최근 1년 새 420% 늘어난 블록체인 데드드롭…국가 연계 해커 확산

공개 블록체인에 악성코드 지시 정보와 공격 인프라 주소를 숨기는 ‘블록체인 데드드롭’ 활동이 최근 1년 새 420% 증가했다. 국가 배후로 추정되는 해커들은 블록체인의 삭제 저항성을 악성코드 명령·제어(C2) 인프라에 활용하고 있다.

체이널리시스(Chainalysis)는 17일 보고서에서 블록체인 데드드롭을 악성코드가 나중에 불러올 수 있도록 공개 블록체인의 거래나 스마트계약에 악성 페이로드, C2 설정값, 인프라 포인터를 저장하는 수법이라고 설명했다. 국가 배후로 추정되는 그룹은 전체 활동의 절반가량을 차지했다. citeturn2view1

블록체인 데드드롭의 핵심은 공격의 파괴력보다 지속성이다. 중앙화 서버는 도메인 압수나 호스팅 차단으로 끊을 수 있지만, 블록체인에 기록된 정보는 같은 방식으로 삭제하기 어렵다.

공격자는 새 거래를 올려 C2 서버 주소를 바꿀 수 있다. 이미 감염된 기기는 다시 악성코드에 감염되지 않아도 블록체인을 조회해 최신 정보를 받아들이는 구조다.

앞서 본지는 블록체인에 악성코드 명령과 공격 서버 주소를 숨기는 활동이 1년이 채 되지 않아 440% 증가했다는 내용을 보도했다. 이번 보고서는 북한·이란 연계로 의심되는 공격 방식과 여러 체인을 연결하는 구체적인 경로를 제시했다.

북한 연계 조직으로 지목된 UNC5342는 트론(TRX)과 앱토스(APT)를 중계 경로로 활용해 BNB 스마트체인(BSC)에 저장된 악성 지시 정보로 감염 기기를 유도했다. 체이널리시스는 트론 거래와 앱토스 거래에 같은 BSC 거래를 가리키는 인코딩된 포인터가 들어 있었다고 밝혔다.

악성코드는 먼저 트론을 조회하고, 해당 경로가 작동하지 않으면 앱토스를 확인한다. 어느 경로든 BSC 거래에 도달하면 암호화된 C2 서버 주소와 설정값을 불러온다.

공격자가 세 체인 가운데 하나에 새 거래를 게시하면 감염 기기들은 변경된 인프라를 자동으로 받아들인다. 단일 서버를 폐쇄하는 방식만으로는 연결 경로를 끊기 어려운 이유다.

이 공격은 가상자산 개발자를 노린 가짜 채용·면접 수법과 결합됐다. 피해자가 거래에 담긴 정보를 이용해 악성코드를 내려받으면 원격 접근과 정보 유출로 이어질 수 있다.

체이널리시스는 이 변종이 가상자산 지갑과 자격증명을 훔치는 악성코드를 사용한다고 설명했다. 공격 대상의 업무 과정에 악성코드 유포를 섞은 뒤 블록체인을 지속적인 명령 전달 경로로 활용한 셈이다.

이란 연계로 의심되는 공격자는 비트코인(BTC) 거래의 OP_RETURN 영역에 C2 라우팅 정보를 인코딩했다. 공격자가 통제하는 지갑은 사토시 나카모토와 역사적 연관성이 있는 비트코인 주소로 소액을 보내고, 거래 데이터에 악성코드가 읽을 정보를 남겼다.

체이널리시스는 이란 연계 판단이 블록체인 거래뿐 아니라 악성코드 종류, 디코딩 방식, 작전 시점, C2 인프라를 함께 분석한 결과라고 밝혔다. 해당 활동 전체를 이란 정부가 직접 수행했다고 단정하지 않고, 이란 정보부와 연계됐을 가능성이 있는 행위자로 분류했다.

블록체인 데드드롭은 국가 배후 조직만의 수법은 아니다. 체이널리시스는 러시아어권 사이버 범죄 조직이 폴리곤(POL) 스마트계약을 C2 저장소로 사용한 것으로 조사됐으며, 한 운영자가 여러 저장 계약을 관리해 악성코드 서비스 형태로 빌려줬을 가능성도 제시됐다고 밝혔다.

보고서는 고성능 오픈소스 AI 모델이 등장한 뒤 블록체인에 악성 정보를 기록하는 횟수가 하루 평균 2.06건에서 11.1건으로 늘었다고 집계했다. 체이널리시스는 AI 코딩 도구가 공격 도구 제작의 진입장벽을 낮췄다고 분석하면서도 특정 AI 모델 하나 또는 AI만이 증가의 원인이라고 단정하지 않았다.

체이널리시스는 블록체인 트래픽 자체를 차단하는 방식으로는 대응하기 어렵다고 밝혔다. 공개 RPC 접속을 광범위하게 막으면 정상적인 지갑과 탈중앙화 금융 서비스까지 영향을 받을 수 있어 거래 내역, 운영 지갑, 계약 업데이트 기록을 분석해 공격 인프라와 행위자를 연결해야 한다고 설명했다.