ㄴ 더 추천하는 방법은 아예 적당한 스마트폰 공기계에 AirGap Vault 같은 오픈소스

현재 케플러 월렛의 구글로그인 해킹사건을 보고, 다른 구글로그인도 찜찜하실거같아 쭉 찾아봤습니다. 제일 급한건 "다른 구글로그인은 괜찮냐?" 겠죠? 케플러와 메타마스크는 겉으로는 둘 다 구글 로그인을 지원하지만, 내부적으로 구조가 꽤 다릅니다. 케플러의 Google Login 계정은 Web3Auth 를 이용해 Private Key를 생성하는 구조입니다. 반면 메타마스크 자체의 소셜 로그인은 Google/Apple 인증만으로 지갑 키가 바로 나오는 구조가 아니라, 메타마스크 자체에 설정해둔 비밀번호를 확인해야 암호화된 시드 문구를 복호화해 복구 구문을 가져오는 방식. 즉 메타마스크는 기본적으로 소셜 로그인 + 별도 비밀번호가 모두 필요한 2/2 구조이고, 이번에 문제가 된 Web3Auth Embedded Wallet 구조와 달라서 화를 피한 것으로 보이네요. 어떤 해킹방식일까? 이건 발표가 나오기 전에 굳이 추측할 필요까진 없지만, 구글이나 애플 둘 중 하나만 문제가 된게 아닌걸 보면 공통으로 거치는 Web3Auth/ Keplr의 인증 또는 키 복구 경로 쪽이 의심되는 상황. 이번 사고로 키가 공격자에게 넘어간 지갑이라면, 나중에 취약점이 고쳐져도 그 지갑은 영구적으로 다시 사용해선 안 될 것으로 보이네요. 영 찜찜하다면 어떻게 해야할까? 그럼에도 불구하고 구글 로그인이 영 찜찜하고 걱정이 되신다면 일번 기회에 새 지갑으로 옮기는게 좋겠지요... 니모닉은 어떻게 만드는게 베스트일지 GPT와 계속 대화를 한 후에 솔루션을 대충 만들자면 (너무 난이도 높지 않은 일반적인 레벨에서) 1. 니모닉을 생성할 때는 모바일 월렛을 더 추천 (왜냐, PC의 경우 확장프로그램 오염의 가능성이 존재하기 때문) 2. 같은 이유로, 깨끗한 최신 아이폰이나, 신형 갤럭시의 보안폴더에서 최초 생성하는걸 추천. (왜냐, 사용하던 폰일수록 악성코드나 가짜 앱등등의 가능성이 높기 때문) 3. 갤럭시 쓰시는 경우, '보안폴더' 기능에 대해 모르시면 이번 기회에 검색 (물론 보안폴더도 무적은 절대 아니고 쬐끔 더 나은 정도) 4. 절대 스크린샷 찍거나 복사하지 않는 습관 들이기 (클라우드에 백업되거나 클립보드에 저장될 가능성) ※ 여담으로 GPT가 니모닉의 최초 생성용으로 가장 추천하는 앱은 메타마스크로, 구조가 단순하고 표준 방식을 사용하며 10년간 계속해서 외부업체의 보안감사를 받고 꾸준히 버그바운티를 운영한 이력등을 높게 산다고 해요. (링크) 다만, 바로 그 다음픽인 트러스트 월렛 본질적 차이가 나진 않는다고도 하는데 결국 검증 이력과 장기간 사용한 보안 비용에 점수를 더 주는 정도라고. 한줄요약하자면 ⓐ가급적 깨끗한 상태의 모바일 환경에서 ⓑ 깨끗한 지갑 앱 깔고 새 SRP 생성 후 ⓒ종이로 기록해서 잘 보관할 것.

101

28분 전