블록체인 인프라 체인스택, 인증 없는 MCP로 운영망 침입

블록체인 인프라 기업 체인스택(Chainstack)의 운영 환경 일부에 외부 공격자가 10월 29일 침입했다. 기본 관리자 비밀번호가 남은 개발용 서버에서 시작된 침입은 인증 없는 내부 모델 컨텍스트 프로토콜(MCP) 도구 서버와 운영 환경을 거쳐 고객 계정 정보가 담긴 데이터베이스로 이어졌다.

체인스택은 11월 10일 사고 보고서에 침입 기술 세부사항을 추가했다. 회사는 공격자가 10월 26일 개발 환경에 들어왔고, 10월 31일 침입 경로를 차단했으며, 11월 2일 조사를 마무리했다고 밝혔다.

첫 진입점은 7월 개발용 쿠버네티스 클러스터에 설치된 Grafana 테스트 서버였다. 서버는 인터넷에 노출돼 있었고 기본 관리자 계정 정보가 바뀌지 않은 상태였다. 싱글사인온이나 기본 인증 같은 추가 로그인 보호 장치도 없었다.

공격자는 10월 26일 기본 관리자 계정으로 접속한 뒤 Grafana의 데이터 소스 프록시를 이용해 내부 서비스에 접근했다. 프록시에는 접속 목적지 허용 목록이 없었고, 네트워크 정책도 Grafana가 연결할 수 있는 곳을 제한하지 않았다. 체인스택은 공격자가 신원 확인·데이터베이스·자동화·모니터링 관련 내부 서비스 수십 곳에 연결했다고 밝혔다.

같은 날 공격자는 AI 에이전트에 쿠버네티스 작업을 제공하는 내부 MCP 도구 서버에 도달했다. 서버는 인증을 요구하지 않았고, 서버 계정에는 개발용 클러스터의 관리자 권한이 부여돼 있었다. 체인스택은 네트워크 흐름과 권한, 이후 발생한 변경을 근거로 이 서버가 공격자의 명령 실행에 쓰인 것으로 판단했지만, 개별 도구 호출 기록은 복구하지 못했다.

공격자는 이후 한 시간 반 동안 내부 워크플로 엔진의 쓰기 권한을 시험하고 개발용 인증 시스템에 관리자 사용자를 만들었다. 테스트용 웹페이지를 배포하고, 공격자 파일을 쿠버네티스 ConfigMap 볼륨으로 마운트해 개발 웹앱이 제공하는 자바스크립트를 교체했다. 10월 27일에는 같은 방식으로 스테이징 웹앱과 개발용 Grafana도 변경했으며, 체인스택은 로더가 가리킨 2단계 스크립트를 회수하지 못했다.

10월 29일에는 자동화 플랫폼의 데이터베이스에 저장된 워크플로를 직접 수정해 셸 명령이 실행되도록 했다. 공격자는 유효한 웹훅 토큰으로 워크플로를 실행한 뒤 원래 상태로 되돌렸다. 플랫폼 데이터베이스를 직접 고쳐 자체 변경 이력을 우회했다.

이 과정에서 공격자는 자동화 파드의 환경 변수와 쿠버네티스 서비스 계정 토큰, 인프라 접근 게이트웨이에 쓰이는 기계 신원 정보를 확보했다. 같은 날 침해된 게이트웨이와 배포 자동화 계정으로 운영 쿠버네티스 클러스터의 비밀정보를 열거하고 클라우드·인프라 자격 증명을 읽었다.

10월 31일에는 운영 환경의 클라우드 비밀정보 저장소를 대량 조회했다. 공격자는 인프라 자동화 계정의 키를 추가로 만들고 장기 토큰을 가진 쿠버네티스 계정도 생성해 재진입 경로를 마련하려 했다. 확보한 VPN 키로 데이터베이스 네트워크에도 연결했다.

같은 VPN 피어 신원을 두 클라이언트가 제시하면서 터널 연결 지점이 오갔고, 데이터베이스 복제 과정에 오류가 발생했다. 체인스택은 이 장애를 계기로 침입 조사에 착수했다고 밝혔다.

공격자는 운영 데이터베이스에 관리자 계정으로 접속해 조회 결과를 빼냈다. 체인스택은 한 인스턴스에서 데이터베이스 역할의 비밀번호 해시를 담은 PostgreSQL의 pg_shadow 뷰도 조회됐다고 설명했다.

접근된 데이터베이스에는 조직명, 계정 소유자 이름, 조직 구성원의 이메일 주소와 비밀번호 해시가 담겨 있었다. 공격자는 고객 노드 접속 정보가 저장된 시스템에도 접근했지만, 체인스택은 해당 정보가 실제로 읽혔다는 증거는 없다고 밝혔다. 회사는 예방 차원에서 노드 접속 정보도 노출된 것으로 취급하고 있다.

체인스택은 공격자가 오픈소스 AI 공격 프레임워크 ARTEX를 사용했을 가능성이 높다고 판단했다. 공격자가 만든 파일과 계정에 나타난 명명 흔적, 사용 도구와 행동 방식이 근거다. 같은 프레임워크가 여러 집단에 쓰일 수 있어 공격 주체는 특정하지 않았으며, 소프트웨어 취약점이 악용됐다는 증거도 찾지 못했다고 밝혔다.

체인스택은 사고 기간 고객 노드와 콘솔, API가 정상 작동했고 공격자에 의해 변경되지 않았다고 설명했다. 이는 고객 계정 데이터베이스와 노드 자격 증명 보관 시스템에 대한 접근과는 별개의 조사 결과다.

MCP는 AI 도구가 외부 시스템의 데이터와 기능을 호출하도록 연결하는 규격이다. 이번 사건에서 문제로 드러난 것은 내부 도구 서버에 인증이 없고, 해당 서버가 넓은 관리자 권한을 갖고 있었던 구성이다. 본지는 앞서 라드웨어가 기업 내 MCP 서버와 AI 에이전트의 활동을 파악하는 보안 제품을 공개한 사실을 전했다.

체인스택은 고객에게 비밀번호 변경, 노드 접속 정보 교체, 플랫폼 API 키 재발급을 요청했다. 회사는 내부 MCP 도구의 인증과 최소 권한을 강화하고 개발 환경과 운영 환경의 계정·비밀정보를 분리하는 등 보안 조치를 진행 중이라고 밝혔다.