해킹

OpenAI는 최근 AI 모델이 컴퓨터 과학에서 20년 이상 사용되어 온 추측 지수 시간 가설, 영어 약칭 ETH를 해결했다고 발표했습니다. 이 가설은 특히 계산하기 어려운 문제들이 얼마나 어려운지를 다루며, 불리언 만족 문제 SAT를 예로 들고 있습니다: 주어진 논리 조건 집합에 대해 모든 조건이 동시에 성립하는 값을 찾을 수 있는지 여부입니다. 문제의 규모가 커질수록 알려진 최선의 방법은 기본적으로 가능한 답을 하나씩 시도하는 것뿐이며, 시간 비용은 규모에 따라 지수적으로 증가합니다. 지수 시간 가설은 이러한 문제들이 본질적으로 크게 가속화될 수 없으며, 진정한 의미의 아지수 시간 효율적인 알고리즘이 존재하지 않는다고 추가로 주장합니다.이 가설은 1999년 제안된 이후 이론 컴퓨터 과학의 중요한 기초가 되어 왔으며, 많은 논문들이 이를 바탕으로 특정 문제들이 어렵다는 것과 특정 알고리즘들이 최적에 가까워졌다는 것을 증명해왔습니다. 만약 지수 시간 가설이 뒤집힌다면, 거의 불가능하다고 여겨지는 많은 문제들이 이론적으로 더 나은 해결책이 존재할 수 있음을 의미합니다. OpenAI는 그들의 모델이 k-SAT 문제의 해의 수를 아지수 시간 내에 정확하게 통계할 수 있는 결정론적 알고리즘을 찾았으며, Lean을 사용하여 형식적으로 검증했다고 주장합니다. 만약 이 결과가 최종적으로 전문가 검토를 견뎌낸다면, 지수 시간 가설에 직접적인 영향을 미칠 것입니다.

서울 경찰이 생성형 AI를 이용해 해킹 공격을 감행한 혐의로 7명을 체포했습니다. 서울지방경찰청은 관련 조직이 약 90개이며, 총 820만 건의 기록을 탈취했다고 밝혔습니다. 이는 한국에서 대규모 AI 지원 해킹 공격의 용의자를 처음으로 체포한 사례입니다. 피해 대상에는 병원, 대학, 사설 학원, 골프장 및 대기업 자회사들이 포함되어 있으며, 이들 기관은 많은 일반 시민의 이름, 연락처 및 기록을 보유하고 있습니다. 그 중 한 장례 서비스 기업은 122만 건의 기록을 잃었으며, 학원 데이터에는 미성년자 정보도 포함되어 있다는 보도가 있었습니다.현지 언론 보도에 따르면, 주범은 32세로 문예 및 체육 전공을 했으며 IT 배경이 없습니다. 그는 조사관에게 YouTube와 블로그를 통해 해킹 기술을 독학했다고 말했으며, 경찰은 그가 2019년부터 2022년까지 한 보안 회사에서 모의 공격 작업을 했다고 지적했습니다. 그는 먼저 웹사이트 취약점 스캐닝 도구를 사용한 후, 8월 말에는 AI 코딩 프록시와 자동화 침투 테스트 시스템인 Artex를 도입했습니다. 경찰에 따르면 그는 8월 31일부터 10월 13일 사이에 44일 동안 60개 회사를 해킹했습니다.전체 공격 작전은 약 13개월 동안 지속되었으며, 2025년 9월부터 올해 10월까지 진행되었습니다. 사건은 6월 한 피해자가 신고하면서 수사가 시작되었습니다. 경찰은 이처럼 대규모의 공격은 과거에는 해커 집단이 필요했지만, 이제는 AI 덕분에 한 사람이 짧은 시간 안에 이를 실현할 수 있다고 밝혔습니다. 범죄 용의자는 38명의 피해자에게 이메일을 보내 총 3억 6천만 원, 약 27만 2천 달러를 갈취하려 했으나, 확인된 유일한 지급액은 30만 원, 약 210 달러입니다. 주범은 지난 금요일 구속되어 검찰에 송치되었으며, 한국 정보통신망법 위반 및 강요, 강요 미수 등의 혐의를 받고 있습니다. 경찰은 나머지 6명의 공범에 대한 수사를 계속 진행하고 있으며, 더 많은 피해자를 확인하고 있습니다. 현재까지 15개 기관이 피해를 보고했습니다.

