취약점

비트코인 뉴스의 모니터링에 따르면, DART는 독립 화이트 해커 연구자들과 함께 COLDCARD 엔트로피 취약점의 영향을 받은 지갑에서 50개 이상의 BTC를 구출했으며, 악의적인 공격자가 탈취하기 전에 이전을 완료했습니다. DART는 디지털 자산 회수 조직으로, 화이트 해커 연구자들과 협력하여 취약점이 있는 자금을 보호하고 이를 합법적으로 소유자에게 반환하는 것을 조정합니다.화이트 해커 연구자들은 보상을 요구하지 않고 비트코인을 소유자에게 반환할 것입니다. 구출된 BTC는 크립토 리커버리 트러스트로 이전되었습니다. 이 신탁은 와이오밍 주 법률에 따라 설립된 전용 법정 신탁으로, 회수된 디지털 자산을 보유하고 합법적인 소유자를 확인하고 검증한 후 반환하는 데 사용됩니다.신탁은 회수 과정을 기록하고 BTC를 DART 및 연구자들의 자금과 분리하며, 블록체인 분석, 소유권 검증 및 제재 심사를 수행하고 검증된 소유자에게 합법적인 반환 절차를 제공합니다. 소유권에 분쟁이 있거나 관련 자금이 제재 또는 형사 절차에 관련된 경우, BTC는 적용 가능한 법적 절차에 따라 처리됩니다. DART는 다른 취약점이 있는 자산 및 회수 단서도 여전히 검토 중이라고 밝혔습니다.

Liquid Network는 최신 진행 상황을 발표하며 긴급 버전 Elements v23.3.4가 이제 온라인으로 제공되며, Functionary 노드는 즉시 업그레이드를 시작했으며 모든 Liquid 노드 운영자에게 동기화 업데이트를 권장합니다. 이 버전은 이전에 발견된 Proof 검증 캐시 취약점을 수정하고 Range Proof 사용을 위한 캐시 키를 강화했습니다.네트워크 복구에 관하여, Blockstream은 현재 복구 계획을 수립 중이며, 세 단계로 진행될 예정입니다: 블록 생성 복구하되 Peg 작업은 계속 중단; 검증된 유효 거래 재전송; 네트워크 상태가 완전히 복구되고 자금 반환이 확인된 후 Peg 작업 복구. 현재 앞의 두 단계가 병행 테스트 중이며, 각 단계는 안전이 확인된 후에만 진행됩니다. Liquid Network는 Elements v23.3.4가 Bitcoin Red Team, Alpen Labs 등 팀이 참여한 여러 차례의 내부 및 외부 검토를 완료했다고 밝혔습니다.동시에 Liquid Network는 사용자에게 이번 사건을 이용한 사기를 실행하는 가짜 업그레이드 웹사이트에 주의할 것을 상기시키며, 공식 Liquid Network 및 Blockstream 채널을 통해서만 정보를 얻고, 낯선 사람에게 자금을 보내거나 개인 키, 복구 문구를 누설하지 말 것을 권장합니다.

Bitcoin News는 X 플랫폼에서 Alby가 Alby Hub v1.7.0부터 v1.18.5까지의 중요한 취약점을 확인했다고 발표했습니다. 관리 API가 공용 네트워크에 노출될 경우 공격자는 무단 접근 권한을 얻고 자금을 이동할 수 있습니다. 현재 1명의 사용자가 영향을 받았으며, Alby Hub v1.19.0 및 그 이상의 버전은 영향을 받지 않습니다.Alby는 영향을 받은 사용자에게 관리 인터페이스의 공용 접근을 제한하고 즉시 v1.24.0으로 업데이트한 후 잠금 비밀번호를 변경할 것을 권장합니다. Bitcoin Team Red, Project Loupe 및 기타 연구자들이 보고한 여러 문제도 최신 버전에서 수정되었습니다.

