아이오타 트리니티 지갑 공격

1.바뀌어 들어온 결제 코드#

2020년 2월 12일 오후 3시 무렵(중부 유럽 시각) 아이오타 디스코드 운영진에게 잔액이 0이 됐다거나 모르는 출금이 나갔다는 신고가 잇따랐다. 재단 조사 결과 원인은 트리니티 안에서 IOTA를 바로 살 수 있게 붙인 무플레이(MoonPay) 연동이었다. 연동 당시 무플레이 코드는 콘텐츠 전송망(CDN)에서 묶음 형태로 내려받는 방식뿐이었다. 재단은 위험을 알고 NPM 패키지를 요청했고 무플레이도 나중에 내놨지만, 출시 일정에 쫓기고 실수가 겹쳐 바꾸지 못했다. 공격자는 무플레이 서버에서 불러오는 개발 도구를 변조했고, 이용자가 트리니티를 열어 잠금을 풀면 이 코드가 시드를 해독해 비밀번호와 함께 공격자 서버로 보냈다. 공격자는 새 트리니티 버전이 나와 캐시 파일이 덮어써지기를 기다렸다가 돈을 옮겼다. 그러면 남은 공격 흔적이 지워진다. 재단은 베를린 경찰 사이버 부서에 신고했다. 코인텔레그래프가 인터뷰한 다른 프로젝트 개발자는 무플레이가 이상을 알고 API 키를 껐지만 재단에 알리지 않았다고 추정했다.

2.코디네이터를 끄다#

재단은 조사 시작 4시간 안에 코디네이터(Coordinator)를 멈췄다. 코디네이터는 네트워크가 자리 잡을 때까지 재단이 운영하던 임시 보안 장치로, 이것이 멈추면 가치가 오가는 거래가 확정되지 않는다. 재단은 이 결정으로 공격자가 노린 토큰을 다 가져가지 못했고 일부 송금은 도중에 멈췄다고 밝혔다. 대신 이용자들도 거래를 할 수 없었다. 코인텔레그래프는 3월 3일 기사에서 2월 12일 이후 2주 넘게 IOTA 거래가 막혀 있다고 전했다. 재단 홍보 책임자 카라 하버(Cara Harbor)는 취약점은 트리니티 데스크톱 지갑의 무플레이 연동에만 있었고 IOTA 프로토콜 자체의 문제는 아니라고 말했다.

3.시드 이전과 재가동#

재단은 시드가 이용자 컴퓨터를 떠나지 않은 채 옛 계정의 토큰을 새 계정으로 옮기는 도구를 만들었다. 2월 20일 이를 알리고 2월 29일부터 3월 7일까지 이전 기간을 뒀다. 같은 계정을 두 번 옮긴 충돌 신청 몇 건은 본인 확인 없이 가장 늦은 신청을 받아들였고, 원장 전체 스냅숏은 하지 않았다. 재단은 3월 10일 코디네이터를 다시 켰다고 밝혔다. 2019년 12월 17일부터 2020년 2월 17일 사이 트리니티를 쓴 사람은 이전을 못 했다면 새 시드를 만들어 옮기라고 안내했고, 미국 연방수사국(FBI)과 영국·독일·몰타 경찰과 함께 공격자를 쫓고 있다고 했다. 재단은 코디네이터가 처음부터 임시 장치였다며 이를 없애는 '코디사이드(Coordicide)' 작업을 이어 가고 있다고 덧붙였다.

4.연표3건

1. 2020.02사건2월12일 트리니티 지갑 공격, 아이오타 재단 코디네이터 정지
2. 2020.02사건2월29일~3월7일 피해 우려 이용자 시드 이전 기간
3. 2020.03이정표3월10일 코디네이터 재가동 발표