대화 느린 안개: Web3 보안 현황, 대응 전략 및 창업 전망

根据 Cyvers 총정리 2024년 주요 보안 트렌드 보고서에 따르면, 올해 Web3 네트워크 위협이 급증하여 총 165건의 보안 사건이 발생했으며, 자금 손실은 230억 달러를 초과하여 2023년(169억 달러)보다 40% 증가했습니다(시장 요인 포함). 이 중 접근 제어와 관련된 사건(67건)은 230억 달러 손실의 81%를 차지하며, 약 98건의 스마트 계약 취약점으로 인한 손실은 총 45억 6300만 달러에 달하고, 1건의 주소 중독 사건은 6800만 달러 이상의 손실을 초래했습니다. 그러나 2022년(378억 달러)과 비교할 때, 2024년 보안 사건으로 인한 손실은 148억 달러 감소(40% 감소)했으며, 130억 달러의 도난 자금이 회수되었습니다. 만약 Web3가 안개로 가득한 어두운 숲이라면, 여기에는 사냥꾼들이 숨어서 기회를 노리고 있고, 경험이 풍부한 보안 요원들이 있으며, 안개를 걷어내고 악을 드러내는 의적들이 있습니다. Starlabs Consulting의 이번 "Disruptors Unplugged" 대화의 주인공인 느린 안개 기술(SlowMist)은 후자에 해당합니다. 느린 안개 기술은 블록체인 생태계 보안에 집중하는 회사로, 2018년 1월에 설립되었습니다. "위협 발견에서 위협 방어까지 통합된 맞춤형 보안 솔루션"을 통해 전 세계 많은 주요 또는 유명 프로젝트에 서비스를 제공하고 있으며, 현재는 국제적인 블록체인 보안 선두 기업으로 발전하여 전 세계 10여 개국 및 지역의 수천 개 상업 고객을 보유하고 있습니다. 그들의 보안 솔루션에는 보안 감사, 위협 정보(BTI), 방어 배치 등의 서비스가 포함되며, 암호화폐 자금 세탁 방지(AML), 가짜 충전 취약점 스캔, 보안 모니터링(MistEye), 해킹 기록 데이터베이스(SlowMist Hacked), 스마트 계약 방화벽(FireWall.X) 등의 SaaS형 보안 제품이 지원됩니다. 느린 안개는 업계에서 독립적으로 여러 차례 일반적인 고위험 블록체인 보안 취약점을 발견하고 발표하여 업계의 광범위한 관심과 인정을 받았습니다. 다음은 이번 "Disruptors Unplugged" 대화의 핵심 발췌입니다. 본문 요점:

• 스마트 계약 취약점, 개인 키 유출, 사회 공학 공격, 공급망 공격은 현재 Web3 생태계에서 비교적 일반적이고 심각한 보안 위협으로, 지속적으로 산업에 도전 과제를 제기하고 있습니다.
• 보안은 동적 관리 프로세스이며, 제3자 보안 감사는 단기적으로 프로젝트 측이 보안 실천 요구를 이행하도록 유도할 수 있지만, 프로젝트의 장기적인 안전하고 안정적인 운영을 보장할 수는 없습니다. 따라서 자신의 보안 시스템을 구축하고 개선하는 것이 매우 중요합니다.
• 현재 MistTrack은 3억 개 이상의 주소 태그, 1,000개 이상의 주소 실체, 50만 개 이상의 위협 정보 데이터, 9,000만 개 이상의 위험 주소를 축적하였으며, 이는 디지털 자산의 안전성을 보장하고 자금 세탁 범죄를 단속하는 데 강력한 보호를 제공합니다.
• Web3의 폭발적인 성장은 많은 새로운 프로젝트와 사용자들을 가져왔지만, 보안 사건이 빈발하고 있으며, 시장은 전문 보안 서비스에 대한 수요가 지속적으로 증가하고 있습니다. 동시에 점점 더 많은 프로젝트가 보안과 규정 준수의 결합을 중시하기 시작했으며, 이는 전문 보안 서비스 회사에 진입점을 제공합니다.

