사이버 보안 위협 및 방어
모든 태그 보기
2025년 2월 21일, 북한의 라자루스 그룹(Lazarus Group)은 역사상 최대 규모의 암호화폐 탈취 사건을 일으켰습니다. 바이비트(Bybit)의 콜드 월렛에서 단 한 번의 트랜잭션으로 15억 달러 상당의 이더리움이 유출되었습니다. 1년이 지난 지금, 숫자는 냉혹한 현실을 보여줍니다. 블록체인 분석 기업들이 초기에는 도난 자금의 88.87%를 추적했지만, 동결된 금액은 단 3.54%에 불과합니다. 나머지는 수천 개의 지갑에 나뉘어 대기 중입니다.
이것은 단순한 강도 사건이 아닙니다. 국가급 해킹 작전이 어떻게 업계 전체의 보안 인프라를 무력화시켰는지, 그리고 지난 12개월 동안 암호화폐 세계가 무엇을 배웠고, 또 무엇을 배우지 못했는지에 대한 사례 연구입니다.
이제 컨트랙트당 1.22달러의 비용으로 AI 에이전트가 스마트 컨트랙트의 악용 가능한 취약점을 스캔할 수 있으며, 공격용 익스플로잇 능력은 1.3개월마다 두 배로 증가하고 있습니다. 탈중앙화 금융(DeFi)에서 가장 중대한 군비 경쟁에 오신 것을 환영합니다.
2026년 2월, OpenAI와 Paradigm은 AI 에이전트가 스마트 컨트랙트 취약점을 얼마나 효과적으로 탐지, 패치 및 익스플로잇하는지 평가하는 오픈 소스 벤치마크인 EVMbench를 공동 출시했습니다. 결과는 충격적이었습니다. GPT-5.3-Codex는 알려진 취약한 컨트랙트의 72.2%를 성공적으로 익스플로잇했으며, 이는 불과 6개월 전의 31.9%에서 크게 상승한 수치입니다. 한편, 특화된 AI 보안 에이전트는 9,680만 달러 규모의 90개 DeFi 익스플로잇 사례 중 92%에서 취약점을 탐지해냈는데, 이는 기본 GPT-5.1 코딩 에이전트의 탐지율인 34%보다 거의 3배나 높은 수치입니다.
그 시사점은 분명합니다. DeFi 보안을 위한 싸움은 AI 대 AI의 대결이 되었으며, 현재로서는 경제학적으로 공격자에게 압도적으로 유리합니다.
Polygon의 공동 창립자는 낯선 사람들이 자신과 실제로 Zoom 통화 중인지 묻는 연락을 받기 시작했습니다. BTC Prague의 주최자는 유명한 암호화폐 CEO의 정교한 AI 생성 복제본이 화면에 나타나 "빠른 오디오 수정"을 실행해달라고 요청하는 것을 목격했습니다. 한 AI 스타트업 창립자는 Google Meet 사용을 고집하여 감염을 피했고, 공격자들은 즉시 사라졌습니다. 이것은 사이버펑크 스릴러의 한 장면이 아닙니다. 2026년 초에 실제로 일어난 일들이며, 이들은 모두 하나의 공통된 실마리를 공유하고 있습니다. 바로 북한의 급격히 진화하는 딥페이크 사회공학적 기법(Social Engineering) 머신입니다.
약 626만 개의 비트코인( 7,500억 사이의 가치)이 양자 공격에 취약한 주소에 보관되어 있습니다. 대부분의 전문가들은 암호학적으로 유의미한 양자 컴퓨터의 등장이 아직 수년 남았다는 점에 동의하지만, 이러한 자산을 보호하는 데 필요한 인프라는 하루아침에 구축될 수 없습니다. 한 프로토콜은 이미 그 해답을 가지고 있다고 주장하며, SEC 또한 이에 동의하는 행보를 보이고 있습니다.
Naoris Protocol은 SEC의 양자 이후 금융 인프라 프레임워크(PQFIF)에서 양자 내성 블록체인 인프라의 참조 모델로 지정되면서, 미국 규제 문서에 인용된 최초의 탈중앙화 보안 프로토콜이 되었습니다. 2026년 1분기 종료 전 메인넷 출시를 앞두고 있으며, 테스트넷에서 이미 1억 400만 건의 양자 내성 트랜잭션을 처리했고 NATO 동맹 기관들과 파트너십을 맺고 있는 Naoris는 대담한 도전을 하고 있습니다. 바로 DePIN의 차세대 프론티어는 컴퓨팅이나 스토리지가 아니라 사이버 보안 그 자체라는 것입니다.
귀하의 콜드 월렛은 생각만큼 안전하지 않습니다. 2025년에는 개인 키, 지갑 시스템 및 이를 관리하는 사람을 대상으로 하는 인프라 공격이 전체 도난된 암호화폐의 76%를 차지했으며, 단 45건의 사건에서 총 22억 달러에 달했습니다. 북한의 국가 후원 해킹 부대인 라자루스 그룹(Lazarus Group)은 사람이 아닌 코드를 표적으로 삼는 수개월 간의 침투 캠페인을 통해 전통적인 콜드 스토리지 보안을 거의 무의미하게 만드는 플레이북을 완성했습니다.