비트코인 뉴스 모니터링에 따르면, Liquid Federation은 사건 보고서를 발표하며 공격자가 Elements 범위 증명 검증 캐시 취약점을 이용해 약 4000개의 무저장 L-BTC를 발행한 후 SideSwap을 통해 승인된 출구 고정 경로로 이를 실제 BTC로 교환했다고 전했습니다. Liquid 기능 기관은 관련 거래를 유효한 것으로 간주하고 연방 준비금에서 약 4000개의 BTC를 해제했습니다.사건 발생 전 Liquid는 약 4205개의 BTC를 보유하고 있었으며, 운영 중단 전 준비금은 최소 197개의 BTC로 감소했습니다. 자칭 화이트 해커인 공격자는 이후 3400개의 BTC를 반환했으며, 여전히 약 598.5개의 BTC가 반환되지 않았습니다. 개인 키는 유출되지 않았으며, 출구 고정 메커니즘 자체는 설계대로 작동했습니다. Liquid는 현재 여전히 오프라인 상태이며, Blockstream은 Elements v23.3.4 긴급 버전을 출시할 준비를 하고 있으며 1:1 비트코인 준비금 지원 하에 네트워크를 복구할 계획입니다.

공식 소식에 따르면, The Sandbox는 SAND 보상 신청을 공식적으로 개방한다고 발표했습니다. 이전에 8월 22일 발생한 Base와 BNB 스마트 체인(BSC) 네트워크 SAND 크로스 체인 계약 취약점 사건에 영향을 받은 사용자들은 사건 발생 전 영향을 받은 네트워크에서 브릿지 버전 SAND를 보유하고 있었다면 1:1 비율로 이더리움 네트워크에서 SAND 전액 보상을 받을 수 있습니다. 보상 자격은 사건 발생 전의 체인 상 잔액 스냅샷을 기준으로 하며, 사건 발생 후 사용자 거래, 전송 또는 보유 행동과는 무관합니다.The Sandbox는 보상 자격이 계약이 해킹되기 전 기록된 체인 상 잔액에 따라 결정된다고 밝혔습니다. Base 네트워크 스냅샷은 2026년 8월 21일 23:42:03 UTC의 블록 50283188에 해당하며, BSC 스냅샷은 2026년 8월 21일 11:42:44 UTC의 블록 117322025에 해당합니다.중앙화 거래 플랫폼을 통해 Base 또는 BSC 네트워크 SAND를 보유한 사용자는 아무런 조치를 취할 필요가 없으며, The Sandbox는 관련 거래 플랫폼과 협력하여 보상을 처리하고 있습니다. 개인 지갑을 통해 보유한 사용자는 스스로 신청해야 합니다. 신청 기간은 9월 8일부터 9월 22일 24:00(UTC+8)까지입니다. 신청은 사건 스냅샷 시 SAND를 보유한 원 지갑에서 거래를 시작하면 되며, 토큰 권한 부여, 오프체인 메시지 서명, 또는 어떤 주소로의 전송이 필요하지 않습니다.

하드웨어 지갑 제조업체 Ledger와 Trezor는 보안 연구자들에게 더 책임감 있는 취약점 공개 방식을 취할 것을 촉구했습니다. Ledger의 최고 기술 책임자 Charles Guillemet는 X 플랫폼에 글을 올리며 인공지능이 취약점을 발견하고 악용하는 것을 더 쉽게 만들고 있지만, 일부 연구자들이 수정안 발표 전에 세부 정보를 공개하는 것을 "타인의 위험을 이용해 주목을 끌기"라고 언급했습니다.Guillemet는 연구자들에게 먼저 비공식적으로 취약점을 보고하고, 수정 시간에 대해 합의한 후에 세부 정보를 공개할 것을 촉구했습니다. 그는 90일을 일반적인 기본 기한으로 제시하며, 취약점의 심각성과 수정에 필요한 작업량에 따라 유연하게 조정할 수 있다고 말했습니다. Trezor의 보안 책임자 Jan Komárek는 Cointelegraph에 90일이 제조업체에 대한 약속이지 단순히 연구자들의 의무가 아니라고 밝혔습니다. 그는 연구자들이 먼저 제조업체에 연락하여 일정에 대해 합의하고, 제조업체가 해당 기한 내에 수정을 완료하지 못할 경우 공개적으로 공개할 수 있다고 제안했습니다.이번 발언의 배경은 하드웨어 지갑의 보안성이 최근 밀접하게 주목받고 있다는 것입니다: Coldcard 도난 사건은 1억 달러 이상의 금액이 관련되어 있으며, Trezor의 물류 공급업체 데이터 유출은 수만 명의 고객 개인 정보에 영향을 미쳤습니다.

