의 포지션은 ETH 가격 상승 시 청산을 통해 정상적으로 프로토콜에 흡수될 수 있습니다. 즉 이번 사건에서 대출자가 정상적으로 본인의 돈을 인출하지 못하게 되는 상황이 일어날 것으로 보이진 않습니다.

이는 이전 KelpDAO 해킹과는 사뭇 다른 모습입니다. 해당 사건에서는 무한 민팅된 자산을 담보로 잡고 돈을 빌렸기 때문에, 해당 자금을 청산하더라도 빌려준 돈만큼의 자금을 회수하지 못하는 bad debt가 발생할 수 있었죠. 결국 디파이 프로젝트들이 돈을 모으고 해커의 포지션을 강제청산하는 Defi United 프로그램을 진행한 것이었구요.

바이낸스의 말에 따르면 해킹 자금의 절반 이상이 동결되었으며, 사용자 자금은 자체 자금과 비상 기금 등으로 복구가 가능하다고 합니다.

근래 웹2와 웹3를 가리지 않고 수많은 소프트웨어 취약점들과 해킹 사건들이 터져나오고 있습니다. 각자 개인 지갑 및 기기들의 보안을 다시 한번 점검해보시기를 바랍니다. Stay safe

드러켄밀러가 남긴 이 짧은 트윗 하나가 수많은 사람들의 암호화폐에 대한 편견을 바꿀지도 모르겠음.

중요한 건 그가 투자했다는 사실보다, 하이퍼리퀴드에서 거래될 24시간 무기한 선물을 자신의 투자 전략에 활용하고 싶다고 밝힌 것.

암호화폐가 단순한 투기 자산을 넘어, 전통 금융의 실질적인 도구가 되어가는 순간을 보고 있는 것 같음.

https://x.com/gorochi0315/status/2115841649486024774?a=J9oXurnWe_ucoVv98GE&s=19

🟢 비트코인 ETF도 해킹으로부터 안전하지 않다

바이낸스 해킹 이후 하드웨어 월렛 Onekey의 창업자 Yishi가 작성한 글

-Bybit 사례처럼 거래 승인화면 조작시 개인키를 훔치지 않아도 탈취가 가능함

-IBIT의 비트코인 보관은 81.5만 BTC 대부분이 Coinbase에 집중되어 있는데 인프라 사고 발생시 펀드 전체에 영향을 줄 수 있음

-만약 Coinbase가 해킹 사고에 노출될 시 보험은 3.2억 달러 규모에만 적용되며 최종손실은 IBIT 주주가 부담할 수 있음

-또한 BTC는 탈중앙화 되어 있는 만큼 USDT, USDC와 달리 발행사가 동결할 수 있는 기능이 없음

-독립적인 오프라인 보관 체계와 검증이 꼭 뒤따라야함

https://x.com/ohyishi/status/2116043031896072472

바이낸스도 당한 소름돋는 요즘 해킹 수법

1. 바이낸스가 10/29에 63.4억 달러(약 8조 원대) 규모를 해킹당함 FBI는 북한 소행이라고 발표함

2. 시작은 6월 엔지니어 A가 코딩 도구를 받으려고 검색하다 조작된 설치 파일을 받음

보안팀이 잡아서 기기를 바꾸고 인증 정보도 교체했지만 A와 동료들이 누군지는 이미 해커에게 노출됨

3. 9월엔 엔지니어 B가 정상적인 구직 플랫폼에서 가짜 회사의 연락을 받음 영상 면접을 두 번이나 보면서 신뢰를 쌓았고
마지막에 과제라며 악성 코드 저장소를 회사 컴퓨터에 받게 함

4. 설치하는 순간 백신도 못 잡는 신종(0-day) 악성 코드가 돌기 시작함

5. 10/20 해커는 B의 컴퓨터에서 사내 AI 도구를 이용해 엔지니어 A와 C까지 장악함 A의 컴퓨터에서는 컨테이너 배포 권한 토큰도 찾아냄

6. 10/29 C의 컴퓨터로 접속해 A의 인증 정보로 컨테이너를 띄우고 공격 스크립트를 실행함

7. 핵심은 가짜 면접임 진짜 면접 보는 것처럼 진행하다가 악성 코드를 설치하게끔 유도하는 것임 ㄷㄷ

8. 바이낸스는 올해만 북한 연계로 의심되는 공격을 57건 막았는데 가짜 면접, 개발 도구로 위장한 악성 코드, 가짜 화상회의 앱이 주 수법이었음

9. 형님들도 이것만은 지키십쇼 면접 과제라며 받은 코드는 회사 컴퓨터에서 절대 실행하지 않기!

개발 도구는 검색 광고 말고 공식 사이트에서만 받기

처음 보는 화상회의 앱 설치하라고 하면 일단 의심하기

ㅋㅋㅋㅋ... 나도 이더리움 기반의 어느 디파이 프로젝트에서 오퍼가 왔던게 생각남...

화상면접 본적이 있는데... 처음엔 google meet으로 하다가 갑자기 과제 진행을 위해서 처음보는 화상전화 서비스 URL을 공유해줌.

