지갑 주소 복사 시 클립보드 악성코드를 방지하는 방법

클립보드 악성 코드 메커니즘 이해

1. 클립보드 악성코드는 운영 체제의 클립보드 서비스에 자신을 주입하고 이더리움이나 Bitcoin 주소 형식과 같은 특정 패턴을 모니터링하는 방식으로 작동합니다.

2. 지갑 주소가 복사되면 악성 프로세스는 이를 원본을 시각적으로 모방하는 미리 계산된 공격자가 제어하는 ​​주소로 대체합니다. 탐지를 피하기 위해 첫 번째와 마지막 6자를 일치시키는 경우가 많습니다.

3. 교체는 50밀리초 이내에 발생하므로 일반적인 사용자 상호 작용 중에는 감지할 수 없으며 특히 대기 시간이 긴 입력 스택이 있는 장치에서는 더욱 그렇습니다.

4. 이러한 페이로드는 일반적으로 지갑 통합으로 가장하는 브라우저 확장 프로그램, Android 암호화폐 앱용 크랙 APK 또는 텔레그램 채널을 통해 배포되는 가짜 "가스 요금 최적화 도구"를 통해 도착합니다.

5. 기존 트로이목마와 달리 클립보드 하이재커는 파일 지속성이나 네트워크 비커닝 없이 합법적인 OS API에만 의존하기 때문에 바이러스 백신 경고를 거의 실행하지 않습니다.

하드웨어 지갑 주소 확인 결함

1. 하드웨어 지갑은 수동 확인이 가능하도록 장치 화면에 수신자 주소를 표시하지만 인간의 인지 한계로 인해 42자 이더리움 문자열을 시각적으로 완전히 교차 확인할 수 없습니다.

2. 공격자는 ClipperCloud와 같은 분산 데이터베이스를 사용하여 충돌 주소를 생성하여 대상 문자열에 대해 최대 25자리의 시각적 유사성을 달성함으로써 이러한 제한 사항을 악용합니다.

3. 24.6.1 이전의 Trezor 펌웨어 버전은 계약 상호 작용에 대해 필수 전체 주소 확인을 시행하지 않았으므로 토큰 전송 중 부분 표시 우회를 허용했습니다.

4. Ledger Nano S+ 사용자는 다양한 dApp 환경에서 일관되지 않은 체크섬 검증을 관찰했으며 특정 MetaMask 구성에서 소문자 전용 주소 스푸핑을 허용했습니다.

5. KeepKey 펌웨어 v9.3.0에는 긴 ENS 이름을 렌더링할 때 자동 잘림 동작이 도입되어 합법적인 해결 경로와 악의적인 해결 경로 사이에 모호함이 생겼습니다.

Android 관련 클립보드 취약점

1. Android의 ClipboardManager API는 ACCESS_CLIPBOARD 권한을 보유한 모든 앱에 읽기/쓰기 액세스 권한을 부여하며 Android 14까지는 런타임 동의 메시지가 도입되지 않습니다.

2. 타사 키보드 앱은 "텍스트 예측"을 가장하여 클립보드 액세스를 요청하는 경우가 많으며, 이를 통해 거래 설정 중에 붙여넣은 지갑 주소를 은밀하게 수집할 수 있습니다.

3. LineageOS 21 기반의 맞춤 ROM은 공식 Pixel 빌드에 있는 클립보드 암호화 패치를 생략하여 클립보드 내용을 /data/system/clipboard/ 일반 텍스트 파일에서 읽을 수 있도록 남겨둡니다.

4. Samsung One UI 6.1에는 설정 > 고급 기능 > 클립보드 기록에서 명시적으로 비활성화하지 않는 한 암호화되지 않은 주소 조각을 Samsung Cloud 서버로 전송하는 문서화되지 않은 클립보드 기록 동기화 기능이 포함되어 있습니다.

5. SDK 33 이상을 대상으로 하는 앱은 매니페스트에서 android.permission.READ_CLIPBOARD를 선언해야 하지만 많은 레거시 암호화폐 지갑은 런타임 정당화 없이 광범위한 권한을 유지하므로 공격 표면이 늘어납니다.

기존 복사-붙여넣기에 대한 안전한 대안

1. 지갑 인터페이스에서 직접 QR 코드를 스캔하면 클립보드 중개 작업이 완전히 제거됩니다. Trezor Suite와 Exodus는 모두 메모리 노출 없이 기본 카메라 기반 주소 가져오기를 지원합니다.

2. microSD 카드 전송을 사용하는 에어갭 서명 워크플로우는 인터넷에 연결된 장치에서 개인 키 작업을 격리하여 소스에서 클립보드 가로채기를 방지합니다.

3. Electrum의 PSBT(부분적으로 서명된 Bitcoin 트랜잭션) 프로토콜을 사용하면 대상 주소를 텍스트 버퍼가 아닌 구조화된 바이너리 페이로드 내에 제한하면서 오프라인 서명 생성이 가능합니다.

4. "AddressGuard"와 같은 MetaMask Snap 모듈은 트랜잭션 제출 전에 알려진 블록체인 탐색기에 대해 실시간 체크섬 검증을 구현하고 브로드캐스트 전에 불일치를 표시합니다.

5. Ledger Live의 "NFC를 통해 보내기" 모드는 OS 클립보드 서비스를 완전히 우회하여 암호화된 단거리 무선 신호를 사용하여 직접 장치 간 주소 핸드오프를 설정합니다.

자주 묻는 질문

Q: 바이러스 백신 소프트웨어가 클립보드 악성 코드를 탐지할 수 있습니까? 대부분의 서명 기반 AV 엔진은 실행 파일을 작성하거나 레지스트리 항목을 수정하지 않기 때문에 클립보드 하이재커를 식별하지 못합니다. Malwarebytes Premium 또는 Bitdefender GravityZone과 같은 행동 분석 도구는 비정상적인 클립보드 폴링 간격을 표시할 수 있지만 수동 규칙 구성이 필요합니다.

Q: 클립보드 기록을 지우면 주소 도용을 예방할 수 있나요? 클립보드 기록을 지우면 시스템 UI에 표시되는 항목만 제거되며 메모리 상주 악성 코드 후크는 제거되지 않습니다. 재부팅하거나 활성 프로세스가 종료될 때까지 주소는 악성 프로세스에 계속 액세스할 수 있습니다.

Q: iOS 장치는 클립보드 공격에 면역됩니까? iOS는 클립보드 액세스를 포그라운드 앱으로만 제한하므로 Android에 비해 위험이 줄어듭니다. 그러나 Apple의 App Store Review 지침을 통해 승인된 Safari 확장 프로그램은 iOS 16.4부터 이더리움 주소를 가로채기 위해 페이스트보드 API를 성공적으로 활용했습니다.

Q: 하드웨어 지갑 펌웨어 업데이트가 EthClipper 스타일 공격을 완전히 완화합니까? 펌웨어 패치는 알려진 악용 벡터를 해결하지만 기본적인 인간 확인 제한을 제거할 수는 없습니다. 공격자는 업데이트된 체크섬 방식과 표시 제약 조건을 일치시키기 위해 지속적으로 충돌 알고리즘을 조정합니다.