20개월간 이어진 Fearless Wallet 침해, DOT 인출 기간 단축의 위험 드러내

20개월간 이어진 Fearless Wallet 침해로 폴카닷의 스테이킹 인출 대기 기간 단축이 잠재적 보안 취약점으로 드러났다. 폴카닷 커뮤니티 재단은 10월 21일, 제3자 브라우저 확장 프로그램이 2025년 2월부터 사용자의 개인 키를 노출해 무단 이체를 가능하게 했을 수 있다고 경고했다. 폴카닷 기술 펠로십의 조사에서는 지갑 인증 정보를 추출할 수 있는 악성 코드가 확인됐다. 재단은 사용자 8명이 총 17,286 DOT의 무단 거래를 신고했다고 밝혔다. 재단은 피해 사용자들에게 다른 지갑을 통해 새 개인 키를 만들고 남은 자산을 즉시 옮기라고 권고했다.

블록체인 보안업체 슬로우미스트(SlowMist)는 확장 프로그램 버전 3.0.1과 3.0.3~3.0.5가 영향을 받았다고 밝혔다. 슬로우미스트에 따르면 악성 코드는 지갑 잠금 해제 과정에서 복구 문구, 개인 키, 키스토어 파일을 포착해 HTTP 요청을 통해 외부 서버로 전송할 수 있었다. 원격 설정 기능으로 악성 동작을 활성화하거나 비활성화할 수 있어 탐지가 더 어려웠을 가능성이 있다. 조사관들은 6월 소스 코드에서 악성 코드를 삭제했다고 밝혔다. 원격 스위치는 10월에 비활성화됐다고 조사관들은 말했다. 그러나 이런 조치로 공격자가 이미 확보한 인증 정보가 무효화되지는 않는다.

폴카닷은 7월 6일 국민투표 1910을 시행해 노미네이터의 최대 언본딩 기간을 28일에서 2일로 줄였다. 이 국민투표는 노미네이터에 대한 슬래싱 벌칙도 없앴다. 이번 변경은 검증인과 같은 슬래싱 위험에 노출되지 않으면서 자금에 더 빨리 접근할 수 있게 해 스테이킹 참여자를 늘리는 것을 목표로 했다. 인출이 빨라져 토큰 보유자의 유동성은 개선됐지만, 스테이킹 계정이 침해된 경우 자금을 이체할 수 있게 되기 전에 계정을 보호할 수 있는 시간은 줄었다. 새로 시작된 노미네이터의 인출은 스테이킹 일정에 따라 약 24~48시간 안에 가능해질 수 있다.

최대 4주에 달했던 기존 대기 기간은 계정 소유자나 복구 전문가가 의심스러운 언스테이킹 요청을 발견하고 개입할 시간을 더 제공할 수 있었다. 단축된 기간은 특히 공격자가 자금 잠금을 해제하기 시작했지만 소유자가 침해 사실을 아직 발견하지 못한 스테이킹 DOT 보유 계정에 영향을 미친다. 폴카닷 API 팀이 개발한 PAPI Rescue는 6월 30일, 사용자가 복구 전문가에게 신속히 연락하지 않는 한 언본딩 기간을 28일에서 2개 에라로 줄이면 개입 시간이 부족할 수 있다고 경고했다. 이 경고는 7월 시행과 폴카닷의 10월 보안 경고에 앞서 나왔다. 재단은 이후 자산이 제한된 피해 보유자들에게 언스테이킹에 앞서 PAPI Rescue를 고려하라고 권고했다. 자금이 이체 가능해지면 복구 방안이 달라질 수 있기 때문이다.

짧아진 언본딩 기간이 Fearless Wallet 사용자들이 신고한 무단 이체의 원인인지는 확인되지 않았다. 7월 업그레이드 전에 제출된 언본딩 요청에는 기존 일정이 적용됐다. 검증인과 일부 다른 잠금 자산에는 여전히 별도의 제한이 적용된다.

PAPI Rescue는 침해된 계정에서 25만 달러가 넘는 자산을 복구했다고 밝히며, 자격 요건을 충족해 처리한 사례의 성공률을 100%로 내세우고 있다. 복구 절차에서는 정당한 소유권을 확인하고, 폴카닷의 거래 및 스테이킹 규칙으로 남은 잠금 자산이나 예치 자산을 여전히 보호할 수 있는지 평가한다. 개인 키를 소유하면 일반적으로 정당한 소유자와 같은 거래 서명 권한을 공격자에게 부여하게 된다. 따라서 복구 가능성은 네트워크 제한이 여전히 이체를 막고 있는지, 기술적으로 개입할 수 있는지에 달려 있다. 7월 변경으로 개입 시점의 중요성은 커졌지만, PAPI Rescue는 복구를 보장할 수 없으며 자산이 관련 프로토콜 제한을 벗어나 이동한 뒤에는 지원이 불가능할 수 있다.

폴카닷 조사관들은 검토한 모바일 애플리케이션에서는 이에 해당하는 악성 코드를 발견하지 못했다. 그러나 노출된 인증 정보를 다른 애플리케이션에 가져온 경우 공격자가 이미 해당 개인 키를 알고 있을 수 있어 사용자는 여전히 취약하다. 비밀번호 변경, 확장 프로그램 재설치, 같은 복구 문구를 다른 지갑에서 재사용하는 방법으로는 근본적인 노출 문제를 해결할 수 없다. 재단은 원치 않는 복구 제안도 경계하라고 경고했으며, 복구팀을 포함해 누구에게도 개인 키를 공유하지 말라고 당부했다. 스테이킹됐거나 그 밖의 이유로 잠긴 DOT를 보유한 피해자는 조치를 취하기 전에 남은 인출 제한을 확인해야 한다. 인출을 시작하면 공격자가 자금을 이체할 수 있는 시점이 앞당겨질 수 있기 때문이다. 복구 서비스는 그 시점이 지난 뒤에도 자금을 보호할 수 있다고 보장하지 않는다.