은밀한 브라우저 확장에 의해 표적이 된 솔라나 거래자들이 스왑 수수료를 빼앗겼다

비밀리에 작동하는 브라우저 확장 프로그램으로, ‘Crypto Copilot’이라는 이름이 붙여진 이 확장 프로그램은 사이버 보안 업체 Socket에 의해 확인되기 전까지 몇 달 동안 사용자들의 Solana 스왑에서 거래 수수료를 빼돌린 것으로 드러났습니다. 이 확장 프로그램은 2025년 6월부터 Chrome 웹 스토어에서 이용 가능했으며 Raydium 사용자를 위한 거래 보조 도구로 가장했지만 합법적인 스왑 거래와 함께 숨겨진 이체 지시를 실행했습니다.

설치 시, ‘Crypto Copilot’은 각 DEX 스왑 묶음에 추가 지시를 주입하여 교환 금액의 0.0013 SOL 또는 0.05%를 공격자 제어 지갑으로 유입되도록 만들었습니다. Solana의 원자적 트랜잭션 실행을 이용해 확장 프로그램은 지갑 인터페이스의 경고를 우회했고, 무고한 사용자들이 의도된 이체와 악의적 이체를 동시에 승인하도록 만들었습니다.

온체인 분석에 따르면 지금까지 피해자 수가 적고 누적 손실도 미미했습니다. 그러나 이 악용은 거래 규모에 따라 선형적으로 확대되며, 거래량이 큰 트레이더들로부터 상당한 금액을 빼앗을 가능성이 있습니다. 예를 들어 100 SOL 스왑의 경우 거래당 0.05 SOL이 재배치되며, 이는 현행 거래소 환율로 대략 10달러에 해당합니다.

보안 전문가들은 이 확장 프로그램의 백엔드 인프라가 운영 성숙도가 부족하다고 지적했습니다. 주요 도메인 cryptocopilot.app은 일반 호스팅 서비스에 주차되어 있었고 대시보드 엔드포인트에는 오탈자가 있어 빈 페이지를 반환했습니다. 이러한 간과는 이 익스플로잇이 정교한 국가 주도 캠페인이라기보다는 아마추어 해커나 프리랜서의 작업에서 시작되었을 가능성을 시사합니다.

Chrome Web Store의 절차로 인해 자동 검토 메커니즘에도 불구하고 확장 기능은 여전히 라이브 상태로 남아 있었습니다. Socket은 정식 차단 요청을 제기했지만 보도 시점에는 제거가 보류 중이었습니다. 사용자는 설치된 확장 프로그램을 점검하고 서명 권한을 회수하며, 악용 도구와 상호 작용한 경우 자금을 새 지갑으로 이전하라는 권고를 받습니다.

주목할 점은 이 사건이 브라우저 확장에 서명 권한을 부여하는 데 내재된 더 큰 위험을 강조한다는 점이다. 폐쇄형 소스 코드가 악성 로직을 숨길 수 있기 때문이다. 커뮤니티 주도 감사, 오픈 소스 도구, 분산 서명 프로토콜이 온체인 자산 흐름을 보호하기 위한 완화 전략으로 제안되었습니다.

DeFi 활동이 확대됨에 따라 이 공격은 사용자 인터페이스 계층에서 엄격한 보안 표준의 필요성을 강조합니다. 개발자와 자산 보관자는 편의 기능과 강력한 안전 점검 간의 균형을 맞추기 위해 협력해야 하며, 사용자의 승인이 개별적인 온체인 지시를 정확히 반영하도록 보장해야 합니다. 이러한 조치가 없다면 유사한 수수료 빼앗기나 자금 리디렉션 악용이 플랫폼 전반으로 확산될 수 있습니다.

연구자들은 추가 거래를 추적하기 위해 공격자 지갑을 지속적으로 모니터링하고, 도난된 자금을 추적하기 위해 법 집행기관과 협력하고 있습니다. 솔라나 커뮤니티, 거래소 운영자 및 사이버보안 업체가 함께 위협 인텔리전스를 공유하고 분산 거래 환경에서 보안 브라우저 상호 작용의 모범 사례를 강화하기 위해 협력하고 있습니다.