01

Web3 산업에 대하여 🌃 Starlabs Consulting: 느린 안개가 생각하기에 현재 Web3 생태계에서 가장 심각한 보안 위협은 무엇인가요? 느린 안개: 현재 Web3 생태계에서 우리는 다음과 같은 보안 위협이 비교적 일반적이고 심각하다고 생각합니다. 이러한 위협은 지속적으로 산업에 도전 과제를 제기하고 있습니다. 첫째, 스마트 계약 취약점은 널리 주목받는 문제입니다. 스마트 계약의 불변성으로 인해, 일단 취약점이 악의적으로 이용되면 회복할 수 없는 손실을 초래할 수 있으며, 이는 대부분의 공격 사건 발생의 근본 원인입니다. 일반적인 스마트 계약 문제로는 권한 관리 부적절, 정수 오버플로우 및 논리 오류 등이 있습니다. 둘째, 개인 키 유출 또한 중대한 보안 위험입니다. 사용자든 프로젝트 측이든 개인 키 관리의 소홀(예: 개인 키 저장 부적절 또는 장치 공격 등)은 자산 도난의 중요한 원인입니다. 개인 키의 안전은 자산에 대한 통제권과 직접적인 관련이 있습니다. 또한, 사회 공학 공격(예: 피싱 공격, 계정 도난, 신원 사칭 등)도 비교적 일반적인 악의적인 방법입니다. 일부 사용자와 프로젝트 팀의 보안 인식 부족으로 인해 공격자가 방어선을 뚫는 접점이 되곤 합니다. 마지막으로 최근 공급망 공격 사건이 여러 건 발생했기 때문에, 우리는 공급망 보안도 점차 Web3 산업의 중요한 보안 문제로 부각되고 있다고 생각합니다. 공급망 보안 취약점은 심각한 결과를 초래할 수 있으며, 악성 소프트웨어와 코드가 소프트웨어 공급망의 여러 단계에 삽입될 수 있습니다. 이러한 악성 요소가 성공적으로 주입되면 공격자는 이를 이용해 암호 자산을 훔치거나 사용자 민감 정보를 얻고, 시스템 기능을 파괴하거나 랜섬웨어를 배포할 수 있습니다. 🌃 Starlabs Consulting: Web3 분야의 공격 사건이 빈발하는 가운데, 프로젝트 측(특히 초기 창립 프로젝트)은 느린 안개와 같은 제3자 보안 서비스 제공업체와 협력하는 것 외에, 기업 스스로 일상적인 방어 측면에서 어떤 조치를 취할 수 있을까요? 몇 가지 조언을 해주세요. 느린 안개: 현재 Web3 프로젝트가 직면한 공격 수법은 다양하며, 프로젝트 간의 상호작용이 점점 더 복잡해지고 있습니다. 이러한 복잡성은 종종 새로운 보안 위험을 초래합니다. 많은 Web3 프로젝트의 개발 팀은 일반적으로 일선의 보안 공격 및 방어 경험이 부족합니다. 프로젝트 개발 과정에서 팀은 일반적으로 전체적인 비즈니스 검증과 비즈니스 기능 구현에 더 집중하고, 보안 시스템 구축을 소홀히 합니다. 따라서 완벽한 보안 시스템이 없는 상태에서는 Web3 프로젝트의 전체 생애 주기에서 안전성을 보장하기 어렵습니다. 안전성을 보장하기 위해 프로젝트 측은 일반적으로 전문 블록체인 보안 팀을 고용하여 코드 감사를 진행합니다. 보안 감사는 단기적으로 프로젝트 측이 보안 실천 요구를 이행하도록 유도할 수 있지만, 프로젝트 측이 자신의 보안 시스템을 구축하는 데는 도움이 되지 않습니다. 느린 안개 보안 팀은 이를 기반으로 《Web3 프로젝트 보안 실천 요구 사항》(https://github.com/slowmist/Web3-Project-Security-Practice-Requirement)을 오픈 소스로 공개하여 블록체인 생태계의 프로젝트 팀이 Web3 프로젝트의 보안 기술을 습득할 수 있도록 지속적으로 지원하고 있습니다. 우리는 프로젝트 측이 이러한 요구 사항을 기반으로 자신의 보안 시스템을 구축하고 개선하기를 바라며, 감사 후에도 일정한 보안 능력을 유지할 수 있기를 바랍니다. 관심 있는 분들은 검색하여 읽어보시기 바랍니다. 우리는 항상 보안이 동적 관리 프로세스라고 믿습니다. 단순히 제3자 보안 팀의 단기 감사에 의존하는 것은 프로젝트의 장기적인 안전하고 안정적인 운영을 보장할 수 없습니다. 따라서 Web3 프로젝트의 보안 시스템을 구축하고 개선하는 것이 매우 중요하며, 프로젝트 팀 스스로도 일정한 보안 능력을 갖추어야 프로젝트의 안전하고 안정적인 운영을 보장할 수 있습니다. 또한, 우리는 프로젝트 팀이 보안 커뮤니티에 적극 참여하여 최신 보안 공격 및 방어 기술과 경험을 배우고, 다른 프로젝트 팀 및 보안 전문가와 소통 및 협력하여 전체 생태계의 안전성을 함께 향상시킬 것을 권장합니다. 동시에 내부 보안 교육과 지식 보급을 강화하여 직원들의 보안 인식과 능력을 높이는 것도 완벽한 보안 시스템을 구축하는 데 중요한 단계입니다. 🌃 Starlabs Consulting: 끊임없이 진화하는 공격 수단에 직면하여, 보안 회사는 어떻게 "마법이 높으면 도가 더 높다"는 원리를 실현할 수 있을까요? 느린 안개: 느린 안개의 현재 대응 방식을 예로 들어보겠습니다. 첫째, 우리는 항상 새로운 위협에 대한 민감도를 유지하고 최신 공격 동향을 지속적으로 모니터링해야 합니다. 맞춤형 취약점 탐지, 체인 분석 및 모니터링 도구를 개발하여 실시간 보호 및 보다 효율적인 대응 능력을 실현해야 합니다. 둘째, 우리는 위협 정보 공유 네트워크를 운영하고 있으며, 업계 파트너 및 프로젝트 측과 긴밀히 협력하여 최신 보안 정보를 신속하게 얻을 수 있습니다. 또한 체인 데이터 분석 기술을 활용하여 공격자의 자금 흐름을 추적하고, 피해자가 가능한 한 손실을 회복할 수 있도록 돕습니다. 또한, 역공학 및 사례 복습도 필수적인 부분입니다. 과거 보안 사건에 대한 심층 복습과 불규칙한 해킹 시간 공유를 통해 지속적으로 기술 능력을 향상시키고 있습니다.

