1. 개요
2020년 1월 15일부터 클럽들이 하나 둘 터지다 16일부터는 대규모로 폭파되고, 많은 유저들의 카트바디와 인게임 친구 다수가 삭제된 사태다.2. 상세
클럽은 순서대로 프레시안부터 시작해서 별밤, 포크, 로렌츠, 명품클럽, 맥심, 아마란스, Threat, 알타리스, 올웨이즈, 디바, 중대야빡치냐, 네임벨류, OneQ, Only, MysTic, ProFessionalTeam, XQUARE, McLaren, 기가막힌막자, 국가대표길드 등 많은 클럽들이 터졌다.이번 클럽 사태의 범인은 노준하라는 사람으로 알려져있는데, 과거 여러 인터넷 방송인의 방송을 누킹한 전과가 있고[1], 플랑크톤이라는 클럽의 클럽원이며[2], 프레시안 클럽을 털고 플랑크톤으로 이름을 바꾼 주범으로 예상된다. 그리고 Always 클럽의 이름을 '노준하파'로 바꾸고, 클럽 설명을 who is 노준하라고 바꾸는 등 클럽 폭파 사태에 큰 영향을 미쳤다.[3]
클럽을 건드린 수준을 넘어 심지어는 유명 유저인 코튼좀믿어줘의 계정에 있던 모든 부위에 레어 10 파츠가 박힌 코튼 X, 골든 코튼 X, 태엑와골 이 박힌 코튼 9가 실시간으로 삭제되고, 많은 유저들이 "내 카트바디가 없어졌다"고 커뮤니티에 글을 올리면서 해킹 수준이 계정 내 카트도 해킹이 가능한 수준에 이르렀다는 것도 확인되었다.
16일 사태가 일어난지 약 2~3시간 후, 오후 3시에 공지가 올라왔으며 공지 내용으로는 클럽 시스템 임시 종료, 공격 진행 계정 6개 제재, 클럽 정보 1/16일 새벽 5시로 롤백, 보상 별도 공지, 패킷 조작 대응 등의 조치를 취하고 있다.
결국 사건은 이렇게 끝이 났고, 보상 아이템에 대한 정보는 스펙터 X, 흑기사 X, 베히모스 X, 히드라 X, 백기사 X[4], 드래곤 세이버 X[5] 등이 나오는 전설의 카트 박스와 파라곤 기어 및 보석과 코인, 레전드 파츠 X 중 선택할수 있는 VVIP 교환권이 주어졌다.
한 디시 유저의 해킹 원리 분석. 어느 정도 정확한 추측이다. 라이더마다 고유의 아이디가 존재하는데 이 아이디는 마이룸 뿐만이 아니라 친구찾기, 홈페이지 내 차고에서 보였었던 숫자 코드가 그것이다.[6] 실제 로그인은 카트 클라이언트 내부에서 일어났으니, 클라이언트를 개조해도 서버는 알 방법이 없었다.
메이플처럼 과거 카트도 클라이언트 자체에서 로그인을 하는 기능이 있었다. 지금은 사라졌다. 아니, 사라졌어야만 했었다. 실제 카트 개발자들이 코드를 삭제하지 않은 덕분에 코드에 취약점이 생겼고, 이를 악용한 전문가스러운 공략이었다. OTP등의 보안이 있어봐야 집에 10년도 더된 커다란 구멍이 있었는데 무슨 쓸모가 있었겠는가.
불행히도, 다수의 유저들에게 실질적 피해가 컸던 아이템 삭제 인증절차 코드는 전혀 변하지 않았다. 심지어 다른 부분에도 취약점이 있지만 관련 문의를 해도 전혀 고칠 생각이 없다. 결국 외양간이 불탈때까지 또 뜬눈으로 지켜봐야만 한다.
3. 피해
위에서 설명한 것 말고도 추가적인 피해도 있었다. 네임드 클럽 폭파는 물론이고, 일부 유명인 유저의 계정을 폭파시키기도 한 것으로 드러났다. 대만의 카트라이더 인기 랭커 유튜버 NEAL이 자신의 계정 또한 폭파당했다는 댓글을 리버스 채널 동영상에 올렸다.리버스 채널에 업로드된 클럽 해킹 정리 동영상4. 비판
사건 발생 이후, 카트라이더 팀장 조재윤이 해킹 시도를 미리 감지하지 못하여 이러한 사태가 일어난 것에 대해 자책하고 있고, 모든 분들에게 정말 죄송하다는 사과문을 공지사항에 올렸다. 클럽 복구는 끝났고, 소실된 아이템이 있는 분들은 문의해 주시면 복구해 드리겠다는 말을 추가적으로 공지사항에 올렸다. 하지만, 인기 게임인 카트라이더가 한 사람의 불법 패킷 조작 프로그램에 의해 해킹당할 정도면 너무 보안이 허술한 것 아니냐는 비판이 일고 있다.[7]5. 관련 문서
[1] 대표적으로 신동이가 이에 피해를 입었다.[2] 클럽전에 돌아다니는 핵 클럽이다.[3] 추가로, 이 사태를 일으킨 사람들과 유명 핵유저 여럿의 단체 디스코드 방이 있다는 것이 확인되었다.[4] 사건이 터지기 전날까지 고마워 상자에서 하루에 300개씩 한정으로 풀었었다.[5] 당시 출시된 지 2개월밖에 안 됐었다. 보통 제대로 풀리는데 8개월이 걸렸던 흑기사에 비하면 정 반대인 셈.[6] 내 차고 URL에 있는 'oidUser' 부분인데, 현재는 접속 URL이 변경 되어서 볼 수 없다. 'strRiderName' 을 이용해 라이더명으로 검색은 가능하다.[7] 카트라이더 자체가 보안이 그렇게까지 허술한 것은 아니다.' 실제 클라이언트 자체도 Themida로 암호화가 되어있음과 동시에, 패킷자체도 암호가 되어있기에, 리버싱이 뛰어나지 않은 이상, 뚫기 자체가 어렵다. 비록 오버워치처럼 256비트 패킷 암호화보다는 매우 뒤쳐지지만, 그렇다고 쉽다고 보기는 어렵다. WPE와 RPE도 막힌 상태에서, DLL로 XIGNCODE를 무력화시켜야하기 때문에, 번거로움이 엄청날 수밖에 없다.