슬로프 지갑 해킹

1.오류 추적 서비스로 샌 개인키#

솔라나 생태계에서 널리 쓰이던 모바일 지갑 앱 슬로프의 iOS·안드로이드 버전은 자체 호스팅한 오류 추적 서비스 센트리(Sentry)로 이용자의 개인키를 HTTPS로 암호화해 전송했지만, 센트리 서버에는 이 값이 암호화되지 않은 평문으로 저장됐다. 2022년8월2일 오후(UTC) 9,231개 솔라나 지갑에서 네 시간에 걸쳐 자금이 빠져나갔고, 약 410만 달러 상당이 도난당했다. 조사 결과 센트리 데이터베이스에서 6,811개 지갑의 개인키가 발견됐지만, 이 가운데 실제 피해 지갑과 겹치는 것은 1,444개에 그쳐 나머지 약 7,800개 지갑이 어떤 경로로 뚫렸는지는 끝내 밝혀지지 않았다.

2.조사의 한계와 대응#

솔라나 재단, 슬로프, 센트리는 합동 조사를 벌였지만 집중적인 코드·서버 감사를 거치고도 사고 경위를 결정적으로 설명하지 못했다. 센트리 측은 자사 서비스나 인프라 자체가 뚫렸다는 증거는 없다고 선을 그었다. 이 사고는 지갑 앱이 오류 추적·분석 SDK를 무심코 붙였다가 이용자 자산이 통째로 새어 나갈 수 있다는 경고 사례로 남았다. 사고 이후 슬로프는 자체 호스팅 오류 추적 서비스에 개인키가 담기지 않도록 앱을 수정했고, 솔라나 재단은 지갑 개발자 전반에게 민감 정보를 원격 로그로 보내지 말라고 공개 권고했다.

3.연표1건

1. 2022.08사건슬로프 지갑 9,231개 계정, 센트리 서버 개인키 유출로 피해