북한 해커 10월 24일 216개 서버 표적 목록 완성, 미국 49곳 포함

10월 24일 완성된 216개 서버 목록

북한 관련 해커들이 10월 24일 216개 웹 서버로 구성된 표적 목록을 완성했다. 이는 바이낸스가 63억 달러 규모의 도난 피해를 입기 5일 전이며, 목록에서는 미국이 49곳으로 가장 많았다. 이 그룹의 비공개 채팅 기록을 입수한 사이버보안 기업 Cyfirma는 해당 작전을 북한의 대표적 국가 해킹 조직인 라자루스 그룹의 소행으로 '높은 확신' 수준에서 규정했다. 채팅 기록은 운영자들이 협업에 사용한 비공개 채널에서 나왔으며, 목록이 완성된 날짜는 특정하지만 작업이 시작된 시점은 기록하지 않는다. 자문 보고서는 이 공백을 그대로 남겨뒀다. 국가별로는 일본이 47개 서버로 미국에 이어 두 번째이고, 인도가 31개, 한국이 30개를 기록한다. 한국 관련 세부 수치는 일요일 현지 보도를 통해 알려졌다. 명명된 네 나라가 216개 중 157개를 차지하며, 미국의 49개는 기록상 단일 국가 최대 비중이다. 조직은 PHP를 구동하는 기기를 집중적으로 찾아냈다. PHP는 전체 웹사이트의 약 69%를 떠받치는 서버 사이드 언어로, Tenable이 인용한 W3Techs 수치에 따른다. 그렇기 때문에 하나의 취약점 계열이 웹 전반에 동시에 확산될 수 있는 것이다. 목록의 모든 항목은 최종 사용자 기기가 아닌 웹 서버다. 즉 준비 작업의 대상은 개인의 노트북이나 휴대폰이 아니라 인프라 자체였다. PHP2Shell로 불리는 두 개의 중대 결함은, 패치되지 않은 영향 버전 서버라면 어떤 것이든 외부 공격자가 완전히 장악할 수 있게 허용한다. 목록 완성과 바이낸스 피해 사이의 5일 간격이 외부의 주목을 끌었지만, 자문 보고서 자체는 이 표적 확보 작업과 거래소 도난 사이에 어떤 연결선도 그리지 않는다.

PHP2Shell과 5일간의 패치 마감

취약점 쌍은 이번 작전의 중심에 있었고, 이름은 PHP 처리 과정의 결함에서 서버 전체 원격 장악에 이르는 공격 경로를 그대로 설명한다. PHP 유지 관리진은 10월 21일 두 취약점 모두에 대한 수정판을 배포했다. 5일 뒤 미국 사이버보안및인프라보안국인 CISA가 이 두 결함을 실제 악용이 확인된 취약점 목록에 올렸다. 연방 기관들이 긴급 패치 우선순위로 다루는 목록이다. 실서비스 환경에서 PHP를 운영하는 이들에게 이 5일 구간이 사실상의 마감 시한이 됐다. 늦게 패치했거나, PHP 런타임을 재구축하지 않은 채 애플리케이션만 재시작한 운영자는 노출 상태를 그대로 남겨뒀다. 채팅 기록은 표적 확보의 목적을 구체적으로 적어두고 있다. '오퍼레이터 1'로 표기된 운영자는 이렇게 썼다. “금융적 결과물이 필요하고, 금융이나 거래, 지갑 자료로 이어지는 것은 무엇이든 필요하다.” 자문 보고서의 틀에서 이 요구는 자금으로 연결될 수 있는 모든 것을 포괄한다. 거래소 접속 정보, 거래 권한, 암호화폐 선물 계좌, 저장된 지갑 데이터까지다. 기록 어디에도 범위를 특정 지역이나 특정 플랫폼으로 제한하는 문장은 없다. 운영자들은 성과를 과장하기도 했다. 216개 서버 대부분에 “이미 뭔가를 심어놨다”고 주장했고, 목록이 이후 581개 표적으로 늘었다고 말했다. Cyfirma는 두 주장 모두를 검증하지 않았다. 이 기업의 목록에 대한 판정은 짧다. “목록에 등재된 것은 표적화를 의미할 뿐 침해를 뜻하지 않는다.” 자문 보고서는 확인된 피해 기관을 특정하지 않으며, 미국 내 49개 서버가 어느 부문에 속하는지도 말하지 않는다. 이 침묵은 의도된 것이다. 이 기업의 근거 자료는 서버 포렌식이 아니라 채팅 채널 자체다. Cyfirma 위협 자문 보고서가 제시하는 복구 절차는 두 단계다. PHP 자체를 패치한 뒤, 모든 PHP 프로세스를 재시작하는 것이다. 웹사이트만 업데이트하면 문은 열려 있던 채로 남는다고 이 기업은 경고한다.

바이낸스 관련 미해결 질문

Cyfirma의 자문 보고서는 바이낸스를 이름으로 언급하지 않는다. 미국 연방수사국(FBI)은 별도로 이 거래소 도난 사건을 북한 소행으로 지목했고, 미국 검찰은 수익 중 12억 달러의 몰수 절차를 진행 중이다. Chainalysis는 앞선 조사에서 Bitget에서 발생한 3억 8,700만 달러 규모의 도난도 북한 해커의 소행으로 확인한 바 있다. 목록 완성과 바이낸스 피해는 5일 간격이지만, 이 시기적 근접성을 인과로 바꿔놓은 공개된 증거는 없다. 몰수 사건과 Bitget 사건을 합산한 확인된 북한 연루 거래소 피해는 이미 약 16억 달러에 이르며, 216개 서버 작전에서 나온 피해는 여기에 아직 한 푼도 포함돼 있지 않다. 이 구분은 보유자에게 실질적으로 중요하다. 침해된 웹 서버가 자기 관리 방식의 코인에 직접 닿지는 않는다. 하드웨어 지갑이든 Tangem Pay 같은 제품이든 마찬가지다. 반면 거래소에 맡긴 잔고는 거래소 인프라 위에 놓여 있고, 이 인프라는 동일 네트워크와 연결된 조직들이 역사적으로 노려온 대상이다. 크로스체인 브리지부터 거래소 시스템까지가 그 예이다. 일요일 현재 Cyfirma의 자문 보고서가 마지막으로 문서화된 판단이다. 표적화는 확인됐고, 침해는 입증되지 않았다.