비트코인 뉴스에 따르면, Blockstream은 "화이트 해커"에게 취약점이 수정되었음을 알렸으며, 4,000개의 BTC를 안전하게 반환할 수 있다고 전했습니다. 이전에 Liquid 네트워크에서 약 4,000개의 BTC를 인출한 해커는 자금을 반환할 의사를 밝혔지만, 취약점 수정이 필요하다고 했습니다. 전체 협상 과정은 비트코인 OP_RETURN 메시지를 통해 공개적으로 진행되었습니다.해커는 처음에 "대부분"의 BTC를 반환하겠다고 제안했으나, 이후 취약점이 먼저 수정되어야 한다고 요구했습니다: "먼저 취약점을 수정해 주세요. 최신 제출된 코드는 체인에 위험을 초래합니다. 모든 노드가 패치되었는지 확인한 후, 우리가 수정을 확인하면 안전하게 자금을 반환하겠습니다."해커는 또한 Blockstream에 암호화된 취약점 세부 정보를 보냈습니다. 약 두 시간 전, Blockstream은 PGP 서명된 OP_RETURN 메시지로 응답했습니다: "크로스 체인 브리지 노드가 패치되었으며, 자금을 안전하게 반환할 수 있습니다." 현재 3,998.5개의 BTC는 여전히 해커의 통제 하에 있습니다.

슬로우 안개 경고에 따르면, 두 명의 공격자가 BSC 체인에서 최근 Notional Finance 취약점 공격 기법을 복제한 것으로 감지되었습니다. 공격자는 초기 준비를 완료하고 동일한 취약점 패턴을 이용하여 악성 fCash 포지션을 생성했습니다. 현재 공격은 완전히 실행되지 않았으며, 악성 포지션은 만기를 기다리고 있습니다.만기가 도래하면 공격자는 포지션을 정산하고 프로토콜에서 자산을 인출할 수 있습니다. 슬로우 안개는 영향을 받는 프로젝트가 즉시 완화 조치를 취하고 포지션 만기 전에 방어를 완료할 것을 강력히 권장합니다.

SideSwap은 성명을 발표하며 오늘 14:05 UTC에 한 고객이 peg-out 서비스에 4000 L-BTC를 보냈다고 전했습니다. 해당 서비스는 주문을 정상적으로 처리하였고, L-BTC는 Liquid에서 소각되었으며 유효한 peg-out 권한이 부여되었습니다. 14:28 UTC에 Liquid Federation은 해당 고객의 비트코인 주소로 3996 BTC를 지급했습니다.Blockstream은 이후 이 L-BTC가 Elements 소프트웨어의 취약점으로 인해 발행되었음을 확인했습니다. SideSwap의 peg-out 권한 키 및 시스템은 해킹되지 않았으며, 서비스는 이러한 토큰을 다른 L-BTC와 구분할 수 없습니다. SideSwap은 비관리형 서비스로, 사용자 지갑은 영향을 받지 않으며 자산은 사용자 자신의 키로 제어됩니다.Liquid는 Federation에 의해 일시 중단되었으며, SideSwap의 교환, peg-in 및 peg-out은 네트워크가 복구될 때까지 중단됩니다. 비트코인에서 완료된 peg-out은 영향을 받지 않습니다. 완료되지 않은 peg-in 또는 peg-out은 거래 ID를 hello@sideswap.io로 보내어 개별 처리할 수 있습니다. 서비스가 복구되기 전에는 새로운 peg-in 또는 peg-out 입금을 보내지 마십시오.

