안녕하세요 클레이스왑 커뮤니티 여러분,
저희는 지난 2월 3일 발생한 안타까운 사고와 관련해서 사고 내용 및 대응에 대한 리포트를 공유드린 바 있습니다. 해당 리포트는 외부 공격의 특성 및 세부 방식까지 포함하여 이와 관련된 또 다른 악용사례를 방지하고자 하는 목적이 있었으며, 모두 사실에 기반한 내용으로 작성되었습니다.
다만, 전체 내용이 모두 사실에 입각해서 작성되었음에도 불구하고, 사고 내용 및 대응과 관련된 일부 내용이 사실과 다르게 해석될 여지가 있음을 카카오의 요청으로 인해 확인하였습니다. 이에 저희는 지난번 발표한 사고 리포트를 확인하시는 분들이 조금 더 직관적으로 이해할 수 있도록 특정 표현 수정 및 추가적인 설명을 더하는 방식으로 일부 내용을 수정하였습니다. 수정이 진행된 특정 문단은 해당 내용의 수정 전/후를 모두 아래에 공유드립니다.
사고 내용 문단 중
(수정 전) 공격자는 클레이스왑의 구버전(1월 4일경) 코드를 기반으로, 사용자의 모든 트랜잭션 요청을 자신의 컨트랙트로 사용자의 토큰을 직접 보내거나(Transfer) 사용승인(Approve)하도록 변경하였고 클레이스왑 사이트에 로딩되는 Kakao SDK 스크립트를 변경하여 기존 클레이스왑 코드의 동작을 방해하고 자신의 코드가 실행되도록 하는 형태로 악성코드를 제작했습니다.
(수정 후) 공격자는 클레이스왑의 구버전(1월 4일경) 코드를 기반으로, 사용자의 모든 트랜잭션 요청을 자신의 컨트랙트로 사용자의 토큰을 직접 보내거나(Transfer) 사용승인(Approve)하도록 변경하는 악성코드를 제작하였고, 클레이스왑 사용자가 정상적으로 "https://developers.kakao.com/sdk/js/kakao.min.js" 를 요청하더라도 카카오가 제작한 정상적인 SDK 가 아닌 공격자 자신이 제작한 악성코드 파일이 다운로드 되도록 하여 기존 클레이스왑 코드의 동작을 방해하고 자신의 악성코드가 실행되도록 하는 형태로 클레이스왑의 동작을 변경했습니다.
사고 대응 문단 중
(수정 전) 클레이스왑 및 오르빗 브릿지 기능 제한과 함께 사고의 주요 원인으로 파악되는 감염된 Kakao SDK 파일을 제거하고 전반적인 소스 코드 점검을 진행하였습니다. 더불어 해커가 사용한 스마트 컨트랙트에 노출된 지갑 주소와 자산 목록을 모두 파악하였으며, 정상화된 클레이스왑 사이트를 통해 문제 컨트랙트에 승인된 자산 목록을 다시 해제할 수 있도록 추가 개발을 완료하였습니다. 노출된 지갑 주소 목록과 승인 내역을 삭제하는 방법은 아래에서 다시 한번 설명드릴 수 있도록 하겠습니다.
(수정 후) 클레이스왑 및 오르빗 브릿지 기능 제한과 함께 사고를 빠르게 분석하여, 카카오의 가이드라인에 따른 정상적인 경로인 "https://developers.kakao.com/sdk/js/kakao.min.js" 를 통해 Kakao SDK 를 요청했음에도 카카오가 제작한 정상적인 SDK가 아닌 악성코드 파일이 다운로드 되는 것을 확인하고, 클레이 스왑 사이트내에서 Kakao SDK 로딩을 제거하였습니다. 더불어 해커가 사용한 스마트 컨트랙트에 자산이 승인된 클레이스왑 유저 지갑 주소와 자산 목록을 즉시 파악하여 정상화된 클레이스왑 사이트를 통해 문제 컨트랙트에 승인된 자산 목록을 다시 해제할 수 있도록 추가 개발을 완료하였습니다. 노출된 지갑 주소 목록과 승인 내역을 삭제하는 방법은 아래에서 다시 한번 설명드릴 수 있도록 하겠습니다.
저희는 이번 사고에 대해 여러 관계사들과 함께 지속적인 관찰과 분석으로 정확한 문제 원인 파악과 재발방지 계획을 수립해 나가고 있습니다. 또한, 이와 관련된 내용이 사실을 기반으로 합리적으로 판단될 수 있도록 변경사항이 있을 경우 투명하게 공유드릴 예정입니다.
위의 수정 사항에 대해 혼선이 없으시기 바랍니다.
감사합니다.
