보안 · 2026년 11월 12일
다른 언어로도 게시됨 Português (Brasil), 日本語
Web3Auth 보안 결함으로 Keplr 암호화폐 지갑 공격, 제공자가 다른 지갑 선제적으로 비움
Google 또는 Apple 계정으로 Keplr 암호화폐 지갑을 설정한 일부 사용자들이 공격자에게 자금을 도난당했다. Keplr는 Google 및 Apple 로그인 기능을 운영하기 위해 Web3Auth라는 회사를 사용하고 있으며, 공격자가 해당 회사의 보안 결함을 악용하여 지갑에 접근했다고 양사가 지난주 말 밝혔다.
Web3Auth는 공격자가 지갑에 도달하기 전에 공격자 자신의 경로를 사용하여 위험에 처한 다른 지갑들을 비웠다고 발표했다. 지갑 제조사의 도움을 받아 그 자금을 안전 보관을 위해 복구 지갑으로 이동시켰다. 따라서 잔액이 비어있다는 것은 자금이 도난당한 것이 아니라 구출된 것을 의미할 수 있다.
복구 문구(12개 또는 24개 단어의 백업 목록)나 하드웨어 지갑으로 만든 지갑은 영향을 받지 않는다고 지갑 제조사가 밝혔다. Google 및 Apple 로그인을 조사하는 동안 일시 중지했다.
Web3Auth는 자체 인프라의 보안 문제가 Keplr 앱 내에서 제공하는 특정 지갑에 영향을 미쳤다고 사건 업데이트에서 밝혔다. Keplr는 더 나아가 이 결함이 Google 또는 Apple로 로그인한 일부 사용자의 개인 키 유출로 이어졌다고 말했다. 개인 키는 지갑에서의 결제를 승인하는 비밀 코드이므로 이를 보유한 사람은 자금을 이동할 수 있다.
양사 모두 결함이 어떻게 작동했는지, 공격자가 처음 사용한 시점, 또는 그 경로가 현재 차단되었는지 여부를 공개하지 않았다. 도난 규모에 대한 달러 수치는 어느 회사도 제시하지 않았다. Keplr 공동 창립자인 Josh Lee는 초기 조사에서 대략적인 추정치를 제시했다: Google 및 Apple 로그인 계정의 약 20%가 영향을 받았으며, 그 중 일부만 실제로 악용된 것으로 보인다.
Web3 보안 회사인 GoPlus는 보안 경고에서 최소 약 100만 달러가 도난당했다고 밝혔다. 이 수치에 도달한 방법은 설명하지 않았다.
블록체인 데이터 회사인 Bitquery는 지난주 말까지 44,000개 이상의 지갑에서 복구 지갑으로 이동한 최소 6,010,000달러를 집계했다. 이 회사는 처음에 이 이체를 도난으로 보도했으나, 이후 이를 구출로 취급하는 수정된 분석을 발표했다. 다만 복구 지갑을 누가 통제하는지는 확인할 수 없다고 밝혔다.
이러한 이체 중 첫 번째는 로그인 제공자의 첫 공개 공지 21분 전에 발생했다고 해당 회사의 데이터가 보여준다. 지갑 제조사가 사용자에게 경고한 후 86%의 지갑이 비워졌다.
이동된 자금은 안전하다고 로그인 제공자가 복구 스레드에서 밝혔으며, 지갑 제조사와 협력하여 사용자에게 반환할 계획이라고 했다. 방법이나 시기는 아직 공개하지 않았다.
로그인 제공자는 이 문제가 다른 일부 회사에서 사용하는 자신의 서비스에 영향을 미친다고 말했으나, Keplr만 명시했다. 다른 앱이 사용자를 위한 지갑을 구축하는 데 사용하는 내장 지갑 서비스를 일시 중지했다. 상태 페이지는 여전히 로그인 서비스가 오늘 중단된 것으로 표시하고 있다.
MetaMask 지갑을 운영하는 Consensys는 2025년 6월에 로그인 제공자를 인수했다. 인수 공지에서 이 거래가 MetaMask 사용자가 소셜 로그인으로 지갑을 생성하고 복구할 수 있도록 할 것이라고 밝혔다. 제공자는 초기 조사에서 MetaMask 사용자가 영향을 받았다는 증거가 없다고 말했다.