02

느린 안개에 대하여 🌃 Starlabs Consulting: 여러분은 매일 많은 일을 하며 해커 주소를 판단하고, 링크를 분석하고, 자금 동향을 추적하는데, 그 중 얼마나 많은 비율이 의뢰를 받아서 하는 일이고, 얼마나 많은 비율이 공익을 위한 일인가요? 느린 안개: 느린 안개의 자금 세탁 방지 및 자금 추적 업무는 주로 두 가지 출처에서 발생합니다: 고객의 자발적인 의뢰와 공익 서비스. 공익 서비스 측면에서 우리는 많은 주요 공개 공격 사건의 추적 작업에 참여했습니다. 프로젝트 측이 우리에게 자발적으로 연락을 하든 하지 않든, 우리는 항상 첫 번째 시간에 후속 조치를 취합니다. 이 부분의 작업은 주로 산업의 건강한 발전에 대한 책임감에서 비롯됩니다. 해커의 행동을 신속하게 폭로하고 공격 수법을 분석함으로써, 우리는 전체 Web3 생태계의 안전성에 기여하고자 합니다. 그 외에도 느린 안개는 매일 많은 피해자들의 도움 요청을 받으며, 그 중에는 수천만 달러를 잃은 대규모 피해자도 포함되어 있습니다. 이들은 자금 추적 및 손실 회복 서비스를 요청합니다. 이러한 사건에 대해서는 무료로 사건 평가 커뮤니티 지원 서비스를 제공합니다(https://aml.slowmist.com/recovery-funds.html). 한편, 느린 안개는 Web3 프로젝트 측을 위한 긴급 대응 서비스도 제공합니다(https://cn.slowmist.com/service-incident-response.html). 이 서비스는 프로젝트 측이 해커 공격 등 돌발 사건에 직면했을 때 신속하고 효과적으로 위험에 대응할 수 있도록 돕습니다. 우리는 공격자의 침입 경로와 침입 후 행동을 상세히 분석하고, 공격자의 체인 상 및 체인 외 이미지를 구축합니다. 동시에 우리는 도난 자산의 흐름을 추적합니다. 이 서비스는 체인 상 및 체인 외 침입 분석에서 자금 추적 및 출처 추적의 전 과정을 포함하여, 프로젝트 측이 보안 사건을 복습하고 느린 안개의 블록체인 자금 세탁 방지 시스템(AML) 및 InMist 위협 정보 네트워크를 활용하여 가능한 한 자금 손실을 회복할 수 있도록 돕습니다. 🌃 Starlabs Consulting: 체인 상 거래 기록이 복잡하고 얽히고 설켜 있어, 일반 사용자가 한 거래를 분석하는 것조차 머리가 아픈데, 여러분은 매일 방대한 추적 작업을 수행하며, 더 효율적인 분석 도구와 데이터베이스를 사용하고 있나요? 내부에서 사용하는 추적 분석 도구와 C端 사용자에게 제공되는 MistTrack은 어떤 차이가 있나요? 느린 안개: 사실 우리가 사용하는 것도 MistTrack(https://misttrack.io)입니다. 간단하고 사용하기 편리하며 데이터가 포괄적이기 때문입니다. 현재 MistTrack은 3억 개 이상의 주소 태그, 1,000개 이상의 주소 실체, 50만 개 이상의 위협 정보 데이터, 9,000만 개 이상의 위험 주소를 축적하였으며, 이는 디지털 자산의 안전성을 보장하고 자금 세탁 범죄를 단속하는 데 강력한 보호를 제공합니다. 