코덱스 리셋

그러니까 오늘 PHP에서 로그인조차 하지 않고 서버에서 마음대로 코드를 실행할 수 있는 치명적인 취약점 두 개가 발견됐다는 거다. 이것만 해도 심각한데, 더 큰 문제는 보안 패치가 나오기도 전에 취약점의 구체적인 내용이 유출됐다는 것이다.

게다가 이 취약점은 워드프레스, 미디어위키, 마젠토, 줌라, 라라벨에서도 악용할 수 있다. 사이버 보안 업체 센시스(Censys)에 따르면, 현재 약 150만 대의 서버가 아직 수정 패치조차 없는 취약 버전을 사용하고 있다고 한다.

상황이 얼마나 심각했냐면, 미국 국가안보국(NSA)이 "시스템을 오프라인으로 전환하라"고 경고했고, FBI도 똑같은 경고를 내놨다. 미국 사이버보안·인프라보안국(CISA), 영국 정부, 유럽연합의 CERT-EU까지 모두 시스템을 오프라인으로 전환하라고 권고했다.

심지어 일본 총리까지 직접 나섰다. 새벽 5시 55분, 무려 4,880만 명의 팔로워를 대상으로 시스템을 오프라인으로 전환하라는 게시물을 올린 것이다. 그냥 일본 정부 관계자도 아니고, 현직 총리가 직접 말이다.

그러자 정말로 다들 시스템을 오프라인으로 전환하기 시작했다.

네덜란드 국가사이버보안센터는 자기네 웹사이트부터 내려버렸고, 네덜란드 의회와 로테르담 항만의 시스템도 오프라인으로 전환됐다. 핀란드, 프랑스, 덴마크 정부도 정부 웹사이트들을 하나둘씩 내리기 시작했다.

위키피디아가 먹통이 됐고, Archive.org도 접속이 끊겼다. 아사나(Asana), GOG, Something Awful까지 다운됐다. 무슨 이유에서인지 빈 대학교의 웹메일 서비스까지 중단됐다.

그런데 이건 PHP에서 벌어진 일만 이야기한 거다.

깃랩(GitLab)에서도 CVSS 점수 10.0짜리 취약점이 공개됐다. CVSS는 보안 취약점의 심각도를 평가하는 지표인데, 10.0은 받을 수 있는 최고 점수다. 더 황당한 건 이 취약점이 2014년부터 존재했다는 것이다. 무려 12년 동안 모든 자체 호스팅 GitLab 서버에 영향을 미칠 수 있었던 셈이다.

거기서 끝이 아니다.

LiteLLM 1.107.0 버전은 공격자에게 장악돼 배포 패키지 전체에 인증정보 탈취 프로그램과 원격접속 트로이목마가 심어졌다. 파이썬 휠(wheel) 패키지뿐 아니라 latest 태그를 포함한 도커 이미지에도 악성코드가 들어갔다. 심지어 해당 라이브러리를 불러올 필요조차 없었다. 그냥 설치하는 것만으로도 감염될 수 있었다. 올해 들어 벌써 두 번째다.

Railway에서는 누군가 환경변수에 접근한 사실이 드러나면서 플랫폼 전체의 배포가 일시 중단됐다. 이제 사용자들은 Railway에 저장해 둔 모든 비밀키와 인증정보를 새것으로 교체해야 하는 상황이다.

TiDB Cloud는 공격자가 탈취한 인증정보를 이용해 거의 한 달 동안 내부 시스템을 돌아다닌 사실을 인정했다. 한 해킹 조직은 무려 10.6테라바이트의 데이터를 훔쳤다고 주장하고 있다.

Zeabur는 두 달 사이 두 번째 보안 침해 사고를 당하더니, 아예 서비스를 종료하기로 했다. 서비스 몇 개를 중단하는 게 아니라, 회사 자체가 문을 닫는다는 것이다.

Node.js에서도 원격 코드 실행 취약점과 TLS 보안 우회 취약점을 수정하는 패치가 나왔다. CISA는 Plex의 취약점이 실제 공격에 활발히 악용되고 있다고 경고했다.

누군가는 토르(Tor) 네트워크의 출구 릴레이 300개 이상을 장악해 SSH 비밀번호를 훔쳤다. SafePay 랜섬웨어는 600곳이 넘는 주요 기반시설 관련 기관을 공격했다. 인도 최대 은행은 데이터 유출 사고를 신고했다.

그리고 일본은 지난 10월 9일부터 사이버 공간에 공식적인 비상사태를 선포한 상태다. 그러고 보니 일본 총리가 새벽 5시 55분에 직접 경고문을 올린 것도 이해가 간다.

아, 그리고 하나 더 있다.

eMudhra라는 인증기관(CA)이 있다. 지금까지 6,000만 개가 넘는 디지털 인증서를 발급한 회사다. 이 회사가 하는 일이 뭐냐면, 웹사이트가 실제로 자신이 주장하는 그 웹사이트가 맞는지 증명해 주는 것이다.

