Operational Security & Incident Response
운영 보안과 사고 대응
사고는 막을 수 없지만 손실은 줄일 수 있습니다. 사전 준비, 사고 발생 시 플로우, 그리고 회수 전략을 정리합니다. 프로젝트 운영자와 개인 사용자의 시각이 다르므로 토글로 전환해서 보세요.
Security Alliance
SEAL Alliance
samczsun과 다수의 화이트햇이 주축인 비영리 보안 연합. 사고 시 가장 빠르게 도달 가능한 화이트햇 풀이며, 프로젝트와 개인 모두에 무료로 열려 있습니다.
SEAL 911
24/7 화이트햇 핫라인. Telegram 봇으로 신고하면 익명 화이트햇 풀이 즉시 트리아지하고 프로젝트 또는 거래소 컨택을 연결합니다. 개인 도용 사고와 프로토콜 인시던트 양쪽에서 가장 빠른 진입점.
SEAL Whitehat Safe Harbor
프로토콜이 사전에 채택할 수 있는 표준 화이트햇 면책 조항. 사고 발생 시 화이트햇이 자금을 회수해 반환하는 행위에 대한 법적 안전망을 제공합니다. 가입은 거버넌스 또는 권한 보유자의 채택 선언으로 진행.
SEAL Wargames
프로토콜 팀을 대상으로 한 인시던트 대응 시뮬레이션. 가상의 익스플로잇 시나리오에서 팀의 워룸, 멀티시그 동원, 커뮤니케이션 전 과정을 평가합니다. 메이저 프로토콜이 정기적으로 참여.
SEAL Frameworks
전통 인포섹과 Web3 보안 리서치의 검증된 프랙티스를 단일 오픈소스 라이브러리로 정리한 벤더 중립 표준 모음. 운영 보안, 지갑 관리, 인시던트 대응, DPRK 위협 대응 등 12개 이상의 프레임워크를 제공하며 모듈식으로 점진 도입할 수 있어 신생 프로젝트와 개인 모두에게 베이스라인이 됩니다. 메이저 프로토콜 다수가 채택 중.
SEAL Certifications
크립토 조직이 실제로 마주하는 위협을 기준으로 설계된 모듈형 인증 프로그램. 인시던트 대응, 멀티시그 운영, 트레저리 보안, 워크스페이스 보안, DNS 관리 등 5개 도메인을 커버합니다. 인증된 오딧터가 평가하고 결과는 EAS(Ethereum Attestation Service)로 온체인에 영구 기록되어 누구나 검증 가능. 현재 베타로 15개 이상의 조직이 파일럿 참여 중.
SEAL Intel
크립토 생태계 전반의 위협 인텔리전스. 피싱 캠페인, 지갑 드레이너 멀웨어, 국가 단위 공격 등에 대한 실시간 알림을 제공합니다. 300개 이상의 위협 리포트와 20만 개 이상의 악성 도메인 데이터베이스를 운영하며 SDK도 공개. MetaMask, Phantom, WalletConnect 같은 메이저 지갑이 이 인텔을 직접 통합해 사용자에게 노출되는 위협을 차단합니다.
Lazarus Group Tracker
북한(DPRK) 공작원이 크립토 업계에 IT 워커로 침투하는 패턴을 추적하고 공개하는 리소스. 60명 이상의 운영자 프로파일과 알려진 별칭을 정리해 놓았으며, 누적 $6B 이상의 자금 탈취가 연결됐다고 추정됩니다. 거래소, 프로토콜, 법집행기관이 채용 단계에서 스크리닝 자료로 활용 중. 채용 직전 후보 신원은 반드시 이 데이터베이스에 대조해 보는 것이 표준이 되어 가는 추세입니다.
SEAL 911 Members
28 verifiedSEAL 911은 invite-only 자원봉사 조직입니다. 멤버 다수가 OtterSec, Hypernative, OpenZeppelin, Wintermute, Binance, StarkWare 등 메이저 보안 펌과 인프라 팀에서 활동 중이며, 사고 시 신속한 트리아지를 제공합니다.
AlexPreparation
사전 준비 (프로젝트)
사고는 첫 5분 안에 결정됩니다. 그 5분이 자동화되어 있어야 합니다.
거버넌스와 권한
관리자 키와 업그레이드 권한이 단일 실수로 무력화되지 않도록 합니다.
