게임 런처 공급망 변조로 지갑 확장 프로그램 28종 노출 — 감염 확인·대응 절차

4일 깃허브에 올라온 'NIKKE PC 런처 침해 사고' 기술 보고서에 따르면, 레벨인피니트의 콘텐츠 전송 네트워크(CDN)에 있던 자바스크립트 파일 4개가 9월 27일 변조됐다. 해당 파일에는 공격자 서버에서 악성코드를 불러오는 코드가 삽입됐고, 늦어도 10월 23일부터 PC 런처를 실행한 일부 이용자의 컴퓨터에서 원격 제어 악성코드가 실행된 것으로 보고서는 확인했다. 이용자가 내려받은 파일이 아니라 정식 배포 경로의 파일이 바뀐 형태여서, 공식 런처만 썼더라도 영향 범위에 들어갈 수 있다.

악성코드에는 지갑 정보를 모으는 'wallet_files' 명령이 포함됐다. 이를 통해 크롬에 설치된 메타마스크, 팬텀, 코인베이스, 바이낸스, OKX, 바이비트, 비트겟, 트러스트월렛, 라비 등 지갑 확장 프로그램 28종의 데이터를 가져올 수 있고, 다른 브라우저에 저장된 지갑 데이터는 별도의 파일 다운로드 명령으로 수집할 수 있다. 크롬·엣지에 저장된 비밀번호와 쿠키, 인증 토큰, SSH 키도 대상이며, 악성 DLL이 웹페이지에 입력된 비밀번호와 지갑 시드 구문(복구 구문)을 읽는다는 제보도 보고서에 담겼다. 악성코드는 런처를 종료한 뒤에도 실행되도록 설계돼, 윈도에서는 크롬이 불러오는 DLL을 설치하고 사용자 레지스트리에 등록한다. 다만 실제 지갑 정보 유출 여부와 피해 규모는 확인되지 않았다.

보고서에 따르면 11월 3일 변조된 공식 파일 4개 중 3개가 정상 파일로 교체됐다. 나머지 1개도 원본 서버에서는 교체됐지만 같은 날 22시 26분(세계협정시) 기준 일부 CDN 서버에서는 변조된 파일이 계속 제공됐다. 보고서 작성자는 레벨인피니트가 문제 해결을 공식 확인하기 전까지 PC 런처를 실행하지 말라고 권고했다. 감염 여부는 런처 설치 폴더의 'Launcher/intl_service/debug.log' 파일에서 'k2f_chan' 문자열을 검색해 확인할 수 있다. 감염이 확인된 경우 감염된 기기가 아닌 안전한 기기에서 비밀번호를 바꾸고, 지갑 자금은 새 시드 구문으로 만든 지갑으로 옮기라는 것이 보고서의 권고다. 시드 구문이 노출됐다면 비밀번호 변경만으로는 지갑 통제권이 돌아오지 않는다.