빗썸 해킹 그 이후...

안녕하세요 ^^ @coinyawong입니다.

저는 IT 업계에서 일하고 있구요 ~ 암호화 코인에 관심이 많아
조금씩 투자를 하고 있습니다.

앞으로 여기에 제 관심분야인 코인에 대해 포스팅을 조금씩
해 보려고 하는데 잘 부탁드립니다. ^^

7월 초 빗썸이 털렸다는 뉴스를 들었을 때 저는 올 것이 왔구나
라고 생각했습니다.

꼭 개발자 관점으로 보지 않아도 홈페이지 구석구석엔 취약점이 가득했으며,
로그인 시 OTP 적용도 적용되지 않았으니까요.
(출금 시 OTP 인증이 필요하다고 해도, 비활성 하는 방법도 있으며
얼마든지 계정에서 장난질 칠 수 있죠.)

국내 3대 거래소(빗썸/코인원/코빗) 중 로그인 시 유일하게 OTP 인증이
되지 않는 곳이었습니다.

게다가 보안의식/개인정보 보호도 빵점이었습니다.
(지금도 그럴 지도 모르겠네요.)

무려 빗썸 직원(임원?) 자택 개인 PC에서 털렸으니까 말입니다.

빗썸 회원 3만 건의 개인정보가 해커에게 넘어갔고,
빗썸은 피해자들에게 10만원 씩이나(?) 보상을 해주었습니다.
(다행히 저는 목록에 없는데 또 모르죠 ㅎㅎ
그래서 개인지갑으로 이더사서 옮길 계획입니다.)

그리고 약 120여 명의 피해자들이 단체소송 준비하고
검찰 조사 들어간다니까 부랴부랴 그 동안 하나도 신경 쓰지
않았던 사이트, 고객센터 확충에 들어가는 걸로 보이네요.

사이트에 로그인 시 OTP 인증도 추가가 되게 변경하였습니다.
하지만 제 눈엔 아직도 허접해 보이네요. 그렇게 시큐어 코딩 할
인재가 없는 걸까요? 빗썸 돈도 많이 벌텐데...

저는 얼마 전 취약점 하나를 찾아내었고,
그것을 여러분과 공유하고 싶습니다.

무슨 취약점인지 아시겠나요?
OTP 인증을 하지 않아도 제 계좌 정보와 ID 값을 불러왔네요. -_-;;

눈가리고 아웅 식의 사이트 개선이었네요...
알바가 코딩해도 저거보다는 잘 하겠습니다.

솔직히 저는 취약한 것 알고도 쿠폰 쓰기가 좋아서
종종 이용했었는데 이제 정말 빠이입니다. ㅋ

국외 거래소가 좋지만 굳이 한국에서 거래해야겠다라고
생각하시는 분은 코빗 쓰십시오.

그게 제일 안전한 것 같습니다. 제가 판단하기에는...

저는 코빗, 코인원, 빗썸 다 써봤거든요...

해커에게 안전한 거래소 순위를 매기자면 코빗 > 코인원 > 빗썸 입니다.

암호화 코인은 실체가 없는 코드로 구성되어 있고 익명성 때문에 범인 잡기도
상당히 힘듭니다. (거의 불가능할지도...)

암호화 코인에 관심이 있고 투자를 하신다면 보안에
각별히 주의를 기울이셔야 하겠습니다.

OPT 설정은 선택이 아니라 필수입니다.

그리고 스미싱/보이스 피싱에 주의하세요!