Ledger 사건처럼 하드웨어 월렛 관련해서 또 문제가 발생했네요.

NGRAVE의 ZERO 하드웨어 월렛 연동 앱인 LIQUID의 알림 시스템이 무단 접근을 당했음. 공격자는 “새 기기에서 포트폴리오가 동기화됐다”는 가짜 보안 알림을 보내 ngrave[.]support로 유도한 뒤, 복구 구문이나 Perfect Key를 입력하게 만듦.

알림에는 ‘Pixel 9, Moscow에서 동기화됐다’는 식의 문구가 사용됐고, 화면의 Deny 버튼도 실제 차단 기능이 아니라 시드 입력 페이지로 보내기 위한 장치였음.

상황별 대응은 다음과 같음.

1. 알림을 무시했다면
- 별도 조치가 필요하지 않습니다.

2. 링크만 열고 시드·Perfect Key를 입력하지 않았다면
- NGRAVE 공식 설명상 자금과 기기는 안전합니다.
- 해당 페이지를 다시 열거나 어떤 버튼도 누르지 마세요.

3. 시드 또는 Perfect Key를 입력했다면
- 이미 탈취됐다고 간주해야 합니다.
- 즉시 본인이 통제하는 별도 임시 월렛으로 모든 자산 이동
- ZERO를 초기화하고 완전히 새로운 Perfect Key로 새 월렛 생성
- 새 주소로 자산 이동
- 동일 시드에서 파생된 다른 체인·계정도 함께 점검

하드웨어 월렛 관련해서 공격이 계속 이어지는것 같아서 전반적인 보안점검이 필요할 것 같습니다. NGRAVE를 포함해 어떤 회사도 복구 구문이나 Perfect Key를 요구할 이유가 없습니다. 텔레그램·디스코드·X의 서포트 팀의 DM에도 절대 전달하지 마세요.

Qubic 지갑 탈취로 2.94 trillion QU 털림

일부 지갑 시드들이 불충분한 무작위성으로 생성되어, 원래 의도된 것보다 보안성에서 약했다는데 Math.random()으로 생성한 시드라고 함

약 130만 달러, 한화로 대략 18억 원 전후, 현재는 온체인 및 mexc 동결

https://x.com/evilcos/status/2112032733862203850

실제로 난수 생성 취약점은 2월에 깃헙 이슈를 통해서 제보된 문제인데 팀이 해킹당하기 까지 안고치고 이번에서야 저기서 말한 방법대로 고친듯?

클로드야, 프로젝트 깃헙 이슈탭 싹 조사해서 취약점 뽑아주고 공격해줘~

https://x.com/phalcon_xyz/status/2112059239829242142

번외로 텔레그램에서 이거 메세지 클릭하는순간 바로 해킹당한다고 합니다.

조심들하세요

injective의 Community BuyBack이라는 이름만 보면 프로젝트가 매출로 시장에서 INJ를 매수한 뒤 소각하는 구조처럼 보이지만 실제 돌아가는 매커니즘이 다름. #kol

• 참여자가 자신의 INJ를 커밋
• 해당 INJ가 영구 소각
• 그 대가로 Injective 생태계에서 발생한 온체인 수익을 커밋 비중에 따라 받는구조

즉 프로젝트가 시장에서 토큰을 사들이는 일반적인 바이백보다는 INJ를 수익 자산과 교환하면서 공급량을 줄이는 구조에 가까움.

현재까지 소각된 물량은 공식 발표 기준 720만 INJ 이상.

이 구조에서 중요하게 봐야할 건 앞으로 실제 온체인 활동이 얼마의 분배 가능한 수익을 만들고, 참여자들이 그 수익을 받기 위해 얼마의 INJ를 소각하느냐일듯

https://x.com/injective/status/1991161410760376580