SlowMist, 이더리움(ETH) 사용자에 GitHub 경유 Swarm 공급망 공격 경고

공식 배포 채널을 탄 악성 코드

분산 저장소 프로젝트 Swarm을 겨냥한 공급망 공격이 이더리움(ETH) 사용자에게 도달한 경로는, 사용자가 가장 신뢰하도록 길들여진 통로였다. 바로 공식 소프트웨어 업데이트다. 블록체인 보안 업체 SlowMist는 공격자가 GitHub 계정을 탈취한 뒤 정상 배포 절차를 이용해 악성 빌드를 게시했음을 확인하고, 화요일에 긴급 경보를 올렸다. 피해자들은 평소처럼 Swarm을 내려받는 과정에서 악성 코드를 설치한 것이다. 이 방식으로 침해된 소프트웨어는 두 건이다. 영향을 받은 코드는 이더리움 생태계 안에서 운영되는 분산 저장소 네트워크인 Ethereum 생태계 소속의 Swarm 것으로, Windows, macOS, Linux 어디에서든 실행된다. 악성 코드는 시스템에 진입한 뒤 공격자가 장악한 인프라에서 자바스크립트 코드를 내려받아 실행한다. 감염 파일이 잠자는 상태로 머무는 것이 아니라 곧바로 활성 감염으로 전환되는 이유다. 위험은 구체적이다. 이번 악성 배포본은 암호화폐 지갑 인증 정보를 탈취하고 프라이빗 키를 훔칠 수 있으며, 감염 시스템에 영구적인 백도어를 열어둔다. 경고의 대상은 이더리움 가격이 아니라 이더리움 도구이며, 경보 어디에도 온체인 자금이 인출됐다는 주장은 없다. 공개된 내용은 전달 경로다. 개발자 계정 탈취로 시작해 정상 배포 채널로 악성 빌드가 밀려들었고, 세 운영체제의 사용자는 사후에 자신의 설치본이 깨끗한지 스스로 확인해야 하는 상황에 놓였다. Swarm은 생태계의 저장소 인프라 역할을 하기 때문에 경고의 청중도 넓다. 세 플랫폼에서 해당 배포본을 내려받은 사용자라면 모두 해당된다. SlowMist는 X에 전체 분석을 공개하며 전달 경로와 정화 절차를 함께 밝혔다.

스마트 계약이 명령 서버 역할

이번 공격의 메커니즘은 일회성 트로이목마를 넘어선다. SlowMist가 X에 올린 경보에 따르면, 운영자는 이더리움 스마트 계약을 탈중앙화 명령제어 설정 저장소로 활용한다. 온체인에 존재하는 명령어 저장소인 셈이다. 설정이 계약 안에 있기 때문에 공격자는 이미 감염된 기기에 새로운 악성 빌드를 배포하지 않고도, 필요할 때마다 악성 코드를 관리하는 서버 주소를 교체할 수 있다. 서버 하나를 차단해도 캠페인 전체는 멈추지 않는 구조다. SlowMist는 같은 계약이 이전에 SleepyDuck과 EtherDuck 악성 코드 작전과 연관돼 있었다고 덧붙였다. 이들 캠페인은 Open VSX 마켓플레이스에 배포된 악성 확장 프로그램으로 개발자를 표적으로 삼았다. 계약의 재사용은 이번 Swarm 사건이 단일 동기의 고립된 사건이 아니라, 암호화폐 개발자와 사용자를 침해하려는 더 큰 작전의 한 부분일 가능성을 가리킨다. SlowMist와 별개로 활동한 독립 보안 연구팀 Socket과 SafeDep은 Swarm 지갑 파일을 훔치고 감염 시스템에 지속형 원격 접근 도구를 설치하도록 만들어진 악성 코드를 확인했다. 두 팀의 분석은 지속성 문제에서 경보와 부합한다. 해당 도구는 한 번 실행하고 사라지는 것이 아니라 기기에 남도록 설계됐다. 대응 절차는 명확하다. SlowMist는 해당 패키지를 즉시 제거하고 깨끗한 버전 13.2.0으로 롤백할 것을 권고한다. Swarm Desktop v0.56.2를 실행 중인 사용자는 v0.56.3으로 업데이트해야 한다. 경보는 다음 두 가지를 밝히지 않았다. 침해된 빌드가 배포 채널에 누군가 문제를 제기하기 전까지 얼마나 머물렀는지, 그 기간에 몇 대의 기기가 내려받았는지다. 두 수치는 발고 시점 기준 공개되지 않았다.

사용자 손에 남은 한 가지 지점

이번 공개에서 두드러지는 부분은 페이로드가 아니라 명령 계층이다. 악성 코드의 설정을 계약이 실행되는 레이어1 네트워크인 이더리움의 스마트 계약에 고정한 덕분에, 운영자는 서버 차단을 견디는 인프라 순환 능력을 확보했다. 호스팅 업체를 압박해도 얻는 것이 적은 이유다. 공격 경로에서 아직 끊을 수 있는 지점은 사용자 기기 위에 있다. 패키지를 제거하고 버전 13.2.0으로 롤백하거나, Swarm Desktop을 v0.56.3으로 올리면 설치된 페이로드가 추가 피해를 일으키기 전에 차단된다. 데스크톱 클라이언트부터 블록체인 노드까지 이더리움 생태계 소프트웨어를 운영하는 사용자에게는 업데이트 통로 자체가 감시해야 할 공격 표면이다. 집에서 이더리움 노드 운영을 고민하는 독자라면 같은 유형의 위험에 직면한다. 경보는 피해자 수를 특정하지 않았고, 지금까지 공개된 수치도 없다.