수정된 사고 리포트 미디엄 포스팅 링크:
https://link.medium.com/5QSCJBCtmnb
저희는 지난 2월 3일 발생한 안타까운 사고와 관련해서 사고 내용 및 대응에 대한 리포트를 공유드린 바 있습니다. 해당 리포트는 외부 공격의 특성 및 세부 방식까지 포함하여 이와 관련된 또 다른 악용사례를 방지하고자 하는 목적이 있었으며, 모두 사실에 기반한 내용으로 작성되었습니다.
다만, 전체 내용이 모두 사실에 입각해서 작성되었음에도 불구하고, 사고 내용 및 대응과 관련된 일부 내용이 사실과 다르게 해석될 여지가 있음을 카카오의 요청으로 인해 확인하였습니다. 이에 저희는 지난번 발표한 사고 리포트를 확인하시는 분들이 조금 더 직관적으로 이해할 수 있도록 특정 표현 수정 및 추가적인 설명을 더하는 방식으로 일부 내용을 수정하였습니다. 수정이 진행된 특정 문단은 해당 내용의 수정 전/후를 모두 아래에 공유드립니다.
사고 내용 문단 중
(수정 전) 공격자는 클레이스왑의 구버전(1월 4일경) 코드를 기반으로, 사용자의 모든 트랜잭션 요청을 자신의 컨트랙트로 사용자의 토큰을 직접 보내거나(Transfer) 사용승인(Approve)하도록 변경하였고 클레이스왑 사이트에 로딩되는 Kakao SDK 스크립트를 변경하여 기존 클레이스왑 코드의 동작을 방해하고 자신의 코드가 실행되도록 하는 형태로 악성코드를 제작했습니다.
(수정 후) 공격자는 클레이스왑의 구버전(1월 4일경) 코드를 기반으로, 사용자의 모든 트랜잭션 요청을 자신의 컨트랙트로 사용자의 토큰을 직접 보내거나(Transfer) 사용승인(Approve)하도록 변경하는 악성코드를 제작하였고, 클레이스왑 사용자가 정상적으로 "https://developers.kakao.com/sdk/js/kakao.min.js" 를 요청하더라도 카카오가 제작한 정상적인 SDK 가 아닌 공격자 자신이 제작한 악성코드 파일이 다운로드 되도록 하여 기존 클레이스왑 코드의 동작을 방해하고 자신의 악성코드가 실행되도록 하는 형태로 클레이스왑의 동작을 변경했습니다.
사고 대응 문단 중
(수정 전) 클레이스왑 및 오르빗 브릿지 기능 제한과 함께 사고의 주요 원인으로 파악되는 감염된 Kakao SDK 파일을 제거하고 전반적인 소스 코드 점검을 진행하였습니다. 더불어 해커가 사용한 스마트 컨트랙트에 노출된 지갑 주소와 자산 목록을 모두 파악하였으며, 정상화된 클레이스왑 사이트를 통해 문제 컨트랙트에 승인된 자산 목록을 다시 해제할 수 있도록 추가 개발을 완료하였습니다. 노출된 지갑 주소 목록과 승인 내역을 삭제하는 방법은 아래에서 다시 한번 설명드릴 수 있도록 하겠습니다.
(수정 후) 클레이스왑 및 오르빗 브릿지 기능 제한과 함께 사고를 빠르게 분석하여, 카카오의 가이드라인에 따른 정상적인 경로인 "https://developers.kakao.com/sdk/js/kakao.min.js" 를 통해 Kakao SDK 를 요청했음에도 카카오가 제작한 정상적인 SDK가 아닌 악성코드 파일이 다운로드 되는 것을 확인하고, 클레이 스왑 사이트내에서 Kakao SDK 로딩을 제거하였습니다. 더불어 해커가 사용한 스마트 컨트랙트에 자산이 승인된 클레이스왑 유저 지갑 주소와 자산 목록을 즉시 파악하여 정상화된 클레이스왑 사이트를 통해 문제 컨트랙트에 승인된 자산 목록을 다시 해제할 수 있도록 추가 개발을 완료하였습니다. 노출된 지갑 주소 목록과 승인 내역을 삭제하는 방법은 아래에서 다시 한번 설명드릴 수 있도록 하겠습니다.
저희는 이번 사고에 대해 여러 관계사들과 함께 지속적인 관찰과 분석으로 정확한 문제 원인 파악과 재발방지 계획을 수립해 나가고 있습니다. 또한, 이와 관련된 내용이 사실을 기반으로 합리적으로 판단될 수 있도록 변경사항이 있을 경우 투명하게 공유드릴 예정입니다.
위의 수정 사항에 대해 혼선이 없으시기 바랍니다.
감사합니다.
수정된 사고 리포트 미디엄 포스팅 링크:
https://link.medium.com/5QSCJBCtmnb
9 comments
Log in to comment
카카오 잘못 이라는거야
Klayswap잘못 이라는거야
말을 어렵게 해서 촞점을 흐리는것 같은데
…
결국 카카오 잘못아니면 해킹인것 아닌가요