긴급보안 경보
미 당국, 미국 금융기관에 MEXC 관련 자금 이체 금지 명령
미국 금융당국이 미국 금융기관에 MEXC Global 관련 자금 이체 금지 명령을 내렸으며, 관보 게재 30일 뒤 효력이 발생한다. 이번 명령만으로 전 세계 이용자의 출금 중단을 단정할 수 없다.
#사이버보안
긴급보안 경보
BTC 탈취 시도자에게 담보를 요구하는 ‘양자 지뢰’ 제안
BTC 탈취 시도자도 자기 BTC를 담보로 걸어야 한다는 ‘양자 지뢰’ 제안이다. 사전 소유권 증명이 필요한 구상이며, 양자 내성 출력과 새로운 검증 규칙을 전제로 한다. 채택 여부는 확인되지 않았다.
긴급보안 경보
바이낸스 탈취 자금, 약 1만2천 지갑 분산
바이낸스 탈취 자금은 사건 이후 첫 사흘 반 동안 약 1만 2천 개 지갑을 거쳤다. 11월 5일 분석의 약 28.5억 달러 동결·압류는 이용자 반환 완료를 뜻하지 않는다.
참고리서치
사이버 복원력의 다섯 과제와 실무 점검 기록
KCBCA Signals 2호 편집글은 양자내성암호 전환부터 토큰화와 거버넌스까지 다섯 과제를 짚는다. 시스템이 멈춘 뒤에도 권리·증거·책임을 확인할 수 있도록 실무 점검 기록을 살펴본다.
주의정책·규제
블록 약 9억 6,400만 달러 합의 추진
블록이 미국 법무부의 자금세탁방지 관련 조사를 해결하기 위해 총액 약 9억 6,400만 달러의 합의를 추진한다. 최종 합의 체결과 법원 승인이 남아 있다.
긴급보안 경보
토르체인 7개 교환 경로 재개와 일부 제한
토르체인이 11월 3일 비트코인·이더리움·트론을 포함한 7개 교환 경로를 재개한 것으로 보도됐다. 보도 당시 일부 네트워크는 제한 상태였다.
긴급보안 경보
BIP-54, 비트코인 합의 규칙 4건 수정 제안
BIP-54는 비트코인 합의 규칙의 오래된 약점 네 가지를 개선하는 제안이다. 일부 채굴 풀의 호환 거래 생성은 준비 단계이며 본망 활성화는 아직이다.
긴급보안 경보
가상자산사업자 침해사고 즉시 통보 추진
가상자산사업자가 침해사고를 인지하면 즉시 통보하는 방안이 추진된다. 공유된 보도 요약에 따르면 사고 조사·정보 공유를 위한 가이드라인을 11월 중 마련할 예정이다.
긴급보안 경보
주간 보안 뉴스: 바이낸스 탈취와 채용 사기 등
가짜 개발 도구와 채용 면접을 거친 공격 끝에 바이낸스 자산 약 63억 달러가 탈취됐다. 더존비즈온 고객 기관의 유출 가능성 공지와 시놀로지 NAS 랜섬웨어 경고도 나왔다.
참고협회 소식
KCBCA Signals 제1권 제2호 공개
KCBCA Signals 제1권 제2호가 공개됐다. 양자내성암호·에이전트 보안·적응형 규제를 주제로 13편의 기고를 담은 49쪽 영문호로, 무료 온라인 열람과 PDF 다운로드를 제공한다.
주의보안 경보
노스플랭크 침해로 AI API 키 무단 사용
여러 이용자가 노스플랭크에 저장한 AI API 키의 무단 사용을 신고했다. 회사는 모든 환경변수가 복호화됐다고 가정하고, 저장한 비밀키를 모두 교체하라고 안내했다.
주의보안 경보
바이낸스 18,270 BTC 탈취와 자산별 동결 차이
2026년 10월 29일 바이낸스 핫월렛에서 18,270 BTC가 탈취됐다. 비트코인에는 발행사 동결 기능이 없어 다른 토큰의 동결과 구분해야 한다.
주의보안 경보
바이낸스 침해 이후 출금 단계적 복구
바이낸스 출금 복구, 자산·네트워크별 확인이 핵심이다. 바이낸스는 10월 29일(UTC) 핫월렛 침해로 약 63억 달러 상당의 가상자산이 탈취됐다고 밝혔다.