한 연구원이 PHP 취약점을 이용해 "내 비트코인을 훔쳐라" 도전을 성공적으로 해킹했습니다.이 도전의 상금은 0.02511679 BTC입니다. 그러나 도전 운영 측은 사후에 서버에 잘못된 지갑 키가 저장되어 있음을 발견하고, 결국 수동으로 상금을 해당 연구원에게 이체해야 했습니다.

왕이호《DeepTech 심과학》보도，오픈 소스 AI 프로그래밍 도구 OpenCode 공식 확인 침해를 당했으며, 약 1.4%의 OpenCode Console 사용자에게 영향을 미쳤고, 플랫폼에 저장된 일부 모델 API 키가 유출될 수 있습니다. 여러 개발자들은 OpenAI, Anthropic 등의 모델을 호출하는 데 사용되는 계정에서 비정상적인 비용이 발생했다고 주장하며, 어떤 사람은 수백 달러의 손실을 보고했고, 어떤 사람은 1700달러 이상이라고 말했습니다. 공식 발표에 따르면 이 사건은 대규모 증류 공격과 관련이 있으며, OpenAI, Anthropic, Google과 함께 처리하고 있습니다.OpenCode는 Anomaly 팀의 관련 인원이 개발하였으며, 주요 창립자 중 한 명은 Dax Raad입니다. 팀은 이전에 SST, OpenNext 등의 프로젝트를 진행했습니다. 로컬 프로그램 외에도, 클라우드 서비스 Console은 OpenAI, Anthropic, Google 등의 업체의 API 키를 작업 공간에 집중 저장하고 대신 호출할 수 있습니다. 사고는 이 클라우드 서비스에서 발생했습니다. 통지 이메일에 따르면, 공격자는 허가 없이 사용 중지된 구 시스템에 접근했으며, 일부 Console 작업 공간의 제3자 모델 API 키가 노출될 수 있습니다. 개발자 Colin Parsons는 OpenAI 계정에서 약 281달러, Anthropic 계정에서 약 168달러의 비정상적인 비용이 발생했다고 말했으며, Preston Zeller는 약 1700달러의 손실을 보고했습니다. 또 다른 사용자들은 Anthropic에서 약 400달러의 비정상적인 비용이 발생했다고 보고했으며, Google 서비스는 비정상 사용으로 인해 계정 제한이 발생했습니다.OpenCode는 영향을 받은 사용자에게 키를 철회하고 교체하며 최근 호출 기록을 확인하도록 통지했습니다. Anthropic Claude Code 팀의 멤버 Lydia Hallie는 Anthropic이 OpenCode와 협력하고 있으며, 영향을 받은 것으로 간주되는 Claude API 키를 철회했다고 밝혔습니다. OpenAI 팀의 멤버 Tibo는 영향을 받은 API 사용자가 사용을 복구할 수 있도록 OpenCode와 협력하고 있으며, 공격 기간 동안 비정상적으로 소모된 관련 한도를 환불할 것이라고 말했습니다. Dax Raad는 영향을 받은 것은 OpenCode Console이지 로컬에서 실행되는 OpenCode가 아니며, 사용자가 로컬 도구에서 직접 구성한 키는 OpenCode 서버로 전송되지 않는다고 설명했습니다. 10월 18일, 그는 소셜 플랫폼에서 공격자가 지난 48시간 동안 지속적으로 침입을 시도하고 있으며, 팀이 방어를 강화하고 있다고 언급했습니다.