혹시 몰라, 클릭하기 전에 그 서비스를 검색해봤는데, 공식 트위터 계정도 있고, 팔로워가 만명이 넘었음.

안심하고 접속하려다가...

아무래도 이상해서, 트위터 계정의 글을 하나씩 봤음. 역시나 글들이 모두 인위적이고 댓글도 없었고... 마치 어떤 목적을 위해 만들어진 계정같았음...

지금 생각해보면 그 서비스도 가짜였던 것같음. 그 사이트에 나오는 거래량과 x 게정 조차... (오래전 일이라 이름도 기억이 안남)

난 다행히 별 문제없이 넘어갔지만... 일반적인 개발자들의 행동 패턴을 미리 계산했다는 것을 알게됨...

이제 AI 덕에 실제와 유사한 장치나 환경을 만들기 아주 쉬워짐. 신뢰할 수 있는 서비스가 아니라면... 오픈소스여도 사용해선 안됨.

[속보] 정부, 결국 가상자산 과세 2년 추가 유예… 2020년 도입 후 4번째

- "제도적 미비, 디지털자산법 제정 필요"
- 2029년부터 과세 위해 협의체 구성
- 3년 손실 이월공제 도입도 추진

출처

#국내 #가상자산

이제 AI가 대신 전화도 걸어줌다 ㄷㄷ

살다 보면 전화로 해야 할 일이 굉장히 많은데
요즘 전화하기 싫은 분도 많고
상대가 받을 때까지 기다리는 것도 싫은 분도 많으시쥬

이제 이렇게 된다고 함다

1. 인터넷 계약이 3일 뒤에 갱신된다는 알림이 옴
2. 사용자가 "취소해 줘. 할인 제안해도 받아들이지 마"라고 시킴
3. Grok Bot이 직접 인터넷 회사에 전화함
4. 상담원이 "1년 10% 할인해 드릴게요"라고 붙잡음
5. Grok Bot이 "고맙지만 Starlink 쪽이 더 싸요"라고 거절하고 취소 완료
6. 사용자에게 "취소 끝났어"라고 보고

ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

저도 Dots로 등본떼는거나 서류 제출관련한거 다 시킴. 필요할때 로그인만 해주면됨.

사실상 솔라나 재단에서 출시한 Leap가 욕을 먹고 있음.

Aptos에도 Aptos 재단이 출시한 Decibel 때문에 Merkle trade가 망했다는 얘기가 돌았음...

Solana의 Leap가 Jupiter로 라우팅하는 프론트엔드 트레이딩 앱이라고 하지만... Fomo, Axiom, Phantom 등 과 경쟁해야하는 상황이라... 커뮤니티로 부터 욕을 좀 먹을 듯...

재단은 생태계를 키우는데 집중해야지, 생태계 플레이어들과 경쟁하면서 돈을 버는건 아닌것 같은데...

출처

참고로 Merkle trade는 해시드로부터 투자받고 국내 Rust 개발자들이 모여서 만든 Aptos기반 Perp임.

난 AI시대가 전략컨설팅업계에 엄청난 위기로 작용할 거라고 생각하는데, 2000년대 이후로는 대기업(고객사)들의 인적자원 풀이 엄청 수준이 올라가서 사고와 논리의 우위를 보여주기 어려워서 한 번 위기가 왔음.

그래도 버틴건 글로벌네트워크였음. 뭘 알아보는 게 누가 하느냐에 따라 질이 다르기 때문.

결국 컨설팅은 Best Practice를 파는 사업임. 자기들이 보고 듣고 한 암묵지를 형식지로 잘 보존 관리해서 이걸 다른 국가 다른 시장 다른 환경에 구겨넣어서 고갱님 요거 괜찮죠? 하는 산업인건데,

문제는 이걸 한 40-50년 해보니까 최근에는 존나 안맞음. 얘네 잘못이라기보다는 세상이 너무빠르게 움직여서 그런 것.

https://x.com/Ryan_HS_Song/status/2119953641218183565

한때 엘리트들만 간다던 컨설팅펌도 이제 거품...

이제 웬만한 정보는 공개되고 있고, AI로 쉽게 접근하고 있음. 정보 격차가 빠르게 줄어드는 셈... 그들이 실무자만큼의 깊이와 현장 맥락은 없다는 게 그대로 드러나고 있다고 생각함.

결국 희소해진 건 정리된 지식이 아니라 직접 해본 사람의 암묵지가 아닐까...

이니시아 2차 해킹

https://x.com/initia/status/2120050740626628972?a=ABuZ4ZvxkHZw1ONKjc8&s=19

얼마전에 나름 유명한 IT회사의 컨퍼런스에서 프론트 개발자분이 '개발자는 AI와 상관없이 여전히 필요하고, 좋은 소스코드를 짜는 능력이 필수다' 라고 하던데...

좋은 소스코드를 AI가 다 짜준다고요... 아키텍처 설계부터 코딩까지 모두다요...