업그레이드, 파라미터 변경, 자금 인출 권한은 분산된 서명자 4명 이상 + 정족수 7 이상이 표준. EOA 단일 서명은 사실상 단일 장애점입니다.
민감 함수에 48시간 이상 타임락
관리자 액션이 즉시 실행되면 키 탈취 = 즉시 손실입니다. 타임락은 사용자 자금 인출 시간을 보장해 인시던트의 단순한 안전장치가 됩니다.
역할 기반 권한 분리
OPERATOR, GUARDIAN, OWNER 역할을 컨트랙트 레벨에서 분리하고 각각 다른 서명자 풀로 구성합니다. GUARDIAN은 pause만 가능하도록 권한 최소화.
관리자 키 회전 정책
정기적인 서명자 교체와 이탈자 제거 절차를 문서화합니다. 퇴사한 인원의 서명 권한이 남아 있으면 안 됩니다.
코드 단의 방어선
공격이 시작돼도 피해 규모를 강제로 줄이는 회로를 둡니다.
Pause / Circuit Breaker
deposit, swap, borrow 등 자금 흐름 함수에 GUARDIAN이 호출 가능한 pause를 둡니다. 공격 탐지 시 첫 번째 행동이 됩니다.
Guarded Launch와 TVL 캡
초기 배포 직후에는 입금 한도, 사용자 한도, 자산 한도를 두고 시간이 지나며 풀어 줍니다. 공격이 발생해도 손실 상한이 보장됩니다.
Emergency Withdraw 백업
프로토콜이 멈춰도 사용자가 자기 자산을 회수할 수 있는 우회 경로를 둡니다. 메인 로직 버그와 분리된 단순한 검증으로 작동해야 합니다.
업그레이드 가능성 최소화
프록시 업그레이드는 공격 표면입니다. 핵심 자산 회계 컨트랙트는 immutable로 두고, 주변 모듈만 업그레이드 가능하도록 분리합니다.
모니터링과 알림
인시던트의 첫 5분이 가장 중요합니다. 자동 탐지가 사람보다 먼저 알아채야 합니다.
TVL 급변, 큰 단일 트랜잭션, 거버넌스 액션 시도, 비정상 mint, 비인가 함수 호출에 대한 알림을 다층으로 둡니다.
관리자 액션 모니터링
멀티시그 큐잉과 타임락 트랜잭션은 별도의 알림 채널로 모읍니다. 비인가 큐잉은 5분 안에 감지되어야 합니다.
온콜 로테이션
PagerDuty 또는 동등한 방식으로 24/7 온콜을 운영합니다. 알림이 한 사람의 슬랙 DM에 머물러서는 안 됩니다.
사고 플레이북
사고가 터지고 나서 절차를 만드는 팀은 늦습니다.
사전 작성된 플레이북 문서
각 시나리오별(컨트랙트 익스플로잇, 관리자 키 탈취, 오라클 조작, 디스코드 해킹)로 단계별 플로우와 결정 트리를 문서화합니다.
역할과 책임 매트릭스
Incident Commander, Communications Lead, Tech Lead, Legal/Comms 보조 역할을 명시합니다. 사고 시 누가 무엇을 결정하는지가 즉시 명확해야 합니다.
테이블탑 훈련과 Wargames
분기마다 테이블탑 시나리오를 돌리고, 연 1~2회는 SEAL Wargames 등에 참여해 실제 시뮬레이션으로 플레이북을 검증합니다.
커뮤니케이션 인프라
사고 중에 채널을 만들고 컨택을 찾는 시간이 손실로 직결됩니다.
워룸 채널 사전 셋업
보안 인시던트 전용 비공개 Telegram, Signal, 또는 Discord 카테고리를 미리 만들어 둡니다. 핵심 인원이 이미 가입돼 있어야 합니다.
스테이크홀더 컨택 시트
메이저 CEX 컴플라이언스 팀, 화이트햇 그룹, 파트너 프로토콜, 변호사, 재단 보안팀의 24/7 연락처를 사전 정리합니다.
공지 템플릿 사전 작성
초기 공지(우리는 인지했고 조사 중), 1차 업데이트(영향 범위), 최종 포스트모템 등 단계별 템플릿을 미리 작성해 두어야 사고 중 작문 시간을 절약합니다.
