라자루스 배후 지목…비트리필, 1만8500건 구매기록 노출

비트코인(BTC) 등 암호화폐 결제·기프트카드 플랫폼 비트리필(Bitrefill)이 지난 3월 1일(현지시간) 발생한 사이버 공격의 배후로 북한 연계 해킹 조직 라자루스(Lazarus)를 지목했다. 이번 침해로 일부 인프라와 암호화폐 지갑이 손상됐고, 구매 기록 1만8,500건이 외부에 노출된 것으로 파악됐다.

비트리필은 X(옛 트위터)에 공개한 상세 보고서에서 공격자가 ‘프로덕션 키’에 접근한 뒤 핫월릿 자금을 외부 주소로 전송했으며, 이메일·결제 주소·IP 주소가 포함된 구매 데이터 일부가 유출됐다고 밝혔다. 회사는 영향을 받은 이용자에게 개별 통지했으며, 운영 자금으로 손실을 전액 보전하겠다고 설명했다. 현재 결제·재고·계정 등 핵심 시스템은 대부분 정상화됐고, 판매량도 정상 수준으로 회복 중이라고 덧붙였다.

라자루스 전술과 유사…“악성코드·온체인 추적 활용”

비트리필은 이번 공격의 전술이 라자루스 산하로 알려진 블루노로프(Bluenoroff) 등 과거 사례와 유사하다고 강조했다. 악성코드 감염을 시작점으로 내부 접근 권한을 확대하고, 온체인(블록체인 상 거래) 추적과 재사용된 IP·이메일 주소 등 흔적을 남기는 방식이 이전 공세와 닮았다는 설명이다.

라자루스는 과거에도 크립토 프로젝트를 상대로 대형 사고를 일으킨 전력이 있다. 로닌 네트워크(Ronin Network), 하모니(Harmony)의 ‘호라이즌 브리지(Horizon Bridge)’, 와지르엑스(WazirX), 아토믹 월릿(Atomic Wallet) 등이 대표적 표적으로 거론된다. 업계에서는 라자루스가 거래소·브리지·지갑 등 ‘핵심 인프라’와 운영 키를 노리는 경향이 강하다고 본다.

공격은 ‘직원 노트북’에서 시작…레거시 자격증명 노출

비트리필에 따르면 사건의 출발점은 특정 직원의 노트북이 침해된 정황이다. 이 과정에서 과거에 사용하던 ‘레거시(구형) 자격증명’이 노출됐고, 공격자는 이를 발판으로 비트리필의 더 넓은 인프라에 접근했다. 결과적으로 데이터베이스 일부와 암호화폐 지갑 영역까지 침투가 이어졌다는 게 회사의 판단이다.

침해는 공급사 쪽에서 비정상적인 구매 패턴이 포착되면서 수면 위로 떠올랐다. 공격자가 기프트카드 재고와 공급망을 악용해 물량을 빼가거나, 핫월릿에서 자금을 인출해 자신들의 주소로 옮기고 있다는 신호가 나타났다는 설명이다. 비트리필은 피해 확산을 막기 위해 시스템을 오프라인으로 전환해 긴급 차단 조치를 취했다.

비트리필은 “전 세계 전자상거래를 운영하며 수십 개 공급사, 수천 개 상품, 여러 국가의 다양한 결제 수단을 다루고 있다. 이를 안전하게 모두 끄고 다시 정상화하는 일은 결코 단순하지 않다”고 밝혔다.

구매 기록 1만8,500건 접근…이메일·IP 등 메타데이터 포함

고객 데이터 측면에서 비트리필은 전체 DB가 대량 유출된 정황은 없다고 선을 그었다. 내부 로그를 보면 공격자의 질의는 고객 전체 데이터 덤프보다 ‘암호화폐 보유 및 기프트카드 재고’ 같은 운영 핵심 정보에 집중됐다는 것이다.

다만 구매 기록 약 1만8,500건이 접근된 사실은 인정했다. 해당 기록에는 이메일 주소, 암호화폐 결제 주소, IP 주소 등 메타데이터가 포함돼 있다. 이 중 약 1,000건에는 특정 상품과 연동된 ‘암호화된 사용자명’이 들어 있었으며, 비트리필은 이를 잠재적 침해 대상으로 보고 영향을 받은 고객에게 이메일로 직접 안내했다.

플랫폼은 ‘최소한의 개인정보만 저장’하며, 의무 KYC(고객신원확인)를 요구하지 않는 구조라고 강조했다. 현시점에서 고객이 별도의 추가 조치를 취할 필요는 낮다고 보면서도, 비트리필 또는 암호화폐 결제와 관련된 예기치 않은 연락에는 각별한 주의를 당부했다. 피싱(사칭) 시도가 뒤따를 가능성을 염두에 둔 경고로 해석된다.

보안 강화 조치…외부 침투 테스트·접근 통제·자동 차단 개선

비트리필은 사고 이후 보안 체계를 전면 재정비하고 있다고 밝혔다. 외부 전문가와 함께 포괄적인 침투 테스트를 진행하고, 내부 접근 통제를 더 엄격히 조정하는 한편, 로깅·모니터링을 강화해 위협 탐지 속도를 끌어올리겠다는 계획이다. 또한 사고 대응 절차를 고도화하고, 필요 시 자동으로 서비스를 ‘셧다운’하는 프로토콜도 정교하게 다듬고 있다고 설명했다.

이번 사건은 크립토 결제·상거래 사업자가 ‘온체인 보안’뿐 아니라 운영 키 관리, 엔드포인트(직원 단말) 보안, 공급망 모니터링까지 함께 챙겨야 한다는 점을 다시 부각시켰다. 블록체인 상 거래는 흔적이 남지만, 일단 키가 탈취되면 자금 회수는 극도로 어렵다는 점에서 핫월릿 관리와 키 운영 체계가 리스크의 중심에 놓인다는 평가가 나온다.

비트리필은 “정교한 공격을 당하는 건 정말 끔찍한 일”이라면서도 “우리는 살아남았고, 고객의 신뢰를 받을 자격을 계속 증명하겠다”고 밝혔다. 10년이 넘는 운영 기간 동안 ‘첫 대형 공격’이었다는 점을 언급하며, 충분한 자금력과 수익성을 바탕으로 운영 손실을 흡수할 수 있다고 덧붙였다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.