MALICIOUS HUGGING FACE REPOSITORIES DISGUISED AS QWEN2 MODELS FOUND TO DEPLOY PEARL ($PRL) MINERS

SOURCE

대해킹시대 다들 구글이메일 비밀번호 변경 스캠 방식도 조심하시죠

https://goo.gl 링크를 클릭하면 피싱 로그인 페이지로 연결됩니다.

⚠️ Critical Linux flaw could let hackers take over servers remotely without a password, with Ubuntu and Red Hat fixes still not out

Source

https://x.com/vigstar1/status/2115969694889025817

0/ 요 글을 읽고 있는데, 스트라이프의 링크(Link)의 전략에 있어서 재미있는 사실을 하나 정리해보겠습니다.

보통 직불카드(Staged중에서 백투백 구조)을 신용카드보다 혜택도 적고 비주류의 카드로 생각하는 경향이 있는데, 스트라이프에서는 의도적으로 직불카드를 밀어줍니다. 또한 결제사에서도 '통상적'으로는 신용카드를 밀어주는데 이는 수수료, 인터체인지 구조에 있습니다.

1/ 미국에는 더빈규제, 2010년 미국 금융개혁법에 들어간 조항으로 큰 은행이 발급한 직불카드의 인터체인지에 법으로 상한을 걸어둔 규제가 있습니다.

'자산 100억 달러 이상인 큰 은행의 직불카드는 인터체인지를 ‘0.21달러 + 거래액의 0.05%’ 이상 받을 수 없다'

예로들어 100억 달러의 큰 은행해서 발급한 직불카드로 100달러짜리 상품을 가맹점에서 구매하면, 발행사(은행)은 인터체인지로 0.21 + 0.05 -> 0.25달러를 가져갈 수 있는거죠

다만 신용카드 인터체인지에는 이러한 상한이 없습니다. 물론 신용카드의 경우에는 직불카드와 다르게 연체 위험, 외상, 포인트 등 서비스를 다 제공하니 통상 2~2.5%의 인터체인지를 가져가는거죠, 그러면 100달러 기준 대략 2.5달러 정도가 되겠죠?

2/ 그런데 저 더빈 규제의 핵심은 무엇일까요? '100달러 이상의 큰 은행의' 입니다.

그러면 이 규정을 이용하여 100억 달러 미만 작은 은행이 발행한 직불카드는 어떨까요? 인터체인지 리밋이 적용 안되는거죠.

물론 누구는 '아니 이러한 준비자금도 안되어있는 은행의 직불카드를 왜 쓰냐?'라고 할 수도 있겠지만, 만약 이를 대형 핀테크 회사와 결합해서 진행하다면?

그 회사가 바로 스트라이프입니다. 그리고 스트라이프는 26Q1기준 자산이 27억 달러에 불과(?)한 리드 뱅크와 손잡고 LINK 에이전트 직불 카드를 발급합니다.

실제 스트라이프의 선불카드는 100달러 기준 무려 1.95달러를 인터체인지로 수취합니다 (물론 리드뱅크쪽 몫과 프로그램 비용은 제외)

3/ 참고로 이 21센트 상한은 연방법에 어긋낫다고 판결했고, 연준은 대형 은행이 받을 수 있는 금액을 다시 정해야 하는 상황입니다. 물론 연준이 상한을 계산할 때 넣으면 안 되는 비용까지 포함했다는 내용으로, 원심 논리로는 지금보다 훨씬 더 낮은 상한이 나와야 합니다.

https://www.lawcommentary.com/articles/federal-appeals-court-debit-card-swipe-fee-cap

4/ 그렇다면 여기서 질문해보겠습니다.

소비자 —> LINK —> 가맹점

구조로 결제가 진행된다고 가정하고, 소비자는 현재 100달러가 있습니다. 그리고 20달러짜리 상품을 5번 나눠 구매해야합니다. LINK의 입장에서는

A) 100달러 한번에 탑업 -> 5번 나눠 결제
B) 매 결제마다 탑업 —> 이 과정 5번 진행

어느 방식이 더욱 수수료, 인터체인지를 소비자에게 더욱 많이 뜯어갈 수 있을까요? (답은 내일 출근해서)

번외) 해당 취약점이 큰 관심을 끌고있습니다.

리눅스가 연결 요청을 처리하다가 아직 사용 중인 메모리를 먼저 해제하고 (UAF), 공격자가 이 오류를 악용하면 서버 관리자 권한으로 명령을 실행할 수 있는 문제입니다. 앞으로는 관리되지 않는 서버를 오픈 웹에 노출시키는 것은 너무 위험할 것 같네요

이해력/가독성 GOAT 고양이 짤들도 한번 들고와봤습니다

https://atlasum.net/blog/cve-2026-98432-linux-ipv4-tcp-uaf

5/ 여기서 계속 이어가보자면

스트라이프(LINK)가 가져가는 금액인 인터체인지 스프레드는 놀랍게도 충전 횟수가 많을수록 줄어듭니다.

통상적으로 게임캐쉬를 충전하는 경우와 같이 탑업을 고빈도로 진행하면 소비자가 손해를 본다는 가정이 전제에 깔려있는데, 이 경우에는 반대입니다.

