취약한 키란 무엇인가요?
취약한 키는 잘 보관되지 않거나, 무작위성(난수)이 약하거나 사람의 실수로 인해 도난, 추측, 노출되기 쉬운 크립토 키를 말합니다. 누가 얻으면 그들의 것처럼 코인을 옮길 수 있습니다. 스토리에 올린 현관문 아래에 놓인 집 열쇠 같은 생각인데, 이웃이 적고 봇이 더 많이 지켜보는 상황과 같습니다.
내가 keys를 절대 누구에게도 말하지 않으면 안전하다고 생각합니다. 완전히 그렇지는 않습니다. 맬웨어, 가짜 지갑 팝업, 클라우드 백업, 그리고 붙여넣은 문구조차도 강력한 키를 당신이 말하지 않아도 취약한 키로 바꿀 수 있습니다.
취약한 키가 작동하는 방식
안전한 상태에서 안심으로 넘어가는 일반적인 흐름입니다. 짧은 버전이지만 실제입니다.
- 단계 1: 지갑을 생성하면 Recovery Keys와 기본 Private Keys가 생깁니다.
- 단계 2: 저장 방식의 허술함, 감염된 기기, 피싱 공격 같은 사기로 노출이 생깁니다.
- 단계 3: 공격자가 키나 시드를 캡처하고 당신이 승인하지 않은 거래에 서명을 시작합니다.
- 단계 4: 자금이 그들이 제어하는 주소로 이동하고, 체인은 그 서명을 유효로 인정합니다.
- 단계 5: 이상한 유출을 발견하고 남은 자금을 새 지갑으로 옮기려 서둘러 움직입니다.
추하고, 빠르고, 몇 가지 습관으로 피할 수 있습니다.
Why Vulnerable Keys Matter
그래서 왜 신경 써야 할까요? 키가 온체인에서 당신이 보유한 모든 것의 문지기이기 때문입니다.
- 이익: 강한 습관은 당신의 코인, NFT, 신원까지도 다른 사람의 것이 아니라 당신의 통제 하에 있게 합니다.
- 관점: 공격자들은 기술뿐 아니라 습관을 목표로 삼고, 한 번의 실수로도 이길 수 있습니다.
- 관련성: 지갑, dapps, 거래소, 심지어 DAO에서도 키를 보게 되며, Public Keys는 안전하게 공유하되 private 쪽은 절대 공유하지 않으실 수 있습니다.
이메일, 거래소 로그인, 비밀번호 관리자에 다중 인증(MFA)을 적용하고 시드(seed)를 오프라인으로 보관하며, 스크린샷이나 채팅에 절대 남겨두지 마세요.
취약한 키의 주요 특징
키가 처음부터 왜 불안정한가요:
- 노출: 일반 텍스트, 사진, 클라우드 노트 등에 저장되어 쉽게 손에 잡힐 수 있습니다.
- 엔트로피: 난수성이 약하거나 예측 가능한 문구로 추측 가능성이 생깁니다.
- 재사용: 같은 키가 여러 체인이나 지갑에 사용되면 한 번의 타격으로 다수 손실이 발생합니다.
- 장치: 감염된 폰과 노트북이 맬웨어와 가짜 입력을 통해 비밀을 누설합니다.
- 백업: 이메일이나 문서에 붙여넣은 시드는 계정 침해 한 번으로 무료 loot가 됩니다.
Variations
키가 위험 구역으로 들어가는 다양한 방식:
- 약함: 낮은 난수 시드나 게이트가 느슨한 생성기로 추측 가능성을 현실적으로 만듭니다.
- 유출: 시드 구절이 게시되거나 동기화되거나 피싱당한 뒤 봇이 수집합니다.
- 재사용: 한 키가 앱이나 체인에 걸쳐 재사용되어 하나의 compromise가 확산됩니다.
- 바니티: 버그가 있는 도구로 만든 귀여운 맞춤 주소가 보안을 약화시킵니다.
- 공유: 여러 사람이 시드를 저장하거나 메시지로 보낼 때 한 사람이 실수합니다.
누군가가 프라이빗 키를 소유하면 자금을 옮길 수 있습니다. 취소 버튼은 없고 서명된 거래를 되돌릴 수 있는 지원도 없습니다.
예시
사용자가 시드를 가짜 지갑 임포트 페이지에 붙여넣고 봇이 몇 분 내에 스윕하며, 취약한 키가 공격자로 하여금 토큰과 NFT를 즉시 인출하게 만듭니다.
재미있는 사실
연구원들은 한때 큰 규모로 흔한 구문을 시도해 약한 brain-wallet을 비우기도 했고, 이후 바니티 주소 도구의 버그로 인해 공격자가 주요 마켓 메이커의 키를 추측할 수 있게 되어, 보안 없는 스타일이 얼마나 비용이 많이 들 수 있는지 입증했습니다.
Wrap-Up
기억용 짧은 버전: 원천에서 키를 보호하세요, 취약한 키는 당신의 지갑을 그들의 것으로 바꿉니다. 네, 그렇게 간단합니다.