Keplr 지갑 해킹, Google 및 Apple 로그인 사용자 피해
TREE NEWS 보도: Google 또는 Apple로 로그인한 Keplr 지갑 사용자를 겨냥한 최근 해킹 사건으로 Web3 소셜 로그인 연동의 보안에 대한 새로운 우려가 제기되었다. 소셜 로그인 기능을 뒷받침하는 인증 제공업체 Web3Auth는 플래그가 지정된 일부 주소에 피해 사용자를 위해 자사가 확보한 자금이 보관되어 있음을 확인했다. 이번 사건은 더 많은 암호화폐 지갑이 진입 장벽을 낮추기 위해 익숙한 Web2 로그인 방식을 도입하면서 공격 표면이 확대되고 있음을 보여준다.
무슨 일이 있었나
코스모스 생태계에서 인기 있는 비수탁형 지갑인 Keplr는 Web3Auth를 통해 Google 또는 Apple 계정으로 로그인하는 옵션을 사용자에게 제공한다. 공격자들은 이 연동을 악용해 일부 지갑에 무단으로 접근했다. 세부 내용은 여전히 부족하지만, Web3Auth는 플래그가 지정된 특정 주소의 자금을 확보했다고 밝혀 침해에 대한 표적 대응을 시사했다. 회사는 영향을 받은 사용자 수나 위험에 노출된 자산의 총액을 공개하지 않았다.
업계에 미치는 영향
이번 사건은 대중화를 추진하는 과정에서의 핵심적인 트레이드오프, 즉 편의성과 보안의 대립을 부각시킨다. 소셜 로그인은 신규 사용자의 마찰을 줄이지만, 제3자 인증 서비스에 대한 의존과 잠재적 단일 장애점을 초래한다. 전통적인 시드 구문과 달리 소셜 로그인은 침해되거나 잘못 구성될 수 있는 중앙화된 신원 제공업체를 수반한다.
- 공격 표면 확대: Web2 신원 제공업체를 자기 수탁형 지갑에 통합하면 OAuth 취약점부터 세션 하이재킹에 이르기까지 공격자에게 새로운 침투 경로가 생긴다.
- 사용자 교육 격차: 많은 사용자가 소셜 로그인 이면의 보안 모델을 이해하지 못하고, 전통적인 지갑 방식만큼 안전하다고 가정할 수 있다.
- 규제 당국의 감시: 손실이 누적됨에 따라 규제 당국은 지갑 제공업체에 더 명확한 공개와 더 강력한 보안 기준을 요구할 수 있다.
Web3Auth가 플래그가 지정된 주소의 자금을 확보한 조치는 긍정적인 진전이지만, 사용자 자산에 대한 통제 범위에 대한 의문도 제기한다. 이번 사건은 사용성과 견고한 보안의 균형을 목표로 하는 계정 추상화 및 다자간 계산(MPC) 솔루션의 도입을 가속화할 수 있다.
앞으로의 전망
Keplr 해킹은 Web3 업계에 경종을 울린다. 지갑들이 사용자 경험으로 경쟁을 심화하는 가운데 보안은 뒷전으로 밀려날 수 없다. 프로젝트는 제3자 연동에 대한 엄격한 감사를 수행하고, 실시간 모니터링을 도입하며, 투명한 사고 보고를 제공해야 한다. 한편 사용자는 경계를 늦추지 않고 지갑 솔루션의 다각화를 고려해야 한다. 이번 사건은 중앙화된 제공업체에 대한 의존을 줄이는 탈중앙화 신원 및 복구 메커니즘의 혁신을 촉진할 수도 있다. 궁극적으로 대중화로 가는 길에는 매끄러운 온보딩뿐 아니라 철통 같은 보안 보장이 요구된다.