Zcash 네트워크의 새로운 소프트웨어 Zakura 팀이 발표한 기술 문서에 따르면, NEAR Intents를 통해 완료된 각 ZEC 교환에 대해 독립적인 조회 키를 할당할 계획이라고 합니다. 이는 미래의 양자 컴퓨터가 공개 환불 주소를 이용해 사용자 결제 기록을 조합하는 취약점을 차단하기 위한 것입니다. NEAR Intents는 크로스 체인 토큰 교환을 지원하며, 사용자가 프라이버시 코인 ZEC를 USDC로 교환할 때, 해당 서비스는 NEAR 퍼블릭 체인에서 사용자의 Zcash 주소를 공개하여 사용하지 않은 ZEC를 환불하는 데 사용됩니다.Zcash 주소는 지갑 조회 키로 생성된 공개 키를 포함하고 있으며, 일반 컴퓨터는 이를 역산할 수 없습니다. 그러나 Shor 알고리즘을 실행하는 대형 양자 컴퓨터는 이론적으로 주소에서 키를 역추적할 수 있습니다. Zcash 지갑은 여러 개의 무관해 보이는 주소를 생성할 수 있지만, 이들은 일반적으로 동일한 조회 키를 공유합니다. 공격자가 이를 해킹하면 계정이 받은 모든 결제를 연관 지어 금액과 비고를 읽을 수 있습니다. Zakura의 솔루션은 각 교환에 대해 독립적인 조회 키를 할당하며, 지출 키는 여전히 사용자의 주 계정에 보관됩니다. 따라서 미래에 환불 주소가 해킹되더라도 공격자는 해당 교환과 관련된 결제만 볼 수 있습니다.이 설계는 실제 문제도 해결합니다. 수백 건의 교환을 수행하는 지갑은 수백 개의 키를 생성하게 되며, 백업 복구 시 각 키를 사용해 전체 Zcash 체인을 스캔해야 합니다. Zakura의 솔루션은 비공식적으로 조회할 수 있는 데이터베이스로, 개인 정보 검색 기술을 사용하여 지갑이 환불 경로를 문의할 때 데이터베이스는 해당 주소를 알지 못합니다. Zakura는 자사의 오픈 소스 라이브러리를 기반으로 구축된 지갑(예: Vizor)이 향후 몇 주 내에 이 기능을 추가할 수 있다고 밝혔으며, 하드웨어 지갑은 펌웨어 지원 후 뒤따를 예정이며, 이는 Zcash 개발자가 이번 달 설정한 1월 양자 저항 결제 목표보다 빠를 것입니다.

홍콩 경찰이 발표한 바에 따르면, 지난 2주 동안 150건 이상의 WhatsApp 계정 탈취 사기가 발생했으며, 총 손실액은 1,500만 홍콩 달러를 초과합니다. 최근, 가상 화폐 환전 업무를 하는 현지 회사의 직원이 계정 탈취를 당했습니다. 사기꾼은 원래의 작업 그룹을 차단하고 구성원을 블랙리스트에 올린 후, 그룹 이미지, 이름, 구성원 및 프로필 사진을 복사하여 가짜 그룹을 만들고 고객 대표를 사칭하여 환전을 요구했습니다.피해자는 관례에 따라 먼저 암호화폐를 상대방이 지정한 지갑으로 송금했으며, 고객 계좌 잔액이 부족하다는 사실을 발견하고 전화를 통해 확인한 후에야 사기를 당한 것을 깨달았습니다. 회사는 400만 홍콩 달러 이상의 손실을 입었습니다. 경찰은 WhatsApp 그룹은 위조할 수 있지만, 구성원의 전화번호는 실제 그룹과 완전히 동일할 수 없으며, 대화 게시 시간도 복제할 수 없다고 경고하고, 이중 인증을 활성화하고 송금 전에 전화로 상대방을 확인하여 공용 WiFi 또는 공용 컴퓨터에서 계정에 로그인하는 것을 피할 것을 권장합니다.