🤔AI가 끝내버릴 수천 년의 능력주의

1. 최근 세무사 수석, LEET 만점자를 둘러싼 AI 안경 부정행위로 온 커뮤니티가 불타고 있음. 이에 대한 예방책과 대응법 논의도 활발함. 사실 이 사태의 진짜 본질은 다른 곳에 있음. 바로 AI가 인간의 지능을 압도하는 시대에도, 이런 시험으로 사람을 평가하고 서열화하는 게 얼마나 유효한가 하는 지점임

2. 수능의 독해력과 문제해결 능력, LEET의 논리력과 추론 능력, 각종 전문직 시험까지. 지금의 시험제도는 뛰어난 지능이 희소하고, 그것이 실제 성과로 이어진다는 전제 위에 세워짐. 우리 사회는 그 우열을 가려 교육 기회와 직업적 권한, 경제적 보상까지 배분해왔음

3. AI는 그 전제를 흔들고 있음. 인간이 수년간 훈련해서 얻는 능력을 AI가 훨씬 저렴하고 뛰어나게 딸깍 제공한다면, 그 능력만으로 높은 보상을 받을 수 있을까? 시험 고득점이 실제로 얼마나 더 큰 가치를 만들어내는지부터 불분명해지는 것임

4. 계산기가 발명된 세상에서 전 국민이 구구단 암기에 몇 년씩 매달리고, 누가 암산을 더 빠르게 하느냐에 따라 좋은 자격과 권리를 배분한다고 상상한다면? 엄청난 블랙코미디지만, AI가 지적 노동을 대체할수록 지금의 시험제도 역시 이런 모습에 가까워질 수 있음

5. 전문직의 힘은 어디서 나올까? AI가 세법 해석을 더 잘하더라도, 법적 권한은 면허에서 나옴. 능력의 희소성이 약해져도 국가가 부여한 라이선스의 희소성은 유지됨. 안전과 책임을 보장할 자격은 여전히 필요함. 다만 지식과 문제풀이 능력으로 업무 권한을 배분하던 기존 방식은 정당성을 잃어감

6. AI가 모든 인간의 경쟁우위를 없애는 건 아님. 머스크나 올트먼 같은 기업가는 확보한 인프라와 자본력에 AI를 더해 훨씬 큰 성과를 낼 수 있음. 이미 기업, 지분, 기술을 소유한 이에게 AI는 강력한 지렛대가 됨. 지능이 흔해진다고 부와 권력까지 골고루 돌아가지는 않으며, 격차는 더 벌어질 수 있음

7. 그렇다면 AI 활용 능력이나 비판적 사고, AI 감독 역량을 시험하면 해결될까? 과도기까지는 유효할 수 있음. 하지만 AI는 감독과 검증을 포함한 모든 일을 인간보다 압도적으로 잘해낼 것이기 때문에, 인간에게 남은 경쟁력을 찾아 시험을 바꾸는 것도 한계가 있음

8. AI를 개발하고 투자한 사람의 보상은 필요함. 그런데 자본 없이 출발한 사람도 능력과 노동으로 자산을 쌓을 수 있어야, 노력하면 올라갈 수 있다는 약속이 성립함. 일해서 돈을 모으는 길은 좁아지고 이미 가진 자산은 더 빠르게 불어난다면, 그 격차를 개인의 능력/노력으로 설명하기 어려워짐

9. 전문직 등 자격시험은 지식시험보다 실제 업무의 안전성과 신뢰성, 결과에 대한 법적 책임을 중심으로 재설계해야 함. 더 큰 기여에는 더 큰 보상을 주되, 생존의 기본 몫까지 생산 능력을 입증한 사람에게만 돌아가게 해서는 안 됨. 생산자본에 대한 폭넓은 지분 참여나 배당처럼, 노동소득에만 기대지 않고도 자기 몫을 확보할 경로가 필요함

10. AI '덕택에' 취업이 어려워지고 전문직이 대체되는 건(=노동의 해방) 변화의 극히 일부임. 능력을 키워 직업을 얻고, 노동으로 생계를 유지하며, 성과에 따라 부와 지위를 배분하던 인류의 오랜 사회 구조가 무너지고 있음. AI 특이점은 직업을 뒤흔드는 수준이 아니라, 문명의 작동 원리를 바꾸고 새로운 사회를 탄생시키고 있음

✍️AI가 인간의 노동 해방을 넘어, 모든 의사결정에서까지 해방시킨다면, 그건 궁극의 자유일수도 문명의 주도권과 자유의지의 상실일수도

AI로 인해 지식의 가치가 급격하게 떨어지면서, 능력이 크게 의미없어지고 있는 것같음...

그니까 열심히 공부하고 면허를 따고, 일을 잘하더라도... 큰 부를 얻을 수 있는 기회가 더욱 없어지고 있다고 생각함.

오히려 지금은 자본이 더 큰 자본을 벌어오는 구조가 더 강해지고 있는 듯...

AI로도 어쩔 수 없는 인간의 타고난 체형과 외모가, 결국 자신의 가치를 높일 유일한 무기가 되지 않을까...

더 요약.

잘생기고 이쁜게 더 중요해질듯...