Decrypt에 따르면, 구글은 해커가 이용한 고위험 취약점 CVE-2026-85046을 Chrome 브라우저에서 수정했습니다. 이 취약점은 JavaScript와 WebAssembly를 실행하는 V8 엔진에 존재합니다.구글은 이 취약점이 실제로 악용되었다고 확인했지만, 공격자의 신원, 목표 또는 취약점의 구체적인 이용 방식은 공개하지 않았습니다. 패치는 Chrome 152.7977.82/83 버전에 포함되어 있으며, 향후 며칠 또는 몇 주 내에 배포될 예정입니다.이 취약점은 보안 연구원 살바토레 굴리치아가 8월 4일에 보고했으며, 구글은 그에게 1,000달러의 취약점 보상을 지급했습니다. 이번 업데이트에는 총 12개의 보안 수정이 포함되어 있으며, 그 중 9개는 고위험, 2개는 중위험입니다. 구글은 이번 취약점을 암호 자산 도난 사건과 연관짓지 않았지만, 브라우저 지갑, 거래소 계좌 및 거래 확장 기능은 이전에 다른 방식으로 공격의 목표가 되었습니다.

느린 안개 보안 팀에 따르면, 무료 VPS 서비스로 위장한 공격 활동이 발견되었으며, 이는 iOS 18.4에서 18.6.2 버전의 iPhone Safari 브라우저를 대상으로 하고 있습니다.공격자는 DarkSword라는 코드명으로 6개의 취약점을 이용하여 완전한 공격 체인을 형성하였으며, 이는 WebKit 원격 코드 실행, 샌드박스 탈출 및 커널 읽기/쓰기를 포함합니다. 사용자가 인식하지 못하는 사이에 App 컨테이너 파일과 키체인 데이터를 획득하고, imToken, TokenPocket 또는 TronLink와 같은 지갑이 전면에 있을 때 키보드 입력을 기록할 수 있습니다.느린 안개 팀은 위의 6개 취약점이 현재 Apple에 의해 수정되었으며, 현재 공격은 n-day 취약점 체인의 재사용에 해당한다고 밝혔습니다. 악성 페이지에 접근하는 것만으로는 니모닉 또는 개인 키가 도난당했음을 직접적으로 증명할 수 없으며, 여전히 장치 포렌식을 통해 확인해야 합니다. iOS/iPadOS 사용자에게는 가능한 한 빨리 시스템을 18.7.3 또는 26.3 이상의 버전으로 업그레이드할 것을 권장합니다.

증권시보에 따르면, 제4회 사이버 보안(톈진) 포럼에서 360 그룹 창립자 주홍이 주제 발표를 하였으며, AI가 사이버 공격과 방어의 판도를 변화시켰다고 언급했습니다. 전통적인 솔루션은 지속 가능성이 떨어지며, "모델로 모델을 다스린다"는 핵심을 가진 자동화 공격 및 방어의 새로운 시스템을 구축해야 한다고 강조했습니다. AI의 능력을 통해 AI의 위험을 해결하고, 대형 모델 자체의 안전성을 보장하며, 생성된 콘텐츠의 신뢰성을 확보하고, 출력 결과의 신뢰성을 높여야 한다고 말했습니다.주홍은 또한 지능형 에이전트의 전체 생애 주기 관리에 대응해야 하며, 감사 가능하고, 개입 가능하며, 차단 가능한 통제 메커니즘을 구축해야 한다고 제안했습니다. 그리고 사이버 보안 산업이 AI 취약점 발견, 자동화 방어 및 지능형 에이전트 안전 시스템을 조속히 형성할 것을 촉구했습니다.

