3Commas API 유출, 또 다른 자금 손실 방법을 강조

오늘날 디지털 시대에서는 API 유출과 같은 온라인 보안 침해의 잠재적 위험을 인식하는 것이 그 어느 때보다 중요합니다. 이는 개인 정보와 재무 데이터 손실로 이어질 수 있기 때문입니다.

API 유출은 제3자가 회사의 API(응용 프로그래밍 인터페이스)에 허가 없이 접근할 때 발생합니다. 이는 회사의 API가 제대로 보호되지 않았거나, 해커가 시스템의 취약점을 악용할 때 일어날 수 있습니다. 일단 제3자가 회사의 API에 접근하면 고객 신용카드 정보나 계좌 잔액과 같은 민감한 데이터에 접근할 수 있습니다.

API 유출은 기업과 소비자 모두에게 심각한 결과를 초래할 수 있습니다. 고객 데이터가 유출될 경우 기업은 막대한 벌금과 손해배상을 부담할 수 있으며, 소비자는 금융 사기나 신원 도용 피해를 입을 수 있습니다. 따라서 이를 더 잘 이해하기 위해 깊이 살펴보겠습니다!

API 키 이해

API 키는 API(응용 프로그래밍 인터페이스)에 대한 요청을 인증하는 데 사용되는 고유 식별자입니다. 이는 API가 요청을 보낸 개발자나 시스템을 식별하고, 허가된 요청만 처리되도록 보장하는 방법입니다.

API 키는 종종 API 사용량을 추적하고 제어하며, API가 남용되거나 과도하게 사용되지 않도록 보장하는 데 사용됩니다. 일반적으로 API 제공자가 생성하며, 비밀 키와 함께 제공되어 API 키를 인증하고 허가된 출처에서 사용되고 있음을 확인합니다.

API 키가 필요한 API를 사용하려면 시스템이 API에 대한 요청에 해당 키를 포함해야 합니다. 이는 일반적으로 요청 헤더에 키를 넣거나 요청 URL의 쿼리 매개변수로 포함시켜 수행됩니다.

API 키에는 두 가지 유형이 있습니다: 개인용과 공개용. 개인용 API는 일반적으로 특정 사용자나 시스템 그룹만 접근할 수 있으며, 민감하거나 독점적인 데이터 또는 기능에 접근하는 데 사용됩니다. 반면 공개용 API는 일반 대중이 이용할 수 있는 데이터나 기능에 접근하는 데 사용됩니다. 공개 API 키는 API를 사용하려는 모든 개발자나 시스템에 발급됩니다.

거래에서 어떻게 사용되나요?

API 키는 주식 거래소나 암호화폐 거래소와 같은 금융 거래 플랫폼에 접근하기 위해 거래에서 자주 사용됩니다.

이를 통해 개발자는 암호화폐 거래소와 상호 작용하고 사용자를 대신해 거래를 실행하는 애플리케이션을 구축할 수 있습니다. 또한 계정 정보를 조회하고, 실시간 시장 데이터를 가져오며, 주문을 체결하고, 포지션을 관리하는 등 다양한 작업에 활용됩니다.

이 개념은 인간이 거래를 생각하거나 실행하는 어려운 작업을 할 필요가 없다는 것입니다. 대신 모든 것이 코드로 즉시 자동화됩니다. 그러나 잘못된 사람이 API에 접근하게 되면, 바로 그들이 혼란을 일으키기에 충분합니다.

결국 API 키는 보통 거래소에서 생성되며, 사용자는 API에 접근하기 위해 거래 소프트웨어에 해당 키를 제공해야 합니다.

거래에서 API 키 사용의 위험성

API 키는 매우 편리할 수 있지만 보안 위험을 초래할 수도 있습니다. 예를 들어, API 키가 유출되면 계정에 무단으로 접근하거나 사용자를 대신해 거래를 실행하고 자금을 빼낼 수 있습니다.

또한, 키가 계좌 잔액이나 거래 내역과 같은 민감한 금융 정보를 조회하는 데 사용된다면, 이를 통해 사기를 당하거나 다른 범죄를 저지를 수 있습니다.

게다가 API 유출은 데이터베이스나 서버가 아니라 애플리케이션이나 서비스의 코드 내에서 발생하는 경우가 많아 탐지하기 어렵습니다. 따라서 오랜 기간 동안 감지되지 않을 수 있습니다.

3Commas API 유출

지난 주에 에스토니아에 기반을 둔 거래 플랫폼 3Commas(샘 뱅크맨-프리드의 Alameda Research가 지원)에서 손상된 API 키를 통해 수백만 달러 상당의 암호화폐가 도난당한 것으로 추정되었습니다. 이번 주에 해당 회사는 API 유출의 원인임을 인정했습니다.

3Commas의 발표는 익명의 트위터 사용자가 거래 소프트웨어 제공업체 사용자들의 약 100,000개의 API 키를 입수하고 그 중 10,000개 이상을 온라인에 공개했으며, 나머지는 “앞으로 며칠 안에 무작위로 전부 공개될 예정”이라고 말한 뒤에 이루어졌습니다.

그 이후 3Commas는 Binance, Kucoin 등 지원되는 암호화폐 거래소에 거래 플랫폼에 연결된 모든 API 키를 폐기해 달라고 요청했습니다.