차이점은 우리 팀이 내부 지식 기반을 구축하여 추적 작업의 효율성을 보장할 수 있다는 점입니다. 🌃 Starlabs Consulting: 사용자가 느린 안개의 MistTrack 추적 서비스를 사용할 때 개인 정보에 대해 걱정할 필요가 있나요? 고객 개인 정보를 어떻게 보호하나요? 느린 안개: 이 부분에 대해서는 걱정하지 않으셔도 됩니다. 느린 안개는 보안 회사로서 개인 정보 보호를 매우 중요하게 생각하며, 협력하기 전에 사용자에게 우리의 개인 정보 보호 정책을 알려드립니다. 우리는 서비스 완료에 필요한 데이터만 보존하며, 접근 권한을 엄격히 제한하여 권한이 있는 인원만 관련 정보에 접근할 수 있도록 하고, 모든 사용자 데이터는 전송 및 저장 과정에서 강력한 암호화 기술을 사용합니다. 🌃 Starlabs Consulting: 느린 안개가 컨소시엄 체인 보안 솔루션도 제공하는 것을 보았습니다. 컨소시엄 체인 보안과 공공 체인 보안의 주요 차이점은 무엇인가요? 느린 안개: 컨소시엄 체인과 공공 체인은 보안 요구 사항에서 상당한 차이를 보이며, 이러한 차이는 주로 네트워크 구조, 사용자 집단 및 응용 시나리오의 차이에 나타납니다. 예를 들어, 접근 제어 측면에서 컨소시엄 체인은 일반적으로 허가 체인으로, 인증된 노드와 사용자만 참여할 수 있습니다. 컨소시엄 체인은 내부의 위협, 즉 악의적인 노드 조작, 부적절한 권한 구성 및 데이터 유출 등의 위험에 더 많이 직면합니다. 반면 공공 체인은 개방된 네트워크로, 공공 체인이 직면하는 보안 도전은 더 복잡하고 다양합니다. 여기에는 51% 공격, 스마트 계약 취약점 악용, 크로스 체인 브릿지 공격 등이 포함됩니다. 노드 보안 측면에서, 컨소시엄 체인의 노드 수는 적고 일반적으로 몇 개의 신뢰할 수 있는 주체가 공동으로 유지 관리하며, 높은 신뢰 기반을 가지고 있지만, 단일 실패 지점의 위험도 큽니다. 성능을 향상시키기 위해 컨소시엄 체인은 종종 효율적인 합의 메커니즘(PBFT, Raft 등)을 사용하여 일부 탈중앙화를 희생합니다. 반면 공공 체인은 노드가 광범위하게 분포되어 있으며, 탈중앙화 정도가 높기 때문에 악의적인 노드의 행동을 저항하기 위해 합의 메커니즘에 더 의존합니다. 공공 체인은 일반적으로 탈중앙화 정도가 더 높지만 성능이 낮은 합의 메커니즘(PoW, PoS 등)을 사용하여 검열 저항성과 시스템의 개방성을 강화합니다. 규정 준수 요구 사항 측면에서, 컨소시엄 체인은 일반적으로 기업급 시나리오에 적용되므로 엄격한 법률 및 규정 준수 요구 사항을 충족해야 합니다. 설계 시 보안 솔루션은 감사 및 규제 요구 사항을 충분히 고려해야 합니다. 이와 달리 공공 체인은 운영 범위가 더 글로벌화되어 있으며, 국가 간 법률 및 규제의 도전에 직면하고 있으며, 보안 설계에서 탈중앙화와 효율성의 균형을 맞춰야 합니다. 이러한 두 가지 체인의 특성에 맞춰 느린 안개는 각기 다른 보안 도전에 대응하기 위해 차별화된 보안 솔루션을 제공합니다.

