최근 1년 새 420% 늘어난 블록체인 데드드롭…국가 연계 해커 확산

본문

공개 블록체인에 악성코드 명령과 공격 인프라 정보를 숨기는 데드드롭 활동이 최근 1년 새 420% 증가했다. 북한·이란 연계로 의심되는 공격자들은 여러 블록체인을 연결해 C2 정보를 전달한 것으로 분석됐다. 공개 블록체인에 악성코드 지시 정보와 공격 인프라 주소를 숨기는 ‘블록체인 데드드롭’ 활동이 최근 1년 새 420% 증가했다. 국가 배후로 추정되는 해커들은 블록체인의 삭제 저항성을 악성코드 명령·제어(C2) 인프라에 활용하고 있다. 체이널리시스(Chainalysis)는 17일 보고서에서 블록체인 데드드롭을 악성코드가 나중에 불러올 수 있도록 공개 블록체인의 거래나 스마트계약에 악성 페이로드, C2 설정값, 인프라 포인터를 저장하는 수법이라고 설명했다. 앞서 본지는 블록체인에 악성코드 명령과 공격 서버 주소를 숨기는 활동이 1년이 채 되지 않아 440% 증가했다는 내용 을 보도했다.

북한 연계 조직으로 지목된 UNC5342는 트론(TRX)과 앱토스(APT)를 중계 경로로 활용해 BNB 스마트체인(BSC)에 저장된 악성 지시 정보로 감염 기기를 유도했다. 체이널리시스는 이란 연계 판단이 블록체인 거래뿐 아니라 악성코드 종류, 디코딩 방식, 작전 시점, C2 인프라를 함께 분석한 결과라고 밝혔다. 체이널리시스는 러시아어권 사이버 범죄 조직이 폴리곤(POL) 스마트계약을 C2 저장소로 사용한 것으로 조사됐으며, 한 운영자가 여러 저장 계약을 관리해 악성코드 서비스 형태로 빌려줬을 가능성도 제시됐다고 밝혔다. 보고서는 고성능 오픈소스 AI 모델이 등장한 뒤 블록체인에 악성 정보를 기록하는 횟수가 하루 평균 2.06건에서 11.1건으로 늘었다고 집계했다. 체이널리시스는 블록체인 트래픽 자체를 차단하는 방식으로는 대응하기 어렵다고 밝혔다. citeturn2view1 블록체인 데드드롭의 핵심은 공격의 파괴력보다 지속성이다.