레저, 2024년 6월까지 EVM 디앱에 대한 블라인드 서명 비활성화, 최근 익스플로잇 피해자에 대한 보상 실시

암호화폐 전문 미디어 크립토포테이토에 따르면, 하드웨어 지갑 제조업체인 레저가 2024년 6월까지 이더리움 가상 머신(EVM) 탈중앙화 애플리케이션(DApp)의 블라인드 서명을 비활성화할 계획이라고 밝혔습니다. 이번 결정은 수많은 디앱이 레저 장치에 연결하기 위해 사용하는 라이브러리에 지갑 배수구가 추가되는 익스플로잇에 대응하기 위한 것입니다. 레저는 최근 익스플로잇으로 인해 약 60만 달러의 암호화폐 자산이 도난당했다고 밝히며, 피해자들에게 보상을 약속했습니다. 레저는 2024년 6월까지 레저 디바이스를 통한 블라인드 서명 관행을 중단하고, 사용자 보호를 강화하고 탈중앙화 애플리케이션 전반에서 명확한 서명을 촉진하기 위한 새로운 표준을 수립하겠다고 선언했습니다. 지난주 트위터의 개발자들은 레저 디바이스와 디앱 간의 연결을 용이하게 하는 라이브러리인 레저 커넥트 키트의 악성 버전을 발견했습니다. 웹 3.0 보안 업체인 블록에이드에 따르면, 공격자는 레저 커넥트 킷의 NPM 패키지에 지갑을 탈취하는 페이로드를 삽입하여 Sushi.com이나 Hey.xyz와 같은 디앱에 로그인한 사용자의 자금을 탈취할 수 있었습니다. 소프트웨어 지갑 개발사인 메타마스크는 공격 소식이 알려진 후 사용자들에게 "디앱 사용을 중단하라"고 경고했습니다. 레저는 전직 직원이 피싱 공격의 희생양이 되어 공격자가 전직 직원의 NPMJS 계정에 액세스하여 악성 버전의 레저 커넥트 키트를 푸시했기 때문에 공격이 발생했다고 확인했습니다. 이렇게 손상된 커넥트 키트는 이를 사용하여 디앱에 연결되는 모든 지갑의 사용자 자금을 해커의 지갑으로 라우팅했습니다. 레저는 보안팀이 경고를 받은 후 40분 이내에 수정 사항을 배포하여 신속하게 대응했습니다. 새로운 버전의 커넥트 키트(1.1.8)가 출시되었습니다. 이 익스플로잇으로 인해 레저 기기와 레저 라이브 앱은 손상되지 않았습니다.