블록체인 악성 명령 기록 440% 증가…국가 연계 조직 부상

본문

블록체인 데드드롭 활동이 하루 평균 2.06건에서 11.1건으로 늘었다. 국가 연계 조직과 범죄 집단이 공개 원장을 악성코드 통신 경로로 활용하고 있다. 블록체인에 악성코드 명령과 공격 서버 주소를 숨기는 ‘블록체인 데드드롭’ 활동이 1년이 채 되지 않아 440% 증가했다. 공개 원장의 영구성과 인공지능(AI) 도구가 결합하면서 기존 도메인 차단 중심의 대응만으로는 공격 경로를 끊기 어려워지고 있다. 체이널리시스(Chainalysis)는 17일 보고서에서 고성능 오픈소스 AI 모델이 등장하기 전 하루 평균 2.06건이던 악성 명령 기록이 11.1건으로 늘었다고 밝혔다. 블록체인 데드드롭은 악성코드의 명령·제어(C2) 주소나 다음 단계 악성 파일의 위치를 거래 데이터 또는 스마트 컨트랙트에 기록하는 방식이다.

체이널리시스는 2026년 2분기 기준 새로 관측된 블록체인 데드드롭 활동의 약 3분의 2를 국가 연계 공격자가 차지했으며, 전체 추적 활동에서도 약 절반을 차지했다고 밝혔다.

초기에는 사이버 범죄 집단이 대부분이었지만 2024년 중반부터 국가 연계 활동이 뚜렷해졌다. 북한 연계 조직으로 추적되는 UNC5342는 가상자산 개발자를 겨냥한 가짜 채용 과정에서 스마트 컨트랙트를 악성코드 전달 경로로 활용했다. UNC5342와 연결된 별도 방식에서는 트론(TRX)과 앱토스(APT)의 거래가 BNB 스마트 체인(BNB)에 저장된 암호화 명령을 가리키는 구조도 확인됐다. 이란 연계 활동에서는 비트코인(BTC) 거래에 C2 라우팅 정보가 삽입됐다. 러시아어권 범죄 집단은 폴리곤(POL) 스마트 컨트랙트를 명령 확인자로 활용했고, 이를 다른 공격자에게 제공하는 ‘악성코드 서비스형’ 모델도 추적됐다.