그런데 이 회사가 사용한 개인키 중 하나가 4였다고 한다.

원래 이런 개인키는 100자리가 넘는 무작위 숫자처럼 사실상 추측이 불가능해야 한다.

그런데 4였다.

그냥 숫자 4.

다른 개인키들도 66, 237 같은 숫자였다고 한다.

아무튼, 오늘은 수요일이다.

https://x.com/fiveoutofnine/status/2113045722744717360

다찢었다..

알트레이어는 암살심어놨었는데 어제 급등때 조용하더니 급락때 김프가 끼네용

지금은 반대로 사고싶긴하네용

크립토 지이이이인짜 망했나봐요 할게없네
할거없으면 잡코 상폐라도 좀 더 시켜줘

[빗썸, VVIP에 명품·해외여행 퍼주고 ‘판촉비’ 처리 도마…법인세 축소 의혹]
국내 2위 디지털자산거래소 빗썸이 월 거래금액 1000억원 이상의 VVIP 회원들에게 해외여행과 명품 선물 등 고가의 혜택을 제공하면서 관련 비용을 판매촉진비(판촉비)로 처리해 법인세 부담을 부당하게 줄인 것 아니냐는 의혹이 제기됐다고 더퍼블릭이 전했다. 빗썸은 VVIP 회원에게 제공한 혜택 관련 비용을 한도가 없는 판촉비로 처리해 왔는데, 국세청은 세법상 기업 업무추진비(접대비)에 해당하는 것으로 보인다는 입장이다. 멤버십 회원에게는 분기마다 골프‧요트‧호텔‧해외여행‧명품선물 등의 혜택이 제공되는데, 해외여행은 1500만원, 럭셔리 플래그십 스토어 쇼핑 감사 선물 1000만원, 프로골퍼 필드 레슨 800만원, 요트투어 500만원, 골프 라운드와 명절선물은 각 300만원 상당이다.
https://coinness.com/news/1172721
원문 보기: https://www.thepublic.kr/news/articleView.html?idxno=323474

들으셨나보네요 camp 상폐

해킹당했다...5만1천불 피해금액 더잇을듯. 미치겟네. 디파이 출금까지해서 빼감. 컴퓨터털린듯 ㅠㅠㅠ어쩌죠 ㅠ

IRYS 현선 잡아놨다가 ADL 걱정되어 놔줬네요. 잘가..

이니시아 익스플로잇 당한거같은데 애매함 잘 모름

네, 공격자가 원래 없던 토큰을 만들어냈다**는 뜻이에요. 위조지폐를 찍어서 진짜 돈으로 바꿔 간 것과 비슷해요.

## 원래는 어떻게 돼야 하나
Initia 같은 Move 체인에서 토큰은 정해진 발행처만 만들 수 있어요. 예를 들어 iUSD는 iUSD 발행 기능으로만 새로 생기고, 그 밖에는 누군가에게서 받아야만 내 지갑에 생겨요. 이게 체인이 지켜야 하는 기본 규칙이에요.

## 공격자가 한 것 (수법은 추정)
1. **가짜 토큰을 만들었어요. 자기 코드에 "토큰 종류 + 수량" 두 칸짜리 상자를 만들었어요. 진짜 토큰과 생김새가 똑같아요.
2. 진짜라고 우겼어요. 이 상자를 꺼내는 함수를 부르면서 "이건 진짜 토큰이다"라고 선언했어요.
3. 체인이 그대로 받아들였어요. 겉모양만 같으면 통과시킨 것으로 보여요. 그래서 공격자는 "iUSD 300만" 같은 숫자를 직접 적어 넣어 원하는 만큼 만들었어요.

위조지폐로 치면, 크기와 무늬만 확인하는 ATM에 위조지폐를 넣었는데 진짜로 인정된 상황이에요.

## 위조가 맞다는 증거 (이건 기록으로 확인한 부분)
- 출처가 없어요. 정상이라면 "누가 보냄" 또는 "새로 발행됨" 기록이 남아요. 공격자 지갑에 iUSD 300만이 들어온 거래에는 그런 기록이 하나도 없어요.
- 전체 발행량보다 많이 갖고 있어요. iUSD는 전 세계에 약 169만 개만 발행됐는데, 공격자 혼자 300만 개를 갖고 있어요.

## 가짜를 진짜로 바꾼 방법
브릿지는 Initia에서 토큰을 태우면 이더리움 금고에서 같은 양의 진짜 토큰을 내줘요. 브릿지는 태운 토큰이 위조인지 구분하지 못해요. 공격자는 이렇게 가짜를 진짜로 바꿨어요.
- 가짜 AUSD → 이더리움에서 진짜 AUSD 140만
- 가짜 USDC → 진짜 USDC 100만
- 가짜 WETH → 진짜 ETH 105개

진짜로 받은 걸 바로 ETH로 바꿨고, 지금 약 1,102 ETH를 갖고 있어요. 은행 A 지점에 위조지폐를 맡기고 B 지점에서 진짜 현금으로 찾아간 것과 같아요.