구글에서 선호하는 출처로 추가
깃허브 '솔라나 트레이딩 봇' 위장 악성코드…암호화폐 탈취 정황 포착
김민준 기자
깃허브에 등록된 솔라나 트레이딩 봇이 악성코드로 암호화폐를 탈취한 정황이 보안업체 슬로우미스트에 의해 확인됐다. 프로젝트는 정상 오픈소스처럼 보였으나 사용자 자산을 겨냥한 악성 기능이 내장돼 있었다.
깃허브(GitHub)에 등록된 솔라나(SOL) 트레이딩 봇이 실제 오픈소스 프로젝트인 것처럼 위장해 악성코드를 통해 암호화폐를 탈취한 사실이 드러났다. 보안업체 슬로우미스트(SlowMist)는 최근 공개한 보고서를 통해 이 깃허브 저장소가 악성 행위로 사용자 자산을 훔친 정황이 포착됐다고 밝혔다.
문제의 저장소는 ‘zldp2002’ 계정이 만든 ‘solana-pumpfun-bot’ 프로젝트로, 사용자 자격 증명을 수집하는 기능이 내장된 것으로 드러났다. 슬로우미스트는 한 이용자가 자신도 모르게 자산을 도난당한 뒤 제보함에 따라 조사를 시작했고, 이후 해당 저장소가 삭제된 상태라고 전했다.
이 파일은 3주 전쯤 처음 업로드됐으며 다양한 디렉토리를 통해 실행되는 코드 커밋이 비정상적으로 이루어졌다고 보고서는 밝혔다. 스타와 포크 수를 보면 신뢰할 만한 프로젝트처럼 보이지만, 슬로우미스트는 코드 내 일관되지 않은 구조와 패턴, 그리고 추가적인 비정상 징후들을 근거로 악성 저장소로 판단했다.
특히 이 객체는 Node.js 기반으로 작동하며 ‘crypto-layout-utils’라는 외부 패키지를 사용하고 있었다. 그러나 슬로우미스트가 공식 패키지 저장소(NPM) 레지스트리를 점검한 결과, 이 패키지는 이미 제거된 상태였다. 이는 악성코드 의심을 더욱 확증짓는 단서로 작용했다는 설명이다.
최근 깃허브와 유튜브 등 합법적 플랫폼을 위장해 암호화폐 투자자를 노리는 사이버 공격이 빈번해지면서, 사용자들은 도구나 코드를 다운로드하기 전에 출처와 구조를 면밀히 점검해야 한다는 지적이 나온다. 기술적 진입장벽이 낮은 개발 환경을 악용하는 해커들의 그림자가 점점 더 깊어지고 있다.
댓글 3
불러오는 중…