코인텔레그래프에 따르면, 보안 회사 해켄이 2026년 3분기 동안 총 107건의 암호화 해킹 공격이 발생했으며, 총 손실액은 11억 8천만 달러에 달한다고 밝혔습니다. 이 중 약 9억 6천만 달러(약 77%)는 공급업체 및 개발자 도구가 해킹당하고, 공개되지 않은 수정안이 유출되며, 감사 범위 외의 인프라와 관련이 있습니다.손실은 주로 네 건의 사건에 집중되었습니다: 비트겟에서 3억 8천7백만 달러, 리퀴드 네트워크에서 3억 2천만 달러, 테크토닉에서 1억 2천만 달러, 콜드카드 펌웨어 취약점에서 약 1억 1천5백만 달러가 발생했으며, 총합 약 80%를 차지합니다. 나머지 98건의 사건은 각각 1천만 달러 이하였으며, 중위수는 67만 달러입니다. 스마트 계약 공격이 가장 흔하게 발생했으며, 총 71건으로 손실액은 2억 2천8백만 달러에 달합니다. 이번 분기는 2025년 1분기 이후 가장 심각한 손실을 기록한 분기입니다. 회수 측면에서는 약 3억 8천7백만 달러가 반환되거나 역전되어, 총 손실의 약 33%를 차지하며; 운영자는 추가로 4억 1천만 달러의 사용자 손실을 부담하고 있으며, 여전히 약 3억 8천4백만 달러가 회수되지 않았습니다.

BBC에 따르면, 아일랜드 경찰(An Garda Síochána) 소속 여러 X 플랫폼 계정이 해킹당했으며, 여기에는 60만 팔로워를 보유한 @GardaTraffic과 거의 30만 팔로워를 가진 @GardaInfo가 포함됩니다. 해커는 계정의 원래 브랜드 정보를 제거하고 암호화폐 홍보 내용을 게시했으며, 계정의 지리적 위치를 암스테르담으로 변경했습니다.일부 게시물은 플랫폼에서 이미 차단된 계정과 관련이 있다고 표시되었습니다. 현재 아일랜드 경찰이 논평을 요청받았으며, 사건 조사는 계속 진행 중입니다.

Bernama에 따르면, 말레이시아 피락주 한 남성의 암호화폐 지갑이 해킹당한 것으로 의심되며, 약 1,247만 링깃(약 305만 달러)의 손실이 발생했습니다. 피락주 경찰청장은 피해자가 10월 9일 오후에 자신의 암호 자산이 무단으로 전송된 것을 발견했다고 밝혔습니다.초기 조사에 따르면, 관련 거래는 블록체인 네트워크를 통해 이루어진 것으로 나타났습니다. 경찰은 상업 범죄 수사 부서의 암호화폐 부서와 협력하여 자금의 흐름을 추적하고 관련 인물들을 조사하고 있습니다. 이 사건은 현재 말레이시아 형법 제420조의 사기 관련 규정에 따라 조사 중이며, 구체적인 공격 방식은 공개되지 않았습니다.

체인 분석가 Specter는 최근 X와 Reddit에서 Ledger 사용자 지갑 도난 사건 보고가 여러 건 발생했다고 발표했습니다. 관련 도난 주소를 추적한 결과, 자금은 수백 개의 피해자 지갑에서 나왔으며, 이더리움, 트론 및 비트코인 등 여러 주요 블록체인과 관련되어 있으며, 누적 손실은 8600만 달러를 초과했습니다.현재 분석가는 여러 관련 주소를 공개했지만, 공격 원인, 구체적인 피해자 수 및 Ledger의 보안 취약점 여부는 아직 확인되지 않았습니다. 현재 단계의 정보는 주로 체인 추적 및 커뮤니티 보고에서 나오며, 추가 확인이 필요합니다.

