Revolut을 턴 해커들은 공개 장부에서 표적을 찾았고, 장부가 없는 곳으로 돈을 받고 싶어 합니다

무슨 일이 있었나

Revolut은 9월 12일, 결코 가져서는 안 될 사람에게 고객 자료를 넘겼다고 밝혔습니다. 약 680명이 영향을 받았고 그중 열두 명이 아일랜드에 있습니다. 항목은 거의 최악에 가깝습니다. 성명 전체, 생년월일, 직업, 주소, 연락처, 여권, 운전면허증, 금융 명세, 그리고 고객확인 절차에서 찍은 얼굴 인증 이미지입니다.

깨진 암호는 하나도 없습니다. 보도에 따르면 공격자들은 이탈리아 정부의 이메일 시스템을 장악한 뒤, 정당한 정부 도메인에서 메일을 보내 수사기관을 사칭하며 특정 계좌에 대한 정보를 요청했습니다. 그 일을 몇 달에 걸쳐 했고, 그 요청들은 Revolut의 확인 절차를 통과했습니다.

9월 16일, 스스로를 iamnotavillain이라 부르는 집단이 스물네 시간 카운트다운과 함께 요구를 공개했습니다. 6,000 XMR, 그날 기준 약 3백만 달러였습니다. 메시지는 Revolut이 지급하지 않으면 "모든 자료가 팔릴 것이고, 피는 너희 손에 묻을 것"이라는 내용이었습니다. 카운트다운은 다음 날 공개 대응 없이 끝났습니다.

Revolut의 입장은 "이런 주장을 하는 개인이나 집단으로부터 어떤 직접적인 접촉이나 요구도 받지 않았다"는 것, 시스템과 고객 자금은 영향을 받지 않았다는 것, 그리고 요청에 사용된 주소를 차단하고 해당 정부기관과 수사기관, 개인정보 보호 당국, 금융 규제기관에 통보했다는 것입니다.

우리는 그 집단의 사이트로 연결하지 않을 것이며, 여기 적힌 어떤 내용도 그들이 보유했다고 주장하는 자료가 진짜이거나 완전하다는 확인으로 읽혀서는 안 됩니다.

비트코인 보유자가 걱정해야 할 대목

보도 속 한 가지 세부가 받은 관심보다 훨씬 더 많은 주목을 받아야 합니다.

공격자들은 680개의 이름을 아무렇게나 고르지 않았고, Revolut에서 가장 부유한 고객을 일반적으로 고른 것도 아닙니다. 그들은 블록체인 분석으로 암호자산을 많이 가진 계좌를 찾아낸 다음, 바로 그 사람들을 노렸습니다.

순서를 곱씹어 보십시오. 공개 장부가 조준 장치였습니다. 누구나 허락 없이 공급량을 감사하고 자기 코인을 검증하게 해 주는 Bitcoin의 투명성, 바로 그 속성이 범죄 집단에게 갈취할 만한 사람들의 명단을 만들게 해 주었습니다. 설계의 결함이 아닙니다. 아무도 원하지 않은 용도에서 명세대로 정확히 작동한 설계 그 자체입니다.

두 번째 단계가 이 사람들의 프라이버시를 실제로 앗아갔고, 그것은 어떤 체인과도 무관했습니다. 장악된 이메일 계정과, 은행이 응한 요청 절차였습니다. 온체인 데이터는 "이 계좌는 공격할 값어치가 있다"고 말했습니다. 수탁사의 파일은 "그리고 여기 그의 여권과 주소와 얼굴이 있다"고 말했습니다.

공개 장부 위의 가명성에 가장자리의 신원 확인을 더하면 평균적으로 절반쯤의 프라이버시가 되지 않습니다. 가장자리에 닿을 수 있는 사람에게는 프라이버시가 전혀 없는 것으로 귀결됩니다.