OpenAI는 곧 출시될 Astra 모델이 인적 개입 없이 이전에 알려지지 않은 소프트웨어 취약점을 자율적으로 발견하고 이를 사용할 수 있는 공격 수단으로 전환할 수 있다고 밝혔으며, 이는 해당 회사의 첫 번째 "심각한" (Critical) 사이버 보안 능력 수준 기준을 충족하는 모델이 됩니다. OpenAI는 화요일에 발표한 블로그 글에서, Preparedness Framework에 따르면 이 수준에 도달하는 것은 모델이 인적 개입 없이 강화된 실제 시스템에서 제로데이 취약점을 발견하고 사용할 수 있는 익스플로잇 코드를 개발하거나 단지 하나의 고수준 목표만으로 공격을 설계하고 실행할 수 있음을 의미한다고 설명했습니다.테스트에서 Astra는 알려진 취약점을 기반으로 한 익스플로잇 코드 개발 기준 테스트에서 100%의 성과를 거두었고, 또 다른 내부 테스트에서 두 개의 이전에 알려지지 않은 취약점을 발견했습니다. 또한 이 모델은 강화된 브라우저 샌드박스를 성공적으로 우회하고 호스트 머신에서 명령을 실행했으며, 운영 체제의 여러 취약점을 조합하여 root 권한을 획득했습니다. OpenAI는 보안 방어 조치를 강화하기 위해 Astra의 일부 개발 진행을 연기했으며, 최첨단 사이버 보안 능력을 선별된 테스트 사용자에게만 공개할 계획이라고 밝혔습니다.이 능력은 암호화 산업과 특히 관련이 깊습니다. 소프트웨어 취약점은 몇 분 안에 자금 손실로 전환될 수 있기 때문입니다. CoinDesk는 올해 6월, 점점 더 강력해지는 AI 모델이 코드 검색, 잘못된 구성 발견 및 공격 조합 과정을 며칠 또는 몇 주에서 기계 속도로 압축할 수 있다고 보도했습니다. 당시 보안 연구원들은 더 큰 변화가 새로운 공격 유형의 출현이 아니라 기존 취약점이 발견되고 이용되는 속도가 크게 향상된 것이라고 지적했습니다.

SlowMist의 모니터링에 따르면, GebProxyActions 계약은 호출자 접근 제어 부족으로 인해 약 5.9436 ETH의 손실을 초래했습니다. 피해자는 DSProxy를 통해 위임 호출하는 대신 직접 GebProxyActions.quitSystem을 호출하여 ownsSAFE[safe]가 GebProxyActions 계약으로 설정되었습니다.공격자는 GebProxyActions.quitSystem(manager, safe, dst)를 직접 호출하여 GebSafeManager의 safeAllowed 검사를 우회하고 담보를 자신의 것으로 전송했습니다.

Balancer는 X 플랫폼에서 팀이 잔여 Balancer v1 계약에서 LP 자금을 소진할 수 있는 취약점을 발견했다고 발표했습니다. 이 풀은 더 이상 사용되지 않으며 일시 중지할 수 없으므로 사용자에게 legacy.balancer.fi를 통해 비율에 따라 자금을 인출할 것을 권장합니다. 다른 Balancer 제품은 영향을 받지 않습니다.

Cronos 네트워크가 복구되어 블록 생성을 재개했습니다. 이는 사용자들이 Tectonic 프로토콜의 취약점으로부터 보호하기 위해 네트워크 운영을 일시 중단한 후의 조치입니다. 전체 사후 분석 보고서는 곧 발표될 예정입니다.

Flow 블록체인 공식 발표에 따르면, 오늘 약 06:18 UTC에 Ankr의 ankrFLOW 유동성 스테이킹 계약에 취약점이 발견되어 공격자가 약 860만 개의 무담보 ankrFLOW를 생성했습니다. 이는 Flow EVM 또는 Flow 프로토콜의 취약점이 아니며, Flow 토큰 경제학에 영향을 미치지 않습니다.공격자는 이후 ankrFLOW를 담보로 사용하여 MORE Markets 대출 프로토콜에서 약 1550만 WFLOW의 준비금을 소진했으며, 이는 약 41만 달러의 가치가 있으며, 슬리피지 후 약 24.6만 달러의 이익을 얻었습니다. 일부 보도에서는 약 930만 달러에 영향을 미쳤다고 잘못 보도했습니다. Ankr와 MORE Markets는 관련 계약을 중단했으며, 일부 거래소는 예방 차원에서 FLOW 충전을 일시 중단했습니다.Flow 재단은 Ankr와 협력하여 도난당한 WFLOW 준비금을 보충하고 유동성 풀을 재조정할 것입니다. Flow 네트워크는 정상적으로 운영되고 있으며, ankrFLOW 스테이킹과 MORE Markets 대출은 Ankr가 수정 업그레이드를 배포할 때까지 중단됩니다. 사용자 자금은 안전하며, 별도의 조치를 취할 필요가 없습니다.

