세계 최대의 암호화폐 거래소 중 하나인 Crypto.com이 Scattered Spider라는 해킹 그룹에 의해 저질러진 보안 침해를 공개적으로 알리지 않았다고 Bloomberg 조사에 따르면 밝혀졌습니다. 이 공격은 직원의 자격 증명을 훼손하는 사회 공학 전술을 포함하여, 암호화폐 산업에서 투명성 실천과 규제 감독에 대한 새로운 우려를 불러일으켰습니다.
알아야 할 사항:
- 대체로 청소년으로 구성된 Scattered Spider 그룹은 직원 자격 증명을 노리는 사회 공학 공격을 통해 Crypto.com을 성공적으로 침입하였습니다.
- 보안 전문가들이 사용자를 보호하기 위해 그러한 투명성이 필수적이라고 주장하는 가운데, 거래소는 이 사건을 공개적으로 발표하지 않았습니다.
- 이 침해는 고객 신원 정보 수집 요구사항과 그 보안 함축에 대한 지속적인 업계 논쟁을 부각시킵니다.
사회 공학 공격이 직원 자격 증명을 표적으로 삼다
공격자들은 직원 자격을 포기하도록 Crypto.com 직원들을 속이기 위해 IT 담당자로 가장했습니다. 조사에 익숙한 소식통은 이를 Scattered Spider의 방법론으로 묘사했습니다. 이 그룹은 복잡한 기술적 취약점보다 심리적 전술을 통해 직원들을 조종하는데 특화되어 있습니다.
회사 시스템에 접속한 후, 해커들은 자신들의 접근 권한을 확장하려고 시도했습니다. 그들은 플랫폼 인프라 내에서의 범위를 확장하기 위해 특히 고위 직원 계정을 타겟팅했습니다.
"아주 소수의 개인이 영향을 받았습니다."라고 Crypto.com은 밝혔습니다.
Crypto.com 관계자는 Bloomberg에 고객 자금이 사건 동안 안전하다고 전했습니다. 회사는 공격 범위 및 시간표에 대한 추가 세부 정보를 제공하기를 거부했습니다. 거래소 관계자들은 보안 문제와 관련하여 더 많은 언급을 거부한 상태입니다.
업계 전문가들이 비공개 결정에 대해 비판
보안 전문가들은 Crypto.com의 침해 정보 비공개 결정이 사용자 신뢰를 약화시킨다고 주장합니다. 그들의 사건 세부 정보 공유 꺼림은 고객들이 잠재적인 데이터 노출 위험에 대해 불확실하게 만듭니다. 이러한 불투명성은 사용자들이 잠재적 후속 공격에 대한 적절한 보호 조치를 취하는 것을 방해합니다.
이런 비판은 이전의 거래소 보안 실패를 감안할 때 중요합니다. Coinbase는 고객 손실이 연간 3억 달러를 초과하는 유사한 침해를 겪었습니다. 업계 관찰자들은 공개되지 않은 사건들이 암호화폐 생태계 전반에 걸친 체계적 위험을 초래한다고 지적합니다.
체인 조사자 ZachXBT는 Crypto.com이 침해를 고의로 숨겼다고 공개적으로 비난했습니다.
그는 이 사건이 플랫폼에서 공개되지 않은 보안 문제 패턴을 대표한다고 강조했습니다. 그의 주장은 회사의 명성을 보호하기 위해 침해 내용을 최소화하는 거래소에 대한 광범위한 산업적 불만을 반영합니다.
규제 프레임워크, 새로운 비판에 직면하다
이 사건은 광범위한 데이터 수집을 의무화하는 고객 알기 제도(KYC)에 대한 비판을 강화했습니다. 가명 보안 연구자 Pcaversaccio는 KYC 시스템이 사이버 범죄자를 위한 매력적인 목표를 만든다고 주장했습니다. 연구자는 비밀번호는 쉽게 변경할 수 있지만 개인 신분 문서를 그렇게 쉽게 교체할 수는 없다고 지적했습니다.
"비밀번호는 쉽게 바꿀 수 있지만 여권은 그렇지 않습니다. 그리고 그들은 그런 점을 잘 알고 있습니다,"라고 Pcaversaccio는 말했습니다. "우리는 기본적으로 그들의 감시 조직의 collateral입니다."
이 관점은 현재 암호화폐 감독에 대한 규제 접근 방식에 대한 증가하는 의구심과 일치합니다. 올해 초, Coinbase CEO Brian Armstrong은 은행 비밀법과 기존의 자금세탁 방지 규정을 구시대적이고 비효율적이라고 비판했습니다. 그는 기업이 자체 이익에 반하여 민감한 고객 데이터를 수집하라는 명령을 받는다고 주장했습니다.
"우리는 그것을 수집하고 싶지 않으며 고객들도 그것을 싫어합니다,"라고 Armstrong은 설명했습니다. "우리의 의지와 상관없이 그것을 수집하도록 강요받고 있습니다. 그리고 그것은 범죄를 막는 데에조차 효과적이지 않습니다. 데이터가 그 점을 보여줍니다."
용어 이해하기
사회 공학 공격은 기술적 취약점보다는 심리적 조작에 의존하여 보안 시스템을 침입합니다. 공격자들은 종종 IT 지원 직원과 같은 신뢰할 수 있는 인물로 가장하여 대상을 속여 민감한 정보를 공개하도록 설득합니다. 이러한 전술은 소프트웨어 약점이 아니라 인간 심리를 노리기 때문에 특히 효과적입니다.
고객 알기 제도(KYC) 규정은 금융 기관이 광범위한 문서를 통해 고객 신원을 확인하도록 요구합니다. 이러한 규정은 위한 돈세탁 방지와 테러 자금 조달 방지를 위해 계좌 소유자의 상세한 기록을 작성하려는 것입니다. 그러나, 비평가들은 중앙 집중식 데이터 저장소가 범죄 예방 혜택을 초과하는 보안 위험을 초래한다고 주장합니다.
Scattered Spider는 기술적 정교함보다 사회적 조작을 우선시하는 신세대 사이버범죄 조직을 대표합니다. 그룹의 성공은 인간 요소가 자주 기업 보안 체인의 가장 약한 고리를 대표한다는 것을 보여줍니다.
마무리 생각
Crypto.com 사건은 암호화폐 거래소 보안 및 규제 준수가 직면한 지속적인 과제를 강조합니다. 투명성 요구와 회사 평판 관리 간의 긴장은 침해 공개와 관련한 업계 실천을 계속해서 형성하고 있습니다.