주의보안 경보
체이널리시스 고객 이름·이메일 등 노출
체이널리시스 고객 이름·이메일 등이 노출됐다. 회사 설명에 따르면 외부 공격자가 AI 에이전트를 활용한 공격 기법으로 내부 시스템과 도구에 무단 접근했다.
주의보안 경보
주간 보안 뉴스: AI 악용 해킹 일당 검거 등
국내 업체 90여 곳에 침입해 개인정보 약 820만 건을 탈취한 AI 악용 해킹 일당이 검거됐다. 대신증권 고객정보 유출과 구형 아이폰·아이패드 보안 업데이트도 전해졌다.
참고리서치
상황별 AI 레드티밍 시험 항목과 점검표
AI 레드티밍은 공격자 관점에서 AI를 속여 약점을 찾는 시험이다. 공공 AI와 자금 거래 승인, 영향이 큰 배포, 시험용 에이전트의 점검 항목을 살펴보고 거절·철회·격리 경로와 증거 확보를 확인한다.
주의보안 경보
온다 숙박 예약정보 약 2만5천 건 노출 가능성
온다의 호텔 예약관리 시스템에서 일부 예약정보가 무단 조회됐다. 영향 범위는 약 2만5천 건으로 추정되며 조사 중이다.
주의보안 경보
코인DCX 옛 입금 주소에서 1,600만 달러 유출
인도 최대 가상자산 거래소 코인DCX의 옛 입금 주소에서 약 1,600만 달러가 빠져나갔다. 거래소는 처음엔 오경보라고 했다가 며칠 뒤 손실을 인정했으며, 손실은 자체 부담했다고 밝혔다.
주의보안 경보
이니시아 버그 악용, 담보 없는 토큰 발행
이니시아에서 담보 없는 토큰이 무단 발행돼 약 270만 달러 규모의 자산이 빠져나갔다. 10월 27일 기준 재가동 일정은 미정이며, 국내 거래소는 INIT를 거래유의 종목으로 지정했다.
주의보안 경보
빗썸 사내 시스템 개인정보 유출
빗썸 사내 모바일 업무 시스템에서 개인정보가 유출됐다. 일반 회원 정보의 포함 여부와 유출된 개인정보의 구체적인 항목·규모는 조사 중이다.
참고리서치
AI 에이전트 보안의 권한·한도·검증 10항목
AI 에이전트는 답변을 넘어 업무 시스템에서 직접 행동한다. 분석·승인·게시·서명 권한을 나누고 거래 한도와 독립 검사를 두며, 운영 증거에 따라 위임을 넓히는 보안 점검 10항목을 정리한다.
주의보안 경보
은행 다크웹 알림과 은행 밖 정보 유출 경로
Chase Credit Journey 알림은 Chase 침해나 신원 도용 확정이 아니다. 유출 경로는 은행 밖인 경우가 많으며, 샌 정보는 은행 사칭에 쓰인다.
참고리서치
SBOM의 의미와 지속 관리, 도입 점검표
SBOM은 소프트웨어 구성요소와 버전·출처를 기록하는 목록이다. 배포 때마다 갱신하고 증거의 변경·만료를 추적하며, 클라우드·SaaS 등 코드 밖 의존성과 공용 서비스의 집중 위험까지 확인해야 한다.
참고리서치
해시값의 의미와 확인 방법, 증명의 한계
해시값은 내려받은 파일과 배포된 코드, 보고서가 같은 내용인지 확인하는 지문이다. 운영체제 기본 명령으로 값을 비교하는 방법과 내용의 진실성·작성자·해석은 따로 검증해야 하는 이유를 살펴본다.
참고해설
프랑스 냉장설비 해킹의 경로와 원격접속 점검
프랑스 유통업체 냉장·냉동 설비 공격으로 수백 개 매장에서 식품 폐기가 보도됐다. 확인된 침해와 추정 원인을 구분하고, 원격접속·펌웨어·유지보수 책임을 점검할 항목을 정리한다.
주의보안 경보
Railway 암호화 환경변수 접근과 AI 키 유출 우려
암호화해 둔 키도 새 나갈 수 있다. 10월 21일(미국 시간), 앱 배포 플랫폼 Railway가 보안 사고를 알렸다.
