2조원 이더리움 훔쳐간 北 해킹그룹…수법은 '서명 위조' 작성일 02-25 128 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">"콜드월렛도 안전지대 아냐…정상적 이체처럼 인터페이스 조작"<br>북 정찰총국 라자루스 배후…수상한 거래 앱·첨부파일 조심해야</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="03RTudnbin"> <figure class="figure_frm origin_fig" contents-hash="6ebae91747e251c477251031cf9741432bf8174c7bfe2a0b9a2961de5e4b53c3" dmcf-pid="p0ey7JLKJi" dmcf-ptype="figure"> <p class="link_figure"><img alt="ⓒ News1 DB" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202502/25/NEWS1/20250225110429128zrcj.jpg" data-org-width="560" dmcf-mid="3pVmZ4P3iL" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202502/25/NEWS1/20250225110429128zrcj.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ⓒ News1 DB </figcaption> </figure> <p contents-hash="5c3d8c2851b90d513affd1fc443e1fdfcb761ff225051b2e88d7db04732617b0" dmcf-pid="UpdWzio9RJ" dmcf-ptype="general">(서울=뉴스1) 윤주영 기자 = 글로벌 3위 가상자산 거래소 바이비트에서 2조 원(14억 6000만 달러, 피해 당시 기준) 규모 이더리움을 탈취한 북한 해킹그룹은 서명을 위조하는 방식을 사용했다.</p> <p contents-hash="7f72f1b09e51ac1f89d0986bbe57229f28450c4de271abe5f5d030351f0b05fc" dmcf-pid="uUJYqng2Jd" dmcf-ptype="general">배후는 북한 정찰총국 산하 해킹그룹 라자루스가 지목된다.</p> <p contents-hash="0002620724ed014fcd1097956182410f9d6d70f39c90d4e1a9b913b3032319e5" dmcf-pid="7uiGBLaVde" dmcf-ptype="general">안전하다고 여겨진 오프라인 지갑(콜드월렛)에서 피해가 발생해 충격이 컸다. 트랜잭션(거래 기록) 서명을 꼼꼼히 확인하는 개인 예방도 중요하지만, 다중서명(멀티시그) 시스템 강화가 시급하다는 지적이다.</p> <p contents-hash="a3f839a8a1ad56b7ed8d00aba3e04659feb1ac6b1a6f93b2fb0b6441d0c75799" dmcf-pid="z7nHboNfRR" dmcf-ptype="general">25일 보안업계에 따르면 자금 탈취는 콜드월렛에서 온라인 지갑(웜 월렛)으로 자금이 이동하는 과정에서 이뤄졌다.</p> <p contents-hash="2b58707bc830f75fb2233475b607385045e22be594e498b5dbcaeabe3abfd6a9" dmcf-pid="qzLXKgj4LM" dmcf-ptype="general">바이비트는 엑스(옛 트위터)를 통해 "거래 주소가 정상적으로 보였지만 실제론 서명 인터페이스가 위조됐다. 스마트 거래 내부 로직이 변경된 것"이라고 밝혔다. </p> <p contents-hash="ba15d59351707fbc0966b2028754ec34c7d0927d4089671c867bb020721217a8" dmcf-pid="BDtis3Ulnx" dmcf-ptype="general">바이트가 쓰는 세이프 사의 멀티시그 시스템과 URL이 조작되면서 참여자들이 트랜잭션 속 숨겨진 코드 변조를 알아차리지 못했다. 이들이 일상적인 과정에 익숙해져 서명을 제대로 확인하지 않은 점도 지적됐다.</p> <p contents-hash="b5f847aafb6d37922a9a8b50a0c9d57739c65779b97fe5ed7828350993f55727" dmcf-pid="bwFnO0uSMQ" dmcf-ptype="general">온체인(블록체인 데이터 내역) 분석가 ZachXBT는 해커의 테스트 수행(트랜잭션)과 지갑 주소를 추적, 사건이 라자루스와 연관됐다고 분석했다. 