탈중앙화 거래 프로토콜 Balancer는 8월 31일 V1 구버전 유동성 제공자에게 자금을 신속히 인출할 것을 경고했습니다. 그 이유는 LP 자금이 고갈될 수 있는 취약점을 발견했기 때문입니다. Balancer는 이러한 폐기된 V1 풀은 일시 중지할 수 없으므로 사용자 측에서의 일시 중지 조치가 현재 가장 직접적인 위험 방어선이 된다고 밝혔습니다.Balancer는 사용자에게 구버전 퇴출 인터페이스를 통해 비율에 따라 퇴출할 것을 안내하며, 다른 제품은 영향을 받지 않는다고 강조했습니다. 이 경고는 여전히 구 계약 포지션을 보유한 LP에게 해당되지만, Balancer는 영향을 받은 풀의 남은 자금 규모를 공개하지 않았고, 관련 풀 주소도 발표하지 않았습니다. 퇴출 도구는 지갑 연결 또는 주소 입력을 통해 포지션을 스캔할 수 있도록 지원하며, 풀 주소를 수동으로 추가하는 것도 허용합니다.블록체인 보안 기관 SlowMist는 Balancer V1 풀의 손실을 약 23.4만 달러로 별도로 추정했습니다. SlowMist는 이번 자금 유출을 joinswapPoolAmountOut 경로의 정수 반올림 결함에 기인한다고 분석했습니다: 공격자는 먼저 풀 내 WBTC 보유량을 극소수로 압축하여 계산에 필요한 입력이 1 사토시의 WBTC로 내림 반올림되도록 하면서 요청된 풀 토큰을 여전히 발행한 후 비율에 따라 퇴출하여 풀에서 DPI, USDC, WETH 및 WBTC를 빼앗았습니다.

Cronos Network 공식 발표에 따르면, 네트워크가 블록 생성이 재개되었고 전면적으로 운영이 복구되었습니다. 이전에 Cronos는 Tectonic 프로토콜의 취약점 악용 사건으로 인해 블록 생성을 중단했으며, 검증자는 사용자 자금을 보호하기 위해 긴급 합의 조치를 취하고 체인 상태를 8월 30일 Tectonic 취약점 악용 이전으로 롤백했습니다.현재 네트워크는 UTC 시간 8월 30일 23:49:01에 블록 높이 90,896,189에서 블록 생성을 재개했습니다. Cronos는 노드 운영자가 이제 Cronos v1.7.8 버전 및 최신 메인넷 스냅샷을 사용하여 노드를 재시작할 수 있다고 밝혔습니다.네트워크는 현재 지속적인 모니터링 상태에 있으며, 일부 프로토콜, RPC 서비스 제공업체, 블록 탐색기 및 크로스 체인 브릿지는 복구하는 데 더 오랜 시간이 필요할 것으로 예상됩니다. Cronos는 팀이 네트워크 안정성을 확인한 후 전체 사건 복기 보고서를 발표할 것이라고 전했습니다.

Balancer는 구 버전 Balancer v1 계약에서 발견된 취약점에 대해 발표했습니다. 이 취약점은 LP 자금이 유출될 수 있습니다.관련 자금 풀은 더 이상 사용되지 않으며 중단할 수 없습니다. 사용자에게는 가능한 한 빨리 유동성을 철회할 것을 권장합니다. 다른 Balancer 제품은 영향을 받지 않습니다.