참고리서치
딥페이크 사기, 송금·서명 전 별도 확인의 필요성
AI로 만든 얼굴과 목소리는 송금과 지갑 승인을 유도하는 사칭에 쓰인다. 홍콩 화상회의 사기와 KCBCA Signals의 가상 시나리오를 통해 개인키 보호만으로 부족한 이유와 별도 경로 확인의 필요성을 살핀다.
참고해설
SQL 인젝션의 원리와 AI 에이전트 시대의 방어법
통계를 찾던 AI 에이전트가 미국·캐나다 정부 사이트에 SQL 인젝션을 시도한 기록이 공개됐지만, 침해는 확인되지 않았다. 입력과 명령을 분리하는 파라미터화 쿼리, 최소 권한, 에이전트 실행 경계를 살핀다.
참고해설
제로데이 공격과 AI 시대의 패치 속도전
AI는 공개된 패치와 공지를 분석해 공격 코드를 만드는 시간을 줄인다. 제로데이 공격에 대한 임시 조치뿐 아니라 패치 후 엔데이 악용에 대비한 신속한 업데이트와 근본 원인 검증이 필요하다.
주의보안 경보
주간 보안 뉴스: 금융사 16곳 침해 등
금융사 16곳의 침해가 확인됐고 개인정보 약 10만 건이 유출됐다. 윈도우 결함 1,411개 수정과 렛저 하드웨어 지갑의 무단 부품 발견도 전해졌다.
참고해설
MCP 보안, 도구 연결 전후의 권한·자격증명 점검
MCP로 AI에 도구를 연결하면 서비스 접근에 쓰는 자격증명과 권한도 함께 움직인다. 공식 SDK의 OAuth 결함과 에이전트 사고 사례를 바탕으로 서비스별 검증, 최소 접근, 명시적 승인 등 여덟 가지 점검 항목을 살핀다.
참고해설
피싱 사이트와 공식 계정 링크의 네 가지 확인 기준
피싱 사이트는 익숙한 화면뿐 아니라 탈취된 공식 계정과 정상 도메인도 미끼로 쓴다. 주소·인증서·요청 내용·접근 경로를 함께 살피고, 로그인과 지갑 승인 전 공식 경로에서 따로 확인해야 한다.
참고리서치
스마트 컨트랙트 패치 공개와 배포 전 보안 검증
공개된 패치는 공격자가 취약점을 찾는 단서가 될 수 있다. 스마트 컨트랙트 배포 전에는 비공개 AI 적대적 시험으로 근본 원인과 다른 공격 경로를 확인하고, 조기 공개와 불완전한 수정 위험을 따로 점검해야 한다.
참고리서치
AI 시대 공급망 공격과 협력사 보안 증거 관리
공급망 공격은 신뢰받는 협력사와 소프트웨어 연결을 이용한다. AI가 약한 고리를 찾는 속도를 높이는 만큼, 연간 설문 답변을 넘어 접근 범위와 패키지 유입 경로, 최신 보안 증거를 지속적으로 확인해야 한다.
참고해설
크리덴셜 스터핑과 은행 정보 유출의 보안 과제
크리덴셜 스터핑은 유출된 로그인 정보를 다른 서비스에 대입하는 공격이다. 은행 정보 유출의 공식 원인은 조사 중인 가운데, 이용자는 비밀번호 재사용을 줄이고 조직은 API 요청마다 권한을 검증해야 한다.
주의정책·규제
AI 거버넌스의 세 결정: 권한·검증·실패 대비
AI의 실행 능력이 커져도 그 행동을 허용할 권한까지 생기는 것은 아니다. 조직은 맡길 범위와 검증 근거, 중단 경로를 정하고 업무별로 받아들일 위험 수준과 책임을 직접 결정해야 한다.
참고리서치
프롬프트 인젝션 대응을 위한 AI 권한 분리
외부 자료에 숨은 지시가 AI의 실제 행동으로 이어질 수 있다. 콘텐츠 분석·지갑 연결·이체 승인 사례를 통해 분석과 승인, 게시와 서명을 나누고 모델 밖에서 실행을 검증하는 방법을 살핀다.
주의정책·규제
공공 AI 비서의 연결 권한과 책임 점검법
정부의 ‘모두의 AI’ 구상에서 보안은 대화창 뒤의 데이터베이스와 인증·권한 체계에 달려 있다. 연결 권한과 오류 책임, 사람 상담 경로를 확인하고 작은 범위에서 실패까지 시험해야 한다.