이 유출은 수십 명의 3Commas 사용자가 자신의 API 키가 동의 없이 KuCoin 및 Coinbase와 같은 거래소에서 거래를 실행하는 데 사용되었다고 주장한 뒤 발생했습니다. 플랫폼은 사용자가 10월부터 공격자에게 최소 600만 달러를 잃었으며, 최근 몇 주 사이에 그 금액이 두 배로 늘어났다고 확인했습니다.

초기에 3Commas는 자체 보안 문제가 없으며 피싱 공격으로 사용자가 데이터를 제공했다고 주장했습니다. 그러나 데이터 유출은 사용자의 자격 증명이 피싱이 아닌 유출된 것으로 나타났습니다.

3Commas는 사용자가 제3자 거래소에서 거래를 자동화할 수 있게 해주는 인기 있는 암호화폐 거래 봇입니다. 이 앱은 거래소에서 사용자의 계정에 접근하기 위해 API 키를 사용하며, 이번 주 유출된 API 키는 Binance와 KuCoin에서 생성된 것으로 보입니다.

블록체인 탐정 @ZachXBT에 따르면 44명의 피해자가 3Commas에서 도난당한 API 키를 통해 총 1,480만 달러를 잃었습니다. 당시 3Commas CEO Yuri Sorokin은 유출된 API 키가 3Commas에서 나온 것이었다면 “수백 건이 아니라 수백만 건을 보게 되었을 것”이라고 주장했습니다.

3Commas에 연결된 키는 100만 개가 넘지만 문제를 보고한 사용자는 약 100명에 불과하다고 Sorokin은 덧붙였습니다. 이번 주에 사용자들은 3Commas가 책임을 지는 대신 자체 사용자를 비난하고 추가 악용 방지에 집중하지 않는다고 비난했습니다.

이번 주 3Commas의 성명 발표 전에 Binance CEO Changpeng Zhao는 사용자들에게 경고했습니다: “3Commas에서 광범위한 API 키 유출이 발생한 것으로 확신합니다. 3Commas(어떤 거래소든)에서 API 키를 사용한 적이 있다면 즉시 비활성화하십시오.”

3Commas는 현재 예방 차원에서 사용자가 새로운 API 코드를 생성하도록 권장하고 있습니다. 또한 향후 피싱 사기를 더 어렵게 만들기 위해 앱을 업데이트했습니다.

한편, 3Commas의 법무팀은 성명에서 회사가 외부 전문가를 고용해 코드를 검토하고 사용자들을 위해 문제를 최종적으로 해결하는 과정에 있다고 밝혔습니다.

“극소수의 사용자만이 3Commas에 비정상적인 활동을 보고했습니다. 3Commas 데이터베이스에 저장된 API 키의 99.9%는 이번 공격의 영향을 받지 않았습니다.” 라고 법무팀은 덧붙였습니다.

보호 조치

오늘날 세계에서는 API가 애플리케이션과 데이터에 직접 접근을 제공하기 때문에 API를 보호하는 것이 그 어느 때보다 중요합니다. 오늘 API가 안전하다고 단정할 수 없습니다. API 보안이 지금보다 더 필요할 수 없습니다.

API를 올바르게 보호하지 않으면 큰 문제가 발생할 수 있습니다. 따라서 평판이 좋은 기업과만 거래하고, 절대 안전하다고 확신하지 않는 한 민감한 데이터를 누구와도 공유하지 마세요.

API 유출을 방지하는 또 다른 방법은 애플리케이션과 서비스를 최신 상태로 유지하고 정기적으로 업데이트 계획을 세우는 것입니다. 이렇게 하면 새로운 취약점이 발견될 경우 즉시 패치할 수 있습니다. 또한 악의적인 요청을 차단하기 위해 웹 애플리케이션 방화벽(WAF) 사용을 고려해야 합니다.

항상 API 키를 안전하게 보관하고 쉽게 유출될 수 있는 장소에 저장하지 마세요. API 키는 정기적으로 변경하고, 신뢰하는 사람조차도 공유하지 않는 것이 중요합니다. 꼭 공유해야 할 경우 비밀번호로 보호된 파일과 같은 안전한 방법을 사용하십시오.

API 키가 유출된 것으로 의심될 경우 즉시 변경하고 거래소에 알리세요. 이러한 위험으로부터 자신을 보호하려면 비밀번호를 정기적으로 변경하고 여러 계정에 동일한 비밀번호를 사용하지 않는 것이 중요합니다. 이러한 예방 조치를 취하면 계정을 안전하게 보호할 수 있습니다.

마무리

API 유출은 새로운 현상이 아닙니다. 실제로 꽤 오랫동안 존재해 왔습니다. 가장 흔한 데이터 유출 형태는 아니지만 여전히 큰 피해를 줄 수 있습니다. 이는 다른 유형의 데이터 유출과 달리 API 유출은 공격자에게 가장 민감한 데이터에 직접 접근할 수 있는 권한을 부여하기 때문입니다.

돈을 잃는 유일한 방법은 아니지만 확실히 큰 우려 사항입니다. 따라서 거래에서 API 키를 책임감 있게 사용하고, 사용 시 발생할 수 있는 위험과 제한을 인식하며, 자금과 정보를 보호하기 위한 필요한 예방 조치를 반드시 취하는 것이 중요합니다.