Web3Auth와 관련된 보안 침해가 Keplr 지갑 사용자에게 영향
TREE NEWS 보도: Keplr 공동 창립자 Josh Lee는 지갑의 Google 및 Apple 로그인과 관련된 보안 사고가 서비스 제공업체인 Web3Auth에서 비롯되었다고 밝혔다. 초기 추정에 따르면 이러한 방식으로 생성된 계정의 약 20%가 영향을 받았으며, 지금까지 악용된 것은 일부에 불과하고 나머지 계정은 여전히 복구 가능할 수 있다. Lee는 이번 사고가 Keplr 코드에 대한 해킹이 아니라고 강조했으며, 팀이 Web3Auth 및 MetaMask와 협력하여 영향을 받은 계정을 추적하고 자산을 복구하고 있다고 말했다. Keplr는 Google 및 Apple 로그인을 중단했으며, 사용자들에게 영향을 받은 계정으로 새로운 자금을 이체하거나 다른 곳에서 계정을 다시 가져오거나 생성하지 말 것을 권고했다.
업계 분석: 암호화폐에서 소셜 로그인의 위험
이번 사고는 Web3가 Web2 방식의 인증에 의존하는 데서 오는 성장통을 부각시킨다. Web3Auth와 같은 제공업체가 지원하는 소셜 로그인은 사용자가 익숙한 Google 또는 Apple 계정으로 로그인할 수 있게 함으로써 진입 장벽을 낮춘다. 그러나 이는 단일 장애점을 도입한다. 인증 제공업체가 침해되면 이에 의존하는 여러 지갑과 dApp이 동시에 영향을 받을 수 있다. 이번 사건은 암호화폐 공간에서 사용자 경험과 보안 간의 트레이드오프를 강조한다.
Web3Auth는 개인 키 관리를 추상화하여 소셜 복구가 가능한 비수탁 지갑을 가능하게 하는 널리 사용되는 인프라 제공업체이다. Keplr 및 MetaMask와 같은 주요 지갑과의 통합은 취약점이 생태계 전반에 연쇄적인 영향을 미칠 수 있음을 의미한다. 침해의 정확한 성격은 아직 조사 중이지만, 영향을 받은 계정 중 일부만 악용되었다는 사실은 공격자의 접근이 제한적이었거나 복구 작업이 진행 중임을 시사한다.
사용자에게 즉각적인 교훈은 분명하다. 인증 방법을 다양화하고 단일 제공업체에 의존하는 계정에 자금을 집중하지 말아야 한다. 개발자에게 이번 사고는 타사 서비스를 사용할 때에도 다중 인증과 이상 탐지를 포함한 심층 방어를 구현해야 한다는 점을 상기시킨다.
향후 전망
암호화폐 업계가 성숙해짐에 따라 편의성과 보안의 균형은 계속해서 핵심 과제로 남을 것이다. Keplr-Web3Auth 사고는 패스키나 분산형 ID 솔루션과 같이 중앙화된 제공업체에 대한 의존을 줄이는 보다 강력한 인증 표준의 채택을 가속화할 수 있다. 또한 지갑 제공업체들이 타사 위험에 대해 더 투명하게 공개하고 단일 침해의 영향을 제한하는 페일세이프를 내장하도록 촉구할 수 있다.
규제 당국과 감사인도 주목할 가능성이 높다. 소셜 로그인이 더욱 보편화됨에 따라 인증 제공업체가 사용자 데이터와 개인 키를 어떻게 보호하는지에 대한 감시가 강화될 것으로 예상된다. 이번 사고는 경종을 울린다. 주류 채택을 추구하면서 업계는 자기 보관과 보안이라는 기본 원칙을 타협해서는 안 된다.
