체이널리시스가 북한과 이란 등 국가 연계 해킹 조직을 중심으로 퍼블릭 블록체인을 사이버 공격 인프라로 악용하는 '블록체인 데드 드롭(BDD)'이 확산하고 있다고 18일 밝혔다.
BDD는 공격자가 블록체인에 악성코드 명령이나 공격 서버 접속 정보 등을 기록해두고, 감염된 기기가 이를 불러와 공격을 이어가는 방식이다. 일반적인 공격 서버나 도메인은 발견되면 차단할 수 있지만 퍼블릭 블록체인에 기록된 정보는 특정 주체가 임의로 삭제하기 어렵다는 점을 악용한다.
북한 연계 해킹 조직도 BDD를 실제 공격에 활용한 것으로 나타났다. 구글 위협 인텔리전스 그룹(GTIG)이 'UNC5342'로 추적해온 북한 연계 조직은 지난해 2월부터 구직 중인 가상자산 개발자를 가짜 채용 면접으로 유인해 악성코드를 내려받도록 했다.
감염된 기기는 블록체인에서 공격자의 명령과 접속 정보를 확인해 공격 서버에 접속했다. 특히 공격 경로를 트론(TRON)과 앱토스(Aptos), BNB 스마트 체인(BSC) 등 여러 블록체인에 분산했다. 트론 경로가 차단되면 앱토스를 이용하고, 두 경로는 최종적으로 BSC에 기록된 암호화된 악성코드 명령으로 연결되는 구조다.
체이널리시스는 온체인 분석을 통해 기존에 배후가 확인되지 않았던 BDD 활동을 UNC5342와 연결했다고 설명했다. 공격 서버가 차단되더라도 새로운 접속 정보를 다시 블록체인에 기록할 수 있어 공격을 지속할 수 있다는 분석이다.
BDD 활용은 국가 연계 조직을 중심으로 늘고 있다. 체이널리시스에 따르면 올해 2분기 신규 BDD 활동 가운데 약 3분의 2가 국가 연계 조직과 관련된 것으로 파악됐다. 북한뿐 아니라 이란 연계 조직에서도 활용 사례가 확인됐으며, 러시아어권 사이버 범죄 시장에서는 BDD 도구를 판매하거나 구독 방식으로 제공하는 서비스형 악성코드(MaaS)도 등장했다.
생성형 인공지능(AI) 확산도 공격의 진입장벽을 낮추고 있다. 체이널리시스는 지난해 중반 악성코드 생성에 제한을 두지 않는 고성능 중국산 오픈 웨이트 대규모언어모델(LLM)이 등장한 이후 블록체인에 기록되는 악성 정보가 크게 늘었다고 분석했다. 체이널리시스가 추적한 관련 기록은 해당 AI 모델 등장 전 하루 평균 2.06건에서 이후 11.1건으로 약 5.4배 증가했다.
권준혁 체이널리시스코리아 지사장은 “북한 등 국가 연계 조직의 블록체인 악용이 고도화되고 있지만 공격자가 남긴 온체인 기록은 오히려 이들을 추적할 수 있는 중요한 단서가 되기도 한다”며 “블록체인 인텔리전스를 통해 공격자와 관련 인프라를 파악하는 것이 새로운 사이버 위협 대응에 더욱 중요해질 것”이라고 말했다.
송혜영 기자 hybrid@etnews.com
