트러스트월렛은 유출된 Chrome API 키들을 통해 850만 달러 규모의 공급망 해킹들을 확인했습니다.

개요

Trust Wallet은 손상된 Chrome 확장 업데이트를 통한 공급망 공격으로 약 850만 달러의 손실이 발생했다고 확인했습니다. 유출된 Google Chrome 웹 스토어 API 키로 인해 공격자는 악성 버전의 Trust Wallet 브라우저 확장 프로그램을 공식 웹 스토어에 직접 업로드하여 코드 검토 및 보안 점검을 우회했습니다.

공격 상세 정보

• 공격 기간: 2025년 12월 24일 – 26일
• 확장 버전: 2.68
• 피해자 수: 2,520개 지갑 주소
• 수법: metrics-trustwallet[.]com이라는 가짜 도메인으로 위장된 분석 트래픽에 악성 코드

기술 분석

공급망 공격 범주: 키 침해. 일반적인 스마트 계약 악용과 달리 이 사건은 배포 메커니즘을 겨냥했습니다. 확장 프로그램 게시에 사용된 개인 자격 증명이 노출되어 릴리스 파이프라인에 데이터 탈취 코드를 주입할 수 있게 되었습니다. 온체인 취약점은 악용되지 않았으며 최종 사용자는 신뢰할 수 있는 인프라를 통해 표적이 되었습니다.

대응 조치

• 손상된 API 자격 증명을 즉시 폐기했습니다.
• 보안 확장 버전 2.69로 롤백했습니다.
• 배포 시스템에 대한 강화된 릴리스 키 관리 및 다단계 인증(MFA)을 구현했습니다.
• 적격한 모든 피해자에게 손실 전액을 보상했습니다.

산업적 함의

배포 키와 같은 중요한 인프라 구성 요소는 단일 실패 지점을 구성합니다. 확장 프로그램 기반 지갑은 엄격한 자격 증명 회전, 게시자 계정 모니터링, 아웃오브밴드 코드 서명을 도입해 유사한 위험을 완화해야 합니다. 보안 팀은 공급망 벡터를 스마트 계약 감사와 동일한 우선순위로 고려해야 합니다.

사용자 권고

버전 2.68을 설치한 사용자는 보안이 침해되었다고 가정하고, 보안 기기에서 생성된 새 지갑으로 자금을 옮기고 시드 구문을 재생성해야 합니다. 확장 버전 확인 및 v2.69 이상으로의 업데이트는 필수입니다. 보상 청구는 공식 Trust Wallet 지원 채널을 통해 제출해야 합니다.