이더리움(ETH) 지갑 키 노린 북한 해킹 조직 적발, 피해 조직 1,640곳

암호화폐 뉴스

이더리움(ETH) 지갑의 서명 키와 블록체인 접근 권한을 탈취하려는 북한 연계 해킹 작전이 대규모로 확인됐다. 그리스 보안 연구자 반겔리스 스티카스(Vangelis Stykas)는 보안 기업 Kumio의 최고기술책임자(CTO)로서, 라스베이거스에서 열린 Black Hat 콘퍼런스에서 북한 명령제어(C2) 서버 내부에 22개월간 잠입해 57개국 1,640개 피해 조직을 식별했다고 밝혔다. 이 수치는 공격자 측의 자체 기록에서 직접 추출한 것으로, 외부 추정치가 아닌 만큼 이례적으로 정밀하다. 스티카스는 약 5테라바이트 분량의 자료를 확보했으며, 여기에는 개발자 키, 비공개 소스코드, Slack과 Discord 내부 메시지가 포함됐다. 이 중 700~800개 조직은 루트 서버 접근, AWS 관리자 권한, 또는 암호화폐 지갑 키를 실제로 탈취당한 심각한 침해 사례로 분류됐다. 이는 비트코인(BTC)부터 거래소·펀드·개발자가 보유하는 광범위한 알트코인 잔액까지, 유출된 키에 연결된 모든 자산이 위험에 노출됨을 의미한다. 이번 공개는 단일 실수가 어떻게 대규모 절도로 이어지는지를 보여준다. 공격자가 권한 있는 기기를 장악하면 블록체인 자체는 안전하더라도 커스터디 계층이 무너지기 때문이다. 이더리움의 경우 스마트 컨트랙트 승인, 서명 키, 인프라 계정이 프로토콜을 변경하지 않고도 악용될 수 있어 우려가 더욱 크다. 이번 주 발표된 조사 결과는 일회성 침입이 아닌 지속적 정보 수집 작전의 실체를 드러내며, 압수 데이터 분석이 진행됨에 따라 추가 피해자가 발견될 가능성도 남아 있다. 데이터셋에는 공격 도구의 통신 내역도 포함돼 있어, 초기 침해부터 지속적 통제에 이르는 침투 경로를 방어자 관점에서 파악할 수 있는 드문 기회를 제공한다. 스티카스는 통보를 받은 후에도 많은 조직이 응답하지 않았다고 경고하며, 개별 대응에 그치지 않고 커뮤니티 차원의 위협 인텔리전스 공유에 의존할 수밖에 없는 현실을 지적했다. 이는 서명 키나 클라우드 자격 증명을 보유한 팀에게 현재진행형 인시던트 대응 사안임을 시사한다.

공개된 사건의 두 번째 핵심은 공격 수법이다. 소프트웨어 취약점이 아닌 위장 채용 제안이 주된 침투 경로였다. 개발자들에게 고액 연봉의 시니어 포지션을 제안한 뒤, 과제 테스트를 가장해 악성코드를 설치하도록 유도하는 방식이다. Palo Alto Networks 연구진은 2023년 11월 이 패턴을 'Contagious Interview'로 명명했으며, 이후 Microsoft는 GitHub, GitLab, Bitbucket에 악성 패키지가 배포된 사례를 추가로 기술했다. 개발자가 Visual Studio Code에서 해당 패키지를 열고 신뢰 프롬프트를 수락하면, 에디터가 공격자의 코드를 그대로 실행하는 구조다. 이렇게 생성된 백도어는 API 토큰, 클라우드 로그인 정보, 서명 키, 지갑 파일, 비밀번호 관리자 데이터를 탐색한다. 이더리움(ETH)에 특히 치명적인 이유는, 침해된 개발자 계정이나 서명 환경이 눈에 보이는 프로토콜 익스플로잇 없이도 트랜잭션과 승인을 인가할 수 있기 때문이다. 위험은 표준 거래소 계정, AI 암호화폐 지갑, 또는 알고리즘 스테이블코인에 연결된 인프라 등 모든 커스터디 모델로 확장된다. 한 계약직 개발자의 감염된 노트북이 최대 30개 기업의 자격 증명을 노출시킬 수 있어, 단일 엔드포인트가 다수의 진입점으로 전환되는 셈이다. Boston Children's Hospital은 전직 계약직의 개인 기기를 통해 연결된 것으로 확인됐으나, 해당 병원은 수 시간 내에 자격 증명을 폐기했고 시스템 진입 흔적은 발견되지 않았다고 밝혔다. 암호화폐 분야에서는 Coinbase와 Uniswap Labs가 경고를 받은 후 대응에 나선 조직에 포함됐다. Consensys는 약 한 달간 MetaMask 코드 작업에 관여했던 위장 북한 개발자를 적발하기도 했다. 재정적 규모는 사안의 시급성을 뒷받침한다. 북한 연계 팀들은 2025년 암호화폐 자산 20억 2,000만 달러를 탈취한 것으로 알려졌으며, 이는 전년 대비 51% 증가한 수치다. 4월 발생한 Drift Protocol의 2억 8,500만 달러 손실은 북한 중개자가 관여한 오프라인 만남과 연결된 것으로 파악됐고, 단 두 건의 사건이 2026년 전체 손실의 76%를 차지했는데 이는 전체 사례의 3%에 불과하다. 북한의 누적 절취 규모는 2017년 이후 60억 달러를 넘어섰다. 위협 인텔리전스 데이터는 GOLDEN CHOLLIMA가 채용 미끼를 이용해 핀테크 클라우드 환경에 접근한 사실을 플래그했으며, 이는 채용 통제가 이제 보안 경계의 일환임을 보여준다.

COINOTAG의 분석은 이번 공개를 하나의 주제로 수렴한다. 가장 취약한 계층은 블록체인 자체가 아니라 인간의 커스터디라는 것이다. 온체인 절취 기록—장부에서 확인 가능한 Drift Protocol의 2억 8,500만 달러 유출 포함—과 사후 기업 공시 모두 소셜 엔지니어링에 의한 접근이 원인임을 가리킨다. 기업들은 자격 증명 폐기, 내부자 검증, Crypto ISAC을 통한 위협 인텔리전스 공유로 대응하고 있다. 이더리움(ETH), 비트코인(BTC), 또는 관련 알트코인 보유자에게 실질적 교훈은 서명 환경의 엄격한 분리, 그리고 채용 관련 코드에 대한 검증이다. 핵심 증거는 프로토콜 결함이 아닌, 침해된 사람과 기기를 지목한다. 시장이 역대 최고가에서 멀리 떨어져 있을 때도, 운영 보안이 여전히 결정적 위험 통제 수단이라는 사실은 변하지 않는다.