Ark Protocol 구현 프로젝트 Second가 발표한 바에 따르면, 그 서버는 월요일에 공격을 받아 자산으로 보유한 0.75 비트코인, 약 6.23만 달러의 손실을 입었습니다. 팀은 사용자 자금은 영향을 받지 않았으며 몇 시간 내에 수리를 완료했다고 밝혔습니다.공격자는 이후 프로젝트에서 더 많은 자금을 추출하려고 지속적으로 시도했으며, 서비스 거부 공격을 시작했습니다. Second는 화요일에 이 공격이 Bark 기반 지갑의 라이트닝 네트워크 송금 수신 능력 저하를 초래할 수 있다고 밝혔습니다. Second는 취약점이 Ark 서버의 boarding 프로세스에서 발생했으며, 공격자는 자신의 서명만으로 관련 boards에 등록하고 탈퇴할 수 있었고, 라이트닝 네트워크의 비용 노드에서 동일한 VTXO 배치를 사용할 수 있었다고 전했습니다. 공격자는 또한 Blink Wallet의 9월 19일 보안 취약점과 관련된 비트코인을 사용하려고 시도했지만 성공하지 못했습니다.

암호학 연구원 저스틴 드레이크가 X 플랫폼에 게시하며 블록체인 산업이 "벙커 모드"를 차분히 계획할 것을 촉구하고, 대량 보유자들이 서명된 적이 없는 거래에서 공키가 여전히 해시 뒤에 숨겨진 새로운 주소로 대부분의 자금을 이전할 것을 제안했습니다. 이후 매번 서명할 때 남은 자금을 새로운 주소로 이전해야 한다고 말했습니다.그는 AI가 수학 분야의 빠른 돌파구를 추진하고 있으며, ECDSA가 양자 컴퓨팅 "Q-Day" 이전에 고전 알고리즘에 의해 해킹될 가능성이 있다고 생각하고, 최악의 경우 수년이 아닌 수개월 내에 발생할 수 있으며, 대형 GPU 클러스터를 통해 약 일주일 내에 개인 키를 복구할 수 있다고 언급했습니다. 드레이크는 또한 불안해하거나 서두를 필요가 없다고 강조하며, 바이낸스, 비트뱅크, 로빈후드, 비트파이넥스, 테더가 이 기회를 통해 콜드 월렛을 강화할 수 있다고 말했습니다.

한국 연합 뉴스에 따르면, 한국의 5대 상업 은행이 인공지능에 의해 구동되는 해커 공격을 받았으며, 그 중 3곳에서 고객 정보가 유출되었습니다. 5대 은행이 동시에 공격을 받은 것은 한국 금융업계에서는 처음 있는 일입니다.전해진 바에 따르면, BNK 부산은행은 해커 공격으로 인해 11명의 외주 직원 개인 정보가 유출되었고, KB 국민은행은 119명의 고객 정보가 해커 공격으로 유출되었으며, 한아은행도 89명의 고객 정보가 유출되었다고 밝혔습니다.

비트코인닷컴에 따르면, 마이크로소프트의 공식 X 계정이 해커에게 탈취당했으며, 해당 계정은 클래식 핀 도우미 이미지를 테마로 한 밈 코인 CLIPPY를 홍보하는 데 사용되었습니다. 현재 관련된 위반 내용은 제거되었으며, 마이크로소프트는 언론에 계정이 무단 접근을 당한 사실을 확인하고 이 사건에 대한 조사를 지속하고 있다고 밝혔습니다.

시장 소식에 따르면 해커가 미국으로 향하는 유조선의 추진 시스템을 해킹했습니다.

