Keplr 지갑, Web3Auth 취약점을 통한 보안 침해 발생
TREE NEWS 보도: 코스모스 생태계에서 인기 있는 비수탁형 지갑인 Keplr가 최소 100만 달러 상당의 디지털 자산이 도난당하는 보안 사고를 겪었다. 이번 침해는 Keplr가 구글 및 애플 계정을 통한 지갑 생성을 용이하게 하기 위해 사용하는 제3자 소셜 로그인 서비스 제공업체인 Web3Auth의 취약점에서 비롯되었다. 블록체인 보안 업체 GoPlus에 따르면, 이 결함으로 인해 공격자들은 소셜 로그인을 사용해 지갑을 생성한 일부 Keplr 사용자들의 개인키나 트랜잭션 서명 권한을 침해할 수 있었다. 중요한 점은 시드 문구나 하드웨어 지갑으로 생성된 지갑은 영향을 받지 않았다는 것이다.
이번 사건은 사용자 온보딩을 간소화하는 것을 목표로 하면서도 추가적인 공격 벡터를 도입하는 암호화폐 업계의 소셜 로그인 통합과 관련된 위험을 부각시킨다. Web3Auth는 시드 문구 관리를 추상화하기 위해 Web3 애플리케이션 전반에서 널리 사용되지만, 제3자 서비스를 통해 키 관리를 중앙화하는 것은 단일 장애점을 만들 수 있다. 이번 경우 Web3Auth 인프라의 취약점으로 인해 사용자 키에 대한 무단 접근이 가능해졌고, 약 100만 달러의 도난으로 이어졌다. 또한 약 600만 달러 상당의 자산은 Keplr 팀이 확인한 공식 구조 주소로 이동되었으며, 이는 공격자들이 자금을 빼돌리기 전에 일부 자금이 확보되었음을 시사한다.
업계 시사점: 편의성과 보안 사이의 트레이드오프
이번 침해는 암호화폐 업계의 더 광범위한 긴장 관계를 강조한다. 즉, 주류 채택을 위한 추진이 종종 보안상의 타협으로 이어진다는 것이다. 소셜 로그인과 수탁형에 가까운 솔루션은 신규 사용자의 진입 장벽을 낮추지만, 탈중앙화 지갑이 제거하도록 설계된 거래 상대방 위험을 다시 도입한다. Keplr의 사건은 유사한 통합을 고려하는 프로젝트들에게 경고의 사례가 된다. 또한 제3자 인프라 제공업체에 의존할 때 요구되는 실사에 대한 의문도 제기한다. Web3Auth는 아직 상세한 사후 분석을 공개하지 않았지만, 이번 사건은 지갑 제공업체 전반에서 보안 관행의 재평가를 촉발할 가능성이 높다.
향후 전망: 지갑 보안 강화
이 사건 이후 Keplr와 Web3Auth는 철저한 감사를 수행하고 잠재적으로 키 관리 프로세스를 전면 개편할 것으로 예상된다. 사용자들은 보안 강화를 위해 시드 문구 기반 지갑이나 하드웨어 지갑으로 이전할 것을 권장받는다. 이번 사건은 사용성과 강력한 보안의 균형을 맞추는 계정 추상화 및 MPC(다자간 연산) 지갑의 채택을 가속화할 수 있다. 코스모스 생태계가 계속 성장함에 따라, 이러한 사건들은 지속적인 보안 교육과 인프라 강화의 필요성을 부각시킨다. 규제 당국이 지갑 제공업체가 사용자 자산을 보호하는 방식에 더 주의를 기울이면서 규제 감독도 강화될 수 있다.