우리는 이번 달에 보관의 집중이 Bitcoin의 보장에 무엇을 하는지 두 번 썼고, 가장 최근이 9월 21일이었습니다. 흔한 표현은 열쇠가 없으면 코인도 없다는 것입니다. 이것은 덜 이야기되는 나머지 절반입니다. 이 고객들은 코인을 잃지 않았습니다. Revolut은 자금이 그대로라고 말합니다. 그들이 잃은 것은 신분증과 자기가 무엇을 가졌는지에 대한 기록이며, 일부에게는 그것이 더 위험한 상실입니다. 집까지 따라오는 쪽이기 때문입니다.

왜 비트코인이 아니라 모네로인가

여기가 어떤 종류의 논쟁을 끝내야 할 대목입니다.

정부 메일 시스템을 장악하고 몇 달간 사칭을 유지하며 체인 분석으로 피해자를 걸러 낼 만큼 정교한 집단이 비트코인으로 받겠다고 하지 않았습니다. 모네로를 요구했습니다.

갈취로 먹고사는 사람들은 이 문제를 제대로 판단할 가장 분명한 유인을 가지고 있고, 둘을 혼동하지 않습니다. Bitcoin은 모든 이체의 영구적이고 공개적이며 전 세계에 복제된 기록입니다. 주소는 가명이고, 가명이야말로 체인 분석 업체와 수사기관이 십 년에 걸쳐 이름에 붙이는 법을 배워 온 대상입니다. 비트코인으로 치른 몸값은 시간이 갈수록 좋아지는 증거를 만듭니다. 미래의 모든 신원 특정이 소급해 적용되기 때문입니다.

그러니 대금을 받는 구간이야말로 공격자가 투명성을 견딜 수 없는 유일한 자리이고, 그들은 투명성을 없애려고 만들어진 자산을 골랐습니다. 이는 지지자들이 가끔 흐려 놓는 Bitcoin의 진실 하나를 말해 줍니다. 그것은 사적이지 않습니다. 애초에 사적이었던 적이 없습니다. 프라이버시는 그것이 제공하도록 설계된 속성에 들어 있지 않았습니다.

모네로가 실제로 감추는 것

Monero의 설계는 Bitcoin이 공개하는 세 가지를 세 개의 별도 장치로 감춥니다.

링 서명은 보내는 쪽을 감춥니다. 거래는 어떤 집합의 한 구성원이 승인했다는 사실은 증명하되 누구인지는 드러내지 않는 방식으로 서명됩니다. 링 크기는 현재 열여섯으로 고정돼 있어, 실제 입력 하나가 체인에서 뽑힌 열다섯 개의 미끼 사이에 놓입니다.

스텔스 주소는 받는 쪽을 감춥니다. 보내는 쪽이 결제마다 일회용 주소를 파생하므로, 공개된 Monero 주소는 체인에 결코 나타나지 않고 같은 사람에게 보낸 두 건의 결제를 목적지로 엮을 수 없습니다.

RingCT는 금액을 감춥니다. 값은 암호학적으로 커밋되고, 그것이 양수이며 입력과 출력이 맞아떨어진다는 것을 보이는 범위 증명이 따라붙되, 숫자 자체는 보이지 않습니다.

실제 효과는 체인 분석가가 Bitcoin에서 다루는 세 항목, 누가 냈는지, 누가 받았는지, 얼마인지가 선택이 아니라 기본값으로 없다는 것입니다. 그 기본값이 암호학보다 더 중요합니다. 대부분의 사용자가 켜지 않는 프라이버시 기능은 주로 그것을 켜는 사람을 식별해 줄 뿐이기 때문입니다.

모네로가 감추지 못하는 것, 그리고 그것이 맞선 것

추적 불가능하다고 말하지는 않겠습니다. 그것은 발견이 아니라 마케팅 문구이기 때문입니다.