6/ 이유는 사실 간단합니다. 위 수식의 경우에는 직불카드로 탑업하는 경우를 예로 들었는데,

어찌됫던 사용자가 LINK를 이용해서 무언가를 구매하는 경우

소비자 가맹점
(i) [사용자 —> LINK]
(ii) [LINK —> 가맹점]

이런식으로 LINK가 가맹점이 되는 경우가 생깁니다.
그리고 통상적으로 인터체인지는 가맹점이 부담합니다.
그리고 이 인터체인지에는 고정비(0.21달러 + 거래액의 0.05% 에서의 0.21달러)가 존재합니다.

—> LINK는 매 탑업마다 최소 0.21달러씩 인터체인지(수수료)를 부담해야합니다.

7/ 특히 LINK가 가맹점이 되는 경우 (i)에서 만약 사용자가 탑업을 비교적 수수료가 낮은 직불카드가 아닌, 신용카드로 진행한다고 하면? 재앙 그 자체입니다.

그래서 그런지 몰라도 FAQ에서 탑업 방식을 소개하는 파트에서는 이상하게도 신용카드 이야기가 없네요?

8/ 하지만 이러한 LINK에도, 에이전틱 페이먼트에서는 이해관계에서 나오는 약점은 존재합니다

사용자 —- A카드 ]—-> [ LINK B카드 탑업 ] ——> 가맹점

이 경우, 예로 들어 가맹점에 300짜리 신발을 주문했는데 230짜리 신발이 왔다고 가정해 봅시다. 어떻게 이 문제를 해결해야 할까요?

ex1) 기존 카드 발급사(A)에 탑업(to B)거래의 이의를 제기하는 경우
—> 기존 카드 발급사가 진행한 것은 B 카드 탑업 뿐, A 발급 은행은 스테이블코인 취득에 자금 제공을 했을 뿐이고, 또한 해당 탑업은 신발 구매보다 몇 시간, 며칠, 혹은 몇 주 이루어져있을수 있음. 결국 신발 결제는 B카드.

ex2) 에이전트의 구매가 승인되지 않은 거래라고 링크에 신고하는 경우
—-> 링크는 에이전트를 소비자가 권한을 부여한 대리인으로 취급, 하지만 이 경우 링크는 '기술적 장애나 오류로 발생한 거래'가 아닌 이상, 이러한 상황은 '무단 거래'로 보지 않음, 따라서 해당 거래가 사용자의 의도에 따르지 않아도 링크는 약관상 보상하지 않아도 됨

ex3) 가맹점에 요청하는 경우
—-> 만약 해당 상품이 반품 불가 상품이라면?, 가맹점은 B카드의 거래만 확인 가능한데 이 경우 가맹점이 상품을 정확하게 설명하고 주문된 상품을 그대로 제공했따는 증거는 가맹점의 방어 근거가 될 수 있음, 에이전트가 의도대로 했는지 안했는지 가맹점은 알수도없고 알필요도없음

9/ 해당 문제를 간단하게 다룬 아티클인데 읽어보셔도 좋습니다

https://x.com/scottew/status/2117013565102264346

10/ 결국 저러한 MoR 구조는 상호운용성 측면과 결제 주체 문제에서 자유로울수는 없으니, 이러한 가상카드 방식보다는 네트워크 토큰 방식으로 진행하는 것도 한번 고려하는것이 추후 에이전틱 커머스의 발전을 위해서라도 더욱 좋지 않을까라는 생각을 하며 마무리해봅니다

네트워크 토큰 기반 결제가 어떻게 작동하는지 궁금하다면, 비자 측이 작성한 아래 기술 초안을 참고해보시죠

Card Network Charge Intent for HTTP Payment Authentication
https://paymentauth.org/draft-card-charge-00

[전문] 한서희 변호사 "AI 결제 막는 국내 규제...스테이블코인 활용 기준 마련해야"
https://www.digitalasset.works/news/articleView.html?idxno=43994

아무래도 스테이블코인에 집중되다보니 발표내용이 크립토에 치우쳐진 x402나 AP2에 치중되었는데,

위에서 언급한, 현재 스트라이프를 비롯한 서방이 밀고있는 방식인 가상카드방식이나 네트워크 토큰방식에 스테이블코인 탑업이 진행될시, 어떤식의 규제가 진행될지도 한번 알아보면 좋을 것 같네요. 사실 x402는 API와 같은 니치한 시장 말고는 주 결제시장에 과연 도입될 수 있을까에 대해서는 잘 모르겠습니다. 물론 API 시장이 비선형적으로 확장되어서 크립토가 에이전틱 페이먼트를 지배한다! 하는 가능세계도 존재하겠지만...

https://agentmoneybench.com/

그냥 가볍게 볼 만한, x402에서 많은 트래픽을 차지하는 BlockRunAI에서 측정한 Agent Money Benchmark.

100달러를 줬을 때 에이전트가 얼마나 낭비하는지부터 페이먼트 이후 또 청구하는지, 높은 가격 청구 등등 다양한 경우를 상정하고 그에 맞춰서 모델별 순위를 매겼습니다