eMudhra 인증서 취약점, 암호화폐 봇 노출 위험 경고

인도의 인증 기관 eMudhra가 발행한 8개의 취약한 인증서에 대해 구글, 애플, 마이크로소프트 등 주요 기술 기업들이 긴급 차단 조치를 시행했지만, 암호화폐 거래 봇 및 거래소 애플리케이션은 여전히 해당 보안 결함에 노출될 수 있다는 경고가 나왔습니다.

블록체인 보안 전문 기업인 서틱(CertiK)은 화요일, 주요 기술 기업들이 eMudhra 인증서의 보안 결함을 해결하기 위한 조치를 취했지만, 브라우저 차단만으로는 모든 소프트웨어를 보호하지 못할 수 있다고 밝혔습니다. 서틱의 디지털 자산 보안 부문 수석 이사인 페이유 왕(Peiyu Wang)은 코인텔레그래프와의 인터뷰에서 “주요 브라우저에서의 차단은 해당 업데이트를 받고 적용하는 고객들의 위험을 실질적으로 줄여준다”면서도, “브라우저 생태계 외부의 일부 애플리케이션은 인증서 투명성(Certificate Transparency)을 강제하지 않거나 동일한 폐지 보호를 받지 못한다”고 지적했습니다.

왕 이사는 암호화폐 서비스가 본질적으로 다른 산업보다 더 취약한 것은 아니지만, 공격자들이 손상된 인증서를 악용하여 거래소, 지갑 인터페이스, API에서 사용하는 HTTPS 연결을 사칭할 수 있다고 강조했습니다. 특히, 공격자들은 암호화폐 서비스를 사칭하여 입금 주소를 변경하거나, 사용자를 속여 악의적인 거래를 승인하도록 유도할 수 있다는 것입니다. 이러한 공격은 사용자의 인터넷 트래픽을 가로채거나 재지정하는 것도 필요하며, 손상된 인증 기관의 키만으로는 지갑의 개인 키를 노출시키지는 못한다고 덧붙였습니다.

이번 eMudhra 인증서 취약점은 인도의 인증 기관이 발행한 개인 키를 탈취당하면서 시작되었습니다. 이 개인 키는 웹사이트의 신뢰성을 보장하는 데 사용되는 인증서를 발급하는 데 사용되는데, 이 키가 유출되면서 공격자들은 마치 합법적인 웹사이트인 것처럼 위장하는 가짜 인증서를 대량으로 생성할 수 있게 되었습니다.

이 문제는 특히 암호화폐 시장에서 심각한 우려를 낳고 있습니다. 암호화폐 거래는 본질적으로 온라인상에서 이루어지며, 사용자의 자산은 안전한 연결에 크게 의존합니다. 만약 공격자들이 eMudhra의 취약한 인증서를 이용하여 은행과 유사한 암호화폐 거래소 웹사이트나 지갑 인터페이스를 사칭한다면, 사용자들이 의심 없이 가짜 웹사이트에 접속하여 로그인 정보를 입력하거나, 심지어는 자금을 잘못된 주소로 전송하는 등의 피해를 볼 수 있기 때문입니다.

왕 이사는 암호화폐 운영업체들에게 소프트웨어와 인증서 신뢰 저장소를 업데이트하고, 애플리케이션이 해당 인증서를 거부하는지 확인하도록 촉구했습니다. 또한, 사용자들에게도 출처가 불분명한 웹사이트에 대한 주의를 기울이고, 의심스러운 링크나 이메일을 클릭하지 않도록 당부했습니다.

이번 사건은 암호화폐 생태계의 보안 강화와 함께, 모든 소프트웨어 및 서비스 제공업체들이 최신 보안 패치를 적용하고 잠재적인 취약점을 지속적으로 점검하는 것의 중요성을 다시 한번 일깨워주고 있습니다. 특히, 암호화폐와 같이 자산이 직접적으로 연관된 분야에서는 사소한 보안 오류가 치명적인 결과로 이어질 수 있다는 점을 명심해야 할 것입니다.