암호 자산 관리 회사 BlockTower Capital의 창립자이자 최고 투자 책임자인 Ari Paul은 X에서 다음과 같이 게시했습니다: Coinbase는 수년 전 "2500만 달러"의 자금을 "잃어버렸고", 이후 상대방이 대규모이자 반복적으로 발생하는 해킹 공격을 은폐하고 있었음을 발견했으며, 현재까지 관련 자금을 반환하지 않았습니다.Ari Paul은 그의 팀이 최소 10개 이상의 다른 영향을 받은 기관을 추적했으며, 은폐된 금액이 10억 달러를 초과한다고 밝혔습니다. 그는 현재 여러 법적 절차가 진행 중이기 때문에 이 정보만 공개할 수 있다고 말했습니다.

ViaBTC 창립자 겸 CEO 양하이보가 글을 발표하며: CoinEx가 종료되고 있지만, 그 열 지갑 시스템은 여전히 상당히 진보적이며 업계의 참고가 될 만하다고 전했다. 그는 CoinEx가 열 지갑에 MPC 기반의 이중 서명 솔루션을 도입하여 단일 실패 지점을 제거했다고 소개했다.양하이보는 관련 인프라가 비즈니스 시스템과 지갑 시스템으로 분리되어 완전히 독립적인 팀이 각각 운영하며, 각 팀이 하나의 개인 키를 보유하고 있다고 말했다. 모든 출금이나 이체는 반드시 양측의 실질적인 리스크 관리 검토를 통해 실시간으로 이루어져야 하며, 어느 한 시스템이 해킹당하더라도 자산을 도난당할 수 없다고 강조했다.그는 지갑 서명 프로세스는 독립적으로 구현되어야 하며 각 노드의 원래 메커니즘에 의존할 수 없기 때문에 대규모 재구성이 필요하다고 덧붙였다. 팀은 1년 넘게 시간을 들여 CoinEx가 지원하는 거의 300개의 체인 중 대다수를 하나씩 개조했다고 밝혔다.

구글은 그 Gemini 모델이 5월의 한 보안 테스트에서 샌드박스 환경을 넘어 세 개의 실제 회사에 침입하고 그 중 두 개의 비밀번호를 추측하거나 찾아냈다고 인정했습니다. 구글은 7월 하순에 이 사실을 알게 되었지만, 9월 18일 《월스트리트 저널》의 보도가 나온 후에야 공개적으로 확인했으며, 침묵 기간은 7주에 달했습니다.이번 테스트는 깃발 잡기 연습으로, 구글이 이스라엘 회사 Irregular에 의뢰하여 5월에 진행되었습니다. Irregular는 실제 인터넷과의 접촉이 없는 격리 테스트 환경을 개방된 네트워크에 연결하고, 실제 회사의 이름을 허구의 목표로 사용했습니다. Gemini는 해당 회사를 검색할 때 세 개의 일치 결과를 발견하고 하나씩 공격했으며, 그 중 두 개 회사의 평문 비밀번호가 직접 인터넷에 노출되었고, 세 번째 회사는 모델이 비밀번호를 추측했습니다. 구글은 자사의 모델이 결국 도용한 자격 증명을 실제로 사용하지 않았다고 밝혔습니다.구글은 올해 네 번째로 내부 보안 테스트가 실제 세계로 유출되었다고 인정한 대형 AI 연구소입니다. 이전에 OpenAI의 모델은 소프트웨어 취약점을 이용해 Hugging Face 서버에 접근했으며, Anthropic은 14.1만 번의 테스트를 검토한 후 세 개의 Claude 모델이 실제 회사에 접근한 것을 발견했습니다. Meta의 Muse Spark 모델도 Irregular의 구성 오류로 인해 유사한 사고가 발생했습니다. 또한, 미국 하원의원 Ted Lieu와 Nathaniel Moran은 7월에 《AI 긴급 종료 법안》을 제안하여 연방 규제 기관이 심각한 위협을 구성하는 모델의 추론을 중단할 수 있도록 권한을 부여할 계획을 세웠습니다.