레저 CTO와 10억 건 이상의 다운로드에 영향을 미치는 NPM 공급망 공격 경고

하드웨어 지갑 제공업체 Ledger의 최고 기술 책임자 Charles Guillemet는 Node.js 생태계에 영향을 미치는 공급망 공격에 대해 공개 경고를 발표했습니다. Guillemet가 소셜 미디어 플랫폼 X에 올린 게시물에 따르면, 공격자들이 신뢰받는 개발자의 NPM(Node Package Manager) 계정에 접근하여 널리 사용되는 자바스크립트 패키지에 악성 코드를 주입했습니다. 이번에 침해된 패키지들은 누적 다운로드 수가 10억 건을 넘어, 암호화폐 분야의 개발자와 최종 사용자에게 심각한 위협이 될 수 있음을 보여줍니다.

악성 페이로드는 영향을 받은 라이브러리 내에서 거래 데이터를 가로채고 변경하도록 설계되어, 의도된 지갑 주소를 공격자의 주소로 은밀히 대체합니다. 이러한 변경은 엄격한 온체인 주소 검증을 구현하지 않은 애플리케이션에서는 보이지 않습니다. 그 결과, 이 패키지를 사용하는 탈중앙화 애플리케이션이나 스마트 계약을 통해 보내진 자금이 무단 계정으로 전환되어 사용자에게 상당한 재정적 손실을 초래할 수 있습니다.

Guillemet는 이 유형의 공격에 대한 유일한 신뢰할 수 있는 방어 수단은 보안 디스플레이와 클리어 서명(Clear Signing)을 지원하는 하드웨어 지갑의 사용이라고 강조했습니다. 보안 디스플레이는 사용자가 전송을 최종 확정하기 전에 정확한 수신자 주소와 거래 금액을 확인할 수 있게 해줍니다. 이러한 수준의 검증 없이는 하류 지갑 소프트웨어나 탈중앙화 애플리케이션이 주소 변경 공격에 취약하게 남아 있습니다.

오픈소스 소프트웨어 공급망은 특히 중요 인프라 및 금융 애플리케이션에서 잠재적인 침해 지점으로 오래전부터 인식되어 왔습니다. NPM에 대한 이번 공격은 현대 개발 워크플로우의 상호연결된 특성을 보여주며, 단일 계정의 침해가 광범위한 코드 오염으로 확산될 수 있음을 강조합니다. 보안 전문가들은 고위험 패키지 유지 관리자들에게 다중 인증, 정기적인 보안 검토 및 자동 무결성 검사와 같은 포괄적인 강화 전략을 구현할 것을 촉구하고 있습니다.

Ledger는 악성 코드의 확산을 가속화하지 않기 위해 아직 특정 패키지나 관련 개발자를 공개하지 않았습니다. Guillemet는 개발자들에게 의존성 감사를 실시하고, 주소 변경 활동을 탐지하기 위해 네트워크 요청을 모니터링하며, 패키지 무결성 검증을 위한 암호화 도구를 사용할 것을 권고했습니다. 또한, 그는 더 넓은 오픈소스 커뮤니티와 기업 사용자들이 협력하여 침해된 모듈을 추적하고 복구할 것을 촉구했습니다.

이번 사건은 인기 있는 생태계에서 트로이 목마화된 의존성을 포함한 일련의 고프로파일 공급망 공격 이후 발생한 것입니다. 이번 공격은 보안 조치가 애플리케이션에 대한 직접 공격뿐만 아니라 전체 개발 파이프라인을 포함해야 함을 상기시켜줍니다. 조직들은 향후 위험을 줄이기 위해 의존성 화이트리스트, 지속적인 모니터링 및 사고 대응 계획 등의 엄격한 보안 통제를 도입하는 것이 권장됩니다.

보도: Margaux Nijkerk; 편집: Nikhilesh De.