03

보안 산업에 대하여 🌃 Starlabs Consulting: Web3 보안 이 분야는 여전히 블루 오션인가요? 만약 한 스타트업이 이 분야에 진입하고자 하거나 Web2 보안 회사가 Web3 보안 사업으로 확장하고자 한다면, 어떤 세분화된 분야가 더 기회가 있을까요? 느린 안개: Web3의 폭발적인 성장은 많은 새로운 프로젝트와 사용자들을 가져왔지만, 보안 사건이 빈발하고 있으며, 시장은 전문 보안 서비스에 대한 수요가 지속적으로 증가하고 있습니다. 동시에 점점 더 많은 프로젝트가 보안과 규정 준수의 결합을 중시하기 시작했으며, 이는 전문 보안 서비스 회사에 진입점을 제공합니다. 예를 들어, 일반 사용자는 피싱 공격, 악성 소프트웨어 및 키 관리 부적절로 인해 자산 손실을 겪는 경우가 많으므로 사용자 측 보안은 고려할 수 있는 분야입니다. 또 다른 예로, 체인 상 자금 추적이 복잡하고 작업량이 방대하며, 자금 세탁 방지 수요가 증가하고 있어 자금 추적 및 자금 세탁 방지(AML) 방향으로 발전할 수 있습니다. 전반적으로 Web3 보안 분야는 도전으로 가득 차 있지만, 동시에 거대한 기회를 내포하고 있습니다. 🌃 Starlabs Consulting: 양자 컴퓨팅 기술이 기존 암호 알고리즘에 미치는 잠재적 위협을 어떻게 평가하고, 미래 암호 분야에서 어떤 대응 전략을 취할 수 있을까요?

느린 안개: 현재 양자 컴퓨팅의 위협은 아직 완전히 드러나지 않았지만, Web3 및 블록체인 분야에서 양자 컴퓨팅 기술은 암호 알고리즘의 안전성에 크게 의존하고 있습니다. 암호 분야는 기술 혁신, 국제 협력 및 단계적인 전략 시행을 통해 생태계의 장기적인 안전성과 안정적인 발전을 보장할 수 있습니다.