넥서스 뮤추얼 휴 카프 해킹

1.화면이 꺼진 2초#

카프는 윈도 PC에서 메타마스크 확장으로 레저 하드웨어 지갑을 넥서스 뮤추얼에 연결해 쓰고 있었다. 사후 설명에 따르면 12월 11일 이메일을 쓰던 중 화면이 2~3초 꺼졌다가 돌아왔고, 그는 대수롭지 않게 넘겼다. 그로부터 약 한 시간 뒤 공격자가 메타마스크를 악성 버전으로 바꿨다. 12월 14일 오전 9시 40분(UTC) 카프는 채굴 보상을 받으려고 거래를 승인했다. 확장 프로그램은 평소와 같은 확인 창을 띄웠고, 카프는 주소를 대조하지 않고 레저에서 승인했다. 실제 거래는 NXM 370,000개를 공격자 주소로 보내는 것이었다. 그는 이더스캔을 보고서야 알아챘다. 넥서스 뮤추얼은 표적을 노린 개인 공격이라고 밝혔다. 공격자는 범행 11일 전 신원 인증을 마쳐 회원 자격을 갖췄고 뒤에 회원 주소를 옮겼다.

2.30만 달러 제안과 4,500 ETH 요구#

카프는 트위터에서 공격을 "아주 멋진 수법"이라고 부르며, 전액을 돌려주면 조사를 접고 30만 달러를 주겠다고 공개 제안했다. 이 정도 물량은 현금화가 어려울 것이라고도 했다. 공격자는 응하지 않았다. 분석 업체 스코어체인에 따르면 그는 NXM을 래핑한 뒤 1인치를 거쳐 유니스왑에서 ETH로 바꾸고, 다시 renBTC로 바꿔 비트코인을 꺼냈다. 12월 15일까지 147 BTC를 확보했고 약 절반이 남은 상태였다. 12월 16일 공격자는 거래 메시지로 답했다. 4,500 ETH를 보내면 더 팔지 않겠다는 내용으로, 카프의 것이라며 주소들을 나열하고 "당신은 부자잖아, 휴"라고 적었다. 카프는 그중 한 주소는 넥서스 재단 것이고 자기에겐 그만한 ETH가 없다고 답했다.

3.하드웨어 지갑의 한계#

카프는 12월 21일 사후 보고에서 금액과 무관하게 모든 거래를 확인해야 한다고 적고, 서명용 기기를 분리하고 자산을 나눠 두라고 권했다. 레크트 인터뷰에서는 하드웨어 지갑 화면에 정보가 다 나오더라도 스마트 계약 호출은 일반 이용자가 사실상 읽을 수 없다고 말했다. 앞으로 자신은 거래 정보를 외부 자료와 대조하겠지만 모두에게 맞는 해법은 아니라고 덧붙였다. 카프는 비슷한 공격을 당한 넥서스 회원이 적어도 두 명 더 있다고 했고, 영국 경찰이 다른 관할과 함께 더 큰 사건으로 묶어 수사 중이라고 밝혔다. 악성코드 유입 경로는 당시까지 확정되지 않았다. 커뮤니티는 깃코인 모금으로 손실 일부를 메우려 했는데, 카프는 그 돈을 지갑 보안 도구 개발에 쓰겠다고 했다. 공격자의 신원과 수사 결과는 이 문서가 확인한 자료에 나오지 않는다.

4.연표3건

1. 2020.12사건12월14일 휴 카프 개인 지갑에서 370,000 NXM 탈취
2. 2020.12사건12월16일 공격자, 4,500 ETH 요구 메시지 전송
3. 2020.12이정표12월21일 카프 사후 보고 공개