SEAL 911 사전 등록
SEAL 911 봇과 Whitehat Safe Harbor 채택 여부를 사전에 정리해두면 사고 시 즉시 활용 가능합니다.
화이트햇 인센티브와 커버리지
사고 후 회수와 보상의 가능성은 사고 전 셋업으로 거의 결정됩니다.
퍼블릭 버그 바운티
Critical 한 건당 $1M 이상의 바운티를 공시하면 화이트햇이 블랙햇보다 먼저 발견해 신고할 인센티브가 생깁니다.
Safe Harbor 명시
법적 공시 또는 거버넌스 결의로 화이트햇이 자금을 회수해 반환하는 행위에 대한 면책을 명시합니다. 회수 시 거래소가 자금을 freeze하지 않게 하는 효과도 있습니다.
Treasury 비상 예산
사용자 보상 또는 화이트햇 보상에 즉시 사용 가능한 자금을 별도 멀티시그에 분리해 둡니다. 거버넌스 통과를 기다릴 시간이 없는 시나리오를 대비합니다.
사용자가 직접 가입할 수 있는 커버 옵션을 안내하거나 프로토콜이 풀 단위로 가입합니다.
Response Flow
사고 대응 플로우 (프로젝트)
Detect → Triage → Contain → Investigate → Communicate → Recover → Post-mortem
- 1
1. Detect
T+0알림 수신 후 즉시 검증합니다. False positive 가능성이 있어도 우선 워룸을 띄웁니다.
- 온콜이 알림 수신 즉시 워룸 채널 활성화
- 트랜잭션 해시와 영향 컨트랙트를 워룸에 즉시 공유
- Tenderly나 Phalcon으로 트랜잭션 재현
- 2
2. Triage
T+0 ~ 5분공격이 진행 중인지, 일회성인지, 영향 범위가 어디까지인지 결정합니다.
- Incident Commander 지정
- 공격이 계속 가능한 상태인지 확인 (재호출 가능성)
- 영향 받은 풀, 자산, 사용자 수 추정
- 3
3. Contain
T+5 ~ 30분추가 손실을 막는 것이 최우선. 보존보다 차단이 먼저입니다.
- GUARDIAN으로 영향 함수 즉시 pause
- 필요시 멀티시그 정족수 모집해 emergency upgrade 또는 권한 회수
- 추가 자금이 흘러들어갈 수 있는 외부 통합 파트너에게 통지
- 4
4. Investigate
T+15분 이후공격 벡터, 공격자 주소, 자금 흐름을 동시에 추적합니다.
- 공격자 트랜잭션과 상위 funder 추적
- 취약점이 컨트랙트 코드 vs 권한 키 vs 외부 의존성 중 어디인지 분리
- MistTrack, Chainalysis, Arkham 등으로 자금 흐름 모니터링
- 5
5. Communicate
T+15분 이후 병렬내부와 외부 커뮤니케이션을 동시에 진행합니다. 침묵은 두려움을 키웁니다.
- Twitter, Discord에 1차 공지 (인지함, 조사 중, 자금 어디까지 안전)
- 메이저 CEX 컴플라이언스 팀에 자금 freeze 요청
- SEAL 911에 컨택해 화이트햇 풀 동원 요청
- 파트너 프로토콜과 통합 dApp에 통지
- 6
6. Recover
수 시간 ~ 수 일회수 가능성은 시간에 비례해 줄어듭니다. 24~72시간 내가 골든 윈도우.
- 공격자에게 화이트햇 협상 메시지 (퍼블릭 트랜잭션의 inputData로 전달)
- 회수 가능 자금을 안전한 컨트랙트나 멀티시그로 이전
- 사용자 보상 플랜 결정 (treasury, 토큰 발행, 커버리지)
- 패치된 컨트랙트 배포와 마이그레이션 가이드 공시
- 7
7. Post-mortem
24시간 짧은 공지 / 7일 상세투명성은 신뢰 회복의 거의 유일한 도구입니다.
- 24~48시간 내 짧은 사고 요약 공지
- 7일 내 root cause, 영향 범위, 보상 플랜, 재발 방지책을 담은 상세 포스트모템
- 타임라인을 분 단위로 공개해 신뢰 회복
- 외부 오딧 펌의 이후 점검 결과 같이 공시