루벤 대학교의 컴퓨터 보안 연구그룹 DistriNet, 크롬 브라우저에서 널리 사용되는 암호화폐 지갑 85개를 분석
- 연구 결과, 브라우저 기반 암호화폐 지갑에서 사용자 개인정보를 노출할 수 있는 여러 보안 취약점이 발견됨
- 연구에 따르면 일부 지갑은 서로 다른 암호화폐 주소를 동일 사용자와 연결하거나, 로그아웃 이후에도 사용자를 추적 가능
- 또한 일반 웹사이트에서의 인터넷 활동과 암호화폐 자산을 연결할 가능성도 있는 것으로 나타남
‘익명’이라는 말의 배신
- 암호화폐 이용자는 일반적으로 디지털 지갑을 통해 자신의 암호화폐 계정과 웹3(Web3) 애플리케이션에 접속
- 이러한 애플리케이션에서는 암호화폐 거래나 대출, 스테이킹(staking) 등의 서비스를 이용할 수 있음
- 많은 이용자는 블록체인 주소가 이름이나 이메일 주소 대신 무작위 문자열로 구성돼 있기 때문에 자신의 신원이 익명으로 보호된다고 생각함
- 하지만 연구진은 바로 이 점이 오히려 개인정보 노출의 원인이 될 수 있다고 지적
웹3 로그인용 지갑 소프트웨어에서 개인정보 유출 우려
- 예를 들어, 하나의 지갑이 동일 사용자가 보유한 여러 블록체인 주소 사이의 연관성을 드러내는 신호를 외부에 노출할 수 있음
- 이 경우 서로 독립적으로 사용하려던 여러 암호화폐 주소가 결국 하나의 사용자와 연결되는 사태가 발생
- 또 다른 문제는 '로그아웃'이나 '연결 해제'가 실제로는 접근 권한을 완전히 제거하지 못하는 경우가 있다는 점
- 이 때문에 사용자가 쿠키를 삭제하거나 브라우저를 재시작한 뒤에도 웹사이트나 스크립트가 동일한 사용자를 다시 식별할 수 있는 것으로 나타남
일반 인터넷 활동과 암호화폐 자산 연결 가능성
- 가장 심각한 문제는 이러한 정보가 웹3 서비스 외부에서도 추적에 활용될 수 있다는 점
- 조사 대상 이더리움 호환 지갑 36개 가운데 23개에서는 숨겨진 웹페이지나 삽입된 프레임이 지갑 정보를 요청할 수 있었음
- 이때, 사용자의 일반적인 인터넷 이용 기록과 암호화폐 주소를 연결할 가능성이 생기게 됨
- 공개형 블록체인에서는 지갑 주소만 노출돼도 거래 내역과 자산 규모 등 금융 활동이 드러날 수 있어 맞춤형 피싱과 사기 등으로까지 이어질 수 있다고 연구진은 경고
사용자가 할 수 있는 일
연구진은 개인정보 유출 위험을 줄이기 위해 지갑 설정에서 더 이상 사용하지 않는 사이트의 접근 권한을 삭제할 것을 권고
한편, 연구진은 사용자가 로그아웃 이후 암호화폐 지갑 추적 여부와 일반 웹사이트에서의 지갑 주소 노출 여부를 직접 확인할 수 있는 인터랙티브 데모도 공개
이 도구는 사용자의 브라우저 안에서만 실행되며, 어떠한 정보도 외부에 저장하지 않음
