암호화폐의 다음 10억 달러 해커는 초인적인 속도로 움직일 수 있다

"Mythos 수준의 역량 향상은 사이버 공격으로 금전적 이득을 얻을 수 있는 자들과 같은 여러 적대자들에게 매우 가치가 있으므로, 우리는 이들이 당사의 안전조치를 회피하려는 동기를 가질 것으로 예상한다고 회사 측은 게시물에서 밝혔다.

"... 이는 결연한 상대에 대한 신뢰할 수 있는 통제 수단이 아니다."

목표물의 약점을 식별하는 것은 AI가 해커의 도구 상자에 가져오는 가장 큰 혁신이 아닙니다. 핵심 역량은 초인적인 속도이며, AI 모델에 도입된 제약은 이를 극복하기에 충분히 강력하지 않을 수 있습니다.

“현재의 AI 안전장치는 마찰을 유발합니다,” 하드웨어 지갑 제조사 Ledger의 최고기술책임자(CTO) 찰스 기예메가 코인데스크에 보낸 이메일에서 말했다. “이들은 결의에 찬 적에 대항할 수 있는 신뢰할 만한 통제 수단이 아닙니다.”

그는 이번 변화가 AI가 새로운 종류의 해킹을 발명하는 것보다 그것을 만드는 데 걸리는 시간에 더 관련이 있다고 말했다. 하나의 추론 모델은 "모든 커밋을 diff하고, 모든 구성 파일을 grep하며, 모든 잘못된 설정을 기계 속도로 열거할 수 있다"고 하며, 이는 소프트웨어 개발 과정의 단계를 의미한다.

암호화폐는 소프트웨어 실패가 거의 즉각적으로 금전적 손실로 이어질 수 있기 때문에 비정상적으로 높은 노출 위험을 갖고 있습니다.

사회 공학

올해 첫 다섯 달 동안 DeFi 프로토콜은 해킹으로 인해 8억 4천만 달러 이상을 잃었다, DefiLlama 데이터 는 보여줍니다. 4월 한 달 동안만 6억 달러 이상이 발생했으며, 이는 탈중앙화 금융 산업 역사상 최악의 달로 기록되었습니다.

그러나 두 건의 가장 큰 사고는 AI가 설계할 수 있는 단순한 스마트 계약 해킹 사례가 아니었습니다.

하나는 북한 연계 그룹이 6개월간의 소셜 엔지니어링 캠페인을 통해 관리자 접근 권한을 획득한 후 Drift Protocol에서 약 2억 8,500만 달러를 빼낸 사례입니다. 다른 하나에서는 공격자가 단일 검증자 결함을 악용하여 약 2억 9,200만 달러가 Kelp DAO에서 유출된 사례입니다.

인간 신원 분산 서비스인 Humanity Protocol이 화요일에 개인키 유출로 3천만 달러 이상을 손실한 또 다른 사례가 발생했다. 코인데스크는 해커가 접근 권한을 획득한 사실을 확인했습니다 한 직원의 노트북에 저장된 6개의 개인 키 중 3개로,

문제는 바로 그 점에 있습니다. 가장 명백한 스마트 계약 프롬프트는 Anthropic의 필터가 포착하도록 설계된 것일 수 있지만, 가장 큰 손실은 계약 오류 없이 발생했습니다.

Ledger의 Guillemet는 이번 익스플로잇이 익숙한 취약점에서 비롯되었다고 지적했다: 사회공학, 부적절한 서명 절차, 노출된 키, 그리고 인적 오류.

Fable과 같은 모델은 공격의 경제학을 변화시키기 위해 완성된 익스플로잇을 제출할 필요가 없습니다. 공용 저장소를 읽고, 소프트웨어의 이전 버전을 비교하며, 감사 보고서를 요약하고, 인간이 놓치는 작은 운영상의 실수를 찾는 설득력 있는 메시지를 작성할 수 있습니다.

"이러한 공격들은 여전히 사회 공학 및 인적 오류에 근본을 두고 있습니다. "

이러한 환경에서 수비자는 모든 주요 경로, 모든 의존성, 모든 서명 흐름 및 모든 권한 계정을 확보해야 합니다. AI가 정찰 단계를 가속화하기 때문에 최종 서명 단계는 더욱 중요해집니다. 개인 키는 손상된 노트북이 접근할 수 없는 곳에 보관되어야 하며, 사용자는 실제로 승인하는 내용을 보여주는 신뢰할 수 있는 화면이 필요합니다.

"있는 그대로 부르자: 이러한 해킹 기법은 여전히 사회 공학과 인간의 실수에 뿌리를 두고 있다. AI가 그 현실을 창조한 것이 아니다. AI는 그것을 가시화했고, 기계 속도로 가속화시켰다. 유일한 진정한 해결책은 하드웨어 기반 신뢰 루트다. 즉, 인증된 보안 요소에서 생성되고 보관되는 개인 키와 신뢰할 수 있는 디스플레이 및 명확한 서명을 갖추는 것이다,"라고 기예메가 말했다.

양날의 검

하지만 동일한 기술들은 코드 자체를 보호하는 데에도 효과적입니다. DeFi 수익 프로토콜인 Pendle은 Claude Opus의 첫 번째 버전부터 Anthropic의 모델을 방어적으로 사용해왔다고 밝혔습니다. 해당 팀은 AI를 활용해 코드베이스를 매핑하고, 새로 배포된 계약을 포함한 스마트 계약들을 스트레스 테스트합니다. 이 도구들은 초기 단계에서 버그를 발견하고 보다 깔끔한 코드를 작성하는 데 도움을 준다고 전했습니다.

텔레그램과의 인터뷰에서 Pendle의 개발자들은 스마트 계약에 대해 우려할 필요가 없다고 밝혔습니다. 스마트 계약은 짧으며 약 열두 개 정도의 진입점만을 가지고 있습니다. 뛰어난 감사관들은 오랫동안 계약의 전체 상태를 머릿속에 담고 모든 극단적인 사례를 테스트할 수 있었습니다.

"스마트 계약을 감사할 코드 라인이 그렇게 많지 않습니다," 개발자 팀이 말했다.

즉, 다음 주요 암호화폐 해킹은 새로워 보이지 않을 수 있습니다. 이미 DeFi가 익숙한 동일한 악성 패키지, 속임수에 빠진 개발자 또는 잘못된 서명 절차와 유사할 가능성이 큽니다.

조만간 더 빠르게 다가올 가능성이 높습니다.