본문으로 건너뛰기
피드

한국 국세청, 압수한 암호화폐 비밀번호를 보도자료에 공개해서 털림

security 약 3분

국세청이 체납자로부터 압수한 81억 원 상당 암호화폐의 레저 지갑 사진을 보도자료에 올렸는데, 시드 구문이 선명하게 찍혀 있어서 약 480만 달러 상당의 토큰이 탈취됨. 2021년 강남경찰서 비트코인 유출 사건에 이은 반복적 실수임.

  • 1

    보도자료 사진에 레저 지갑 시드 구문이 고해상도로 노출

  • 2

    누군가 가스비용 ETH 입금 후 약 400만 PRTG 토큰(480만 달러) 탈취

  • 3

    2021년 강남경찰서도 동일한 방식으로 22 BTC 유출된 전례 있음

  • 4

    보도자료 통해 널리 배포되어 용의자 특정 사실상 불가능

  • 5

    전 세계적으로 암호화폐 보유자 대상 물리적 공격 및 내부자 위협 증가 추세

  • 국세청이 고액 체납자 124명으로부터 약 81억 원(560만 달러) 상당의 암호화폐를 압수한 뒤, 성과를 홍보하는 보도자료에 레저(Ledger) 하드웨어 지갑 사진을 첨부했는데, 시드 구문(seed phrase)이 고해상도로 선명하게 찍혀 있었음
  • 시드 구문은 지갑의 마스터 키나 마찬가지라서, 이걸 알면 원본 기기 없이도 다른 지갑에 임포트해서 자산을 전부 옮길 수 있음. 콜드 스토리지의 보안이 완전히 무력화된 셈
  • 사진을 본 누군가가 가스비 충당용으로 이더리움(ETH)을 소액 입금한 후, 약 400만 PRTG 토큰(당시 시가 480만 달러)을 3번에 걸쳐 빼돌림. 다만 유동성 문제로 실제 현금화는 어려웠을 것으로 보임
  • 한성대 교수는 "세무 당국의 가상자산에 대한 기본적 이해 부족"이라고 지적. 보도자료를 통해 널리 배포된 사진이라 용의자 특정도 사실상 불가능함
  • 이게 처음이 아님. 2021년에 강남경찰서도 해킹 사건 수사 중 압수한 22 BTC(현재 약 15억 원)의 복구 구문이 제3자에게 유출돼서 털린 적 있음. 지난주에 관련자 2명이 체포됨
  • 암호화폐 관련 물리적 공격도 전 세계적으로 늘고 있음. 미국 스코츠데일에서는 10대 2명이 960km를 운전해서 6,600만 달러 상당의 암호화폐 보유자 집에 배달원으로 위장 침입한 사건도 있었음
  • 레볼루트(Revolut) 전 직원이 고객 정보로 협박한 사례, 프랑스 세무 공무원이 암호화폐 사용자 개인정보를 범죄 조직에 판매한 사례 등 내부자 위협도 심각해지고 있음

시드 구문 관리의 중요성을 보여주는 교과서적 사례. 기술적 해킹이 아니라 단순 운영보안(OPSEC) 실패로 수십억 원이 증발한 것임.

댓글

댓글

댓글을 불러오는 중...

security

윈도우 11 BitLocker 우회 취약점 ‘YellowKey’ 공개, WinRE 경로가 문제로 지목됨

YellowKey라는 BitLocker 우회 취약점 공개 글이 올라왔고, 작성자는 Windows Recovery Environment에만 있는 특정 구성요소가 보호된 볼륨 접근을 허용한다고 주장한다. 공개 내용은 Windows 11과 Windows Server 2022/2025가 영향권이고 Windows 10은 제외된다고 설명하며, Microsoft 보안 조직과의 공개 조율도 언급한다.

security

해고 직후 정부 DB 96개 삭제 혐의, 내부자 접근권 회수의 무서운 사례

미국 정부 고객을 상대하던 IT 업체에서 해고된 쌍둥이 형제가 몇 분 뒤 정부 정보가 담긴 데이터베이스 96개를 삭제한 혐의를 받고 있다. 기사에는 이들이 이전에도 컴퓨터 범죄 전력이 있었고, 회사 네트워크에서 5,400개 계정 정보를 모아 Python 스크립트로 외부 서비스 로그인을 시도했다는 정황도 나온다.

security

EFF, 국경 전자기기 수색에도 영장이 필요하다고 제4순회항소법원에 주장

EFF와 ACLU 등은 미국 제4순회항소법원에 국경에서 휴대폰·노트북 같은 전자기기를 수색하려면 영장이 필요하다는 의견서를 냄. 사건은 Dulles 공항에서 미국 시민의 휴대폰이 영장 없이 수색된 뒤 형사 사건으로 이어진 사례이며, EFF는 수동 수색과 포렌식 수색 모두 같은 높은 기준을 적용해야 한다고 주장함.

security

안드로이드 17, 내 폰 OS가 진짜인지 직접 보여준다

구글이 안드로이드 17에 OS 검증 기능을 넣는다. 사용자는 기기가 공식 안드로이드 빌드를 돌리고 있는지, 부트로더 상태와 빌드 정보까지 확인할 수 있고, 구글 앱과 API의 정식 배포 여부를 검증하는 공개 원장도 제공된다.

security

마이크로소프트 취약점 공개전이 또 터짐, 이번엔 2건

익명의 공개자가 마이크로소프트 관련 취약점 2건을 추가로 공개했다고 주장했어. 구체적인 기술 분석은 본문에 거의 없지만, 패치 튜즈데이를 앞두고 더 큰 공개를 예고해 윈도우 보안 운영팀 입장에선 신경 써야 할 신호야.