보호는 통계적이지 절대적이지 않습니다. 미끼는 알고리즘이 뽑고, 체인에 들어가는 것을 편향시킬 수 있거나 거래의 시점과 구조를 상관 지을 수 있는 적수는 그럴듯한 서명자의 집합을 조금씩 깎아 냅니다. 프로젝트 자체 연구자들이 낸 분석은 후보를 좁히기 위해 통합 패턴을 이용하는 공격을 기술합니다. 설계는 네트워크 계층도 보호하지 않습니다. 거래를 가장 먼저 퍼뜨린 IP 주소를 긁어모으려고 연결이 좋은 노드를 돌리는 것은 문서화된 기법이며, 배관을 공격함으로써 암호학을 통째로 우회합니다. 고정 링의 약점은 충분히 알려져서, 링을 전체 출력 집합에 대한 증명으로 대체할 전체 체인 소속 증명이라는 프로젝트의 답이 개발 중이고 아직 나오지 않았습니다.

정부들은 수년째 그것에 맞서 돈을 쓰고 있습니다. 2020년 프라이버시 암호자산 추적 도구에 최대 625,000달러의 현상금을 내건 뒤, IRS는 이 문제를 다루도록 Chainalysis와 Integra FEC와 계약했습니다. 어느 방향이든 자신만만한 주장은 의심하십시오. 추적을 파는 회사는 능력을 부풀릴 유인이 있고, 커뮤니티는 축소할 유인이 있습니다.

그리고 여기서 가장 중요할지 모르는 따분한 제약이 남습니다. 모네로 시장은 작습니다. 시가총액 약 10.6십억 달러에, 모든 거래소를 합쳐 하루 약 144백만 달러가 오갑니다. 육천 개는 오늘 약 3.4백만 달러이며, 규제받는 유럽 거래소들이 이미 손을 뗀 자산의 하루 세계 거래량에서 적지 않은 몫입니다. Binance와 Kraken과 OKX는 유럽연합 고객에 대해, 암호자산 서비스 제공자에게 익명성 강화 코인을 금지하며 2027년 7월 10일부터 적용되는 유럽 자금세탁방지 규정 제79조에 앞서 그것을 내렸습니다. 그 시한에 대한 보도 상당수는 7월 1일이라고 하지만, 규정은 십일이라고 적혀 있습니다.

이 가운데 어느 것도 모네로를 보유하거나 옮기는 일을 막지는 않습니다. 다만 신원을 확인하는 거래소를 건드리지 않고 수백만 달러를 쓸 수 있는 돈으로 바꾸는 것은, 그것을 사들이는 일보다 어려운 문제라는 뜻입니다.

우리가 여기서 얻는 것

세 가지입니다.

첫째, 요구액은 이제 그때보다 더 큽니다. 모네로는 최후통첩 당일 507달러 부근이었고 이 글을 쓰는 지금 566달러 부근이므로, 6,000개는 시한이 지나는 동안 약 3.0백만 달러에서 약 3.4백만 달러가 됐습니다. 범죄가 아니라 자산에 관한 세부이지만, 몸값의 경제학을 모형화하는 사람이라면 변동성 자산으로 값을 매기는 일이 양쪽으로 벤다는 점을 눈여겨봐야 합니다.

둘째, 여기서 실패한 것은 절차이지 프로토콜이 아닙니다. 은행이 공식처럼 보이지만 공식이 아니었던 요청에 응답했습니다. 신분증을 보관하고 수사기관에 응답하는 모든 기관이 같은 절차를 돌리고 있으며, 흥미로운 질문은 그중 몇이나 이것을 잡아냈겠느냐는 것입니다.

셋째, 그리고 우리가 남겨 둘 것은 이것입니다. 이 공격은 사람을 찾는 데 Bitcoin의 개방성을, 대금을 받는 데 모네로의 불투명성을 썼습니다. 둘 다 설계대로 작동했습니다. 규제받는 중개자를 통해 비트코인을 보유하면 양쪽의 장점을 다 얻는다는 말을 들어 왔다면, 이번 주가 그 주장이 시험받은 주간이고, 그 파일에 이름이 오른 사람들이 그 시험의 값을 치른 이들입니다.

이것은 일반적인 시장 논평이며, 투자 자문이나 특정 자산의 매수 또는 매도 권유가 아닙니다.