블록체인 리서치업체 TRM 랩스도 해커 주소가 과거 북한 해킹과 상당 부분 겹친다고 보고했다.</p> <p contents-hash="ac6827396ab7f1996f8b48b62f052fdc8cd727741d4b348e324bc36a9c64ba57" dmcf-pid="Kr3LIp7vdP" dmcf-ptype="general">실제로 TRM랩스 보고서에 따르면 지난해 전 세계 가상자산 탈취액 3분의 1은 북한 해커 소행으로 추정된다. 한국개발연구원(KDI)에 따르면 북한은 자금 세탁을 통한 대북제재 우회, 활동자금 확보를 목적으로 암호화폐를 탈취하고 있다.</p> <p contents-hash="e5567d0602e478af69d328a5912c9d6ac1c7c0919fbfdb232c162a5127250e75" dmcf-pid="9m0oCUzTn6" dmcf-ptype="general">유명 화이트해커 박세준 티오리 대표는 "공격자가 추적 교란을 위해 북한과 연루된 주소를 쓰기도 해 무조건 북한 소행으로 단정지을 수는 없다"면서도 "느슨해져 있던 웹 3.0 및 인프라 보안 경각심을 키운 사건"이라고 평했다.</p> <p contents-hash="345d6483c6fb61325e467ba08723103744bff73ce25c25dc62defe5bedf01330" dmcf-pid="2spghuqye8" dmcf-ptype="general">이어 "여러 명이 참여하는 승인 절차조차 해커에게 악용될 수 있어 다중 서명 콜드월렛도 완벽하게 안전한 게 아니다"며 "트랜잭션 서명 시 세부 내용을 꼼꼼히 확인해야 한다"고 당부했다.</p> <p contents-hash="9658ba16997258636222fdae254eba648b8b1213bfcf2ac77b1ea88750b3d06c" dmcf-pid="VOUal7BWi4" dmcf-ptype="general">북한 정찰총국는 이 밖에도 시트린 슬리트, 안다리엘 등 해킹조직을 거느리고 있다. </p> <p contents-hash="230c0feb3bd35d76d4e9ba388865286dd0150c787cf7bcbf3a90308926bca315" dmcf-pid="fIuNSzbYLf" dmcf-ptype="general">이들은 거래 인터페이스 조작 외에도 가짜 암호화폐 플랫폼, 구직 신청서 등을 배포해 피싱을 시도한다. 또 사용자에게 악성코드가 담긴 암호화폐 지갑이나 거래 애플리케이션(앱)을 내려받도록 유도한다. </p> <p contents-hash="b9cc478cb4b086a34aacc8a7e9351433f22428bba360b52d53e981209b12ad1e" dmcf-pid="4C7jvqKGRV" dmcf-ptype="general">이메일에 첨부된 수상한 압축 파일·URL을 조심해야 하는 이유다.</p> <p contents-hash="dd12f37a7fe33d604118d0c8c1a7c76da09eb5723115c0f8b5526c69c72dfe71" dmcf-pid="8hzATB9HJ2" dmcf-ptype="general">지난해 시트린 슬리트는 구글 크롬이 미처 패치못한 취약점 '제로데이'를 틈타 원격 코드 실행(RCE) 공격을 감행하기도 했다. 공격을 분석한 마이크로소프트(MS)는 암호화폐 탈취가 목적이었다고 분석했다.</p> <p contents-hash="c6f5e900640ee1c0c644eb4a2d2a1ce83d57a126c7ab9c9c8deb452f0821e183" dmcf-pid="6lqcyb2XM9" dmcf-ptype="general">MS는 "시트린 슬리트는 '애플제우스'라는 자체 개발 트로이 악성코드(멀웨어)로 공격 대상을 감염시킨 뒤 가상자산 접근·제어에 필요한 정보를 수집한다"며 "사용자는 최신 버전 크롬으로 업데이트해야 한다"고 당부했다.</p> <p contents-hash="5973a684372bb8daa8a3343e7d86ec20b86f73433c3fbf66d1e97066f2f7f574" dmcf-pid="PSBkWKVZMK" dmcf-ptype="general">legomaster@news1.kr </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 T1, 발로란트 마스터스 방콕 플레이오프 진출 02-25 다음 제베원, 5연속 밀리언셀러 등극··· 음원도 차트인 ‘청신호’ 02-25 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