Safe{Wallet} 개발자인 "Developer1"이 2025년 2월 4일에 평범해 보이는 요청을 받았을 때, 그들은 자신의 Apple MacBook이 역사상 최대 규모의 암호화폐 강도 사건의 진입점이 될 것이라고는 전혀 예상하지 못했습니다. 17일 만에 북한의 라자루스 그룹(Lazarus Group)은 그 단 하나의 감염된 노트북을 이용해 바이비트(Bybit)에서 15억 달러를 훔쳤으며, 이는 일부 국가의 전체 GDP보다 많은 액수입니다.
이것은 일시적인 현상이 아니었습니다. 이는 국가가 주도하는 해커 그룹을 전 세계에서 가장 정교한 암호화폐 도둑으로 탈바꿈시킨 10년의 진화가 정점에 달한 결과이며, 이들이 훔친 누적 금액은 최소 67억 5천만 달러에 달합니다.
수치는 경이롭습니다. 2025년 암호화폐 플랫폼에서 도난당한 금액은 34억 달러에 달하며, 그 중 거의 3분의 2를 단일 국가가 차지했습니다. 북한의 라자루스 그룹(Lazarus Group)은 단순히 기록을 경신한 것이 아니라, 공격 횟수는 줄이면서도 탈취 가치는 기하급수적으로 높이며 국가 주도 사이버 범죄의 규칙을 다시 썼습니다. 2026년에 들어서면서 암호화폐 업계는 불편한 진실에 직면해 있습니다. 지난 5년간의 보안 패러다임이 근본적으로 무너졌다는 사실입니다.
블록체인 데이터 분석 기업 체이널리시스(Chainalysis)는 2025년 12월 연례 암호화폐 범죄 보고서를 발표하며 업계 내부자들이 우려했던 바를 확인해주었습니다. 총 암호화폐 도난액은 34억 달러에 달했으며, 북한 해커들이 탈취한 금액은 20.2억 달러로 2024년의 기록적인 수치였던 13.4억 달러보다 51% 증가했습니다. 이로써 북한의 역대 암호화폐 도난 총액은 약 67.5억 달러에 이르게 되었습니다.
2025년의 도난 사건이 전례 없는 이유는 단순히 금액 때문만이 아닙니다. 바로 효율성 때문입니다. 북한 해커들은 이전 연도보다 알려진 공격 횟수를 74%나 줄이면서도 이 기록적인 성과를 달성했습니다. 라자루스 그룹은 흩어져 있던 위협 행위자에서 금융 전쟁의 정밀한 도구로 진화했습니다.
TRM 랩스(TRM Labs)와 체이널리시스 모두 독립적으로 이 수치를 검증했으며, TRM은 암호화폐 범죄가 그 어느 때보다 "조직화되고 전문화"되었다고 언급했습니다. 공격은 이전 주기보다 더 빠르고, 더 잘 조율되며, 규모를 확장하기가 훨씬 쉬워졌습니다.
2025년 2월 21일, 암호화폐 업계는 역사상 최대 규모의 단일 도난 사건을 목격했습니다. 해커들이 세계 최대 암호화폐 거래소 중 하나인 바이비트(Bybit)에서 당시 가치로 15억 달러에 달하는 약 401,000 ETH를 빼낸 것입니다.
이 공격은 무력 침입(Brute-force)이나 스마트 컨트랙트 취약점 공격이 아니었습니다. 정교한 공급망 공격(Supply chain compromise)이었습니다. "TraderTraitor"(Jade Sleet 및 Slow Pisces로도 알려짐)라는 별칭으로 활동하는 라자루스 그룹은 인기 있는 멀티시그니처 지갑 제공업체인 Safe{Wallet}의 개발자를 목표로 삼았습니다. 지갑의 사용자 인터페이스에 악성 코드를 주입함으로써, 그들은 기존의 보안 계층을 완전히 우회했습니다.
해커들은 11일 이내에 도난당한 자금의 100%를 세탁했습니다. 바이비트 CEO 벤 저우(Ben Zhou)는 3월 초에 약 3억 달러의 추적을 놓쳤다고 밝혔습니다. FBI는 2025년 2월 26일 이 공격을 공식적으로 북한의 소행으로 돌렸으나, 그때 이미 자금은 믹싱 프로토콜과 브릿지 서비스를 통해 사라진 뒤였습니다.
바이비트 해킹 사건 하나가 2025년 북한의 암호화폐 도난액의 74%를 차지했으며, 전술의 서늘한 진화를 보여주었습니다. 보안 기업 해큰(Hacken)이 지적했듯이, 라자루스 그룹은 "주요 도난 사건 이후 45일간의 세탁 주기를 거치며 중국어 기반의 자금 세탁 서비스, 브릿지 서비스 및 믹싱 프로토콜에 대한 분명한 선호도"를 보였습니다.
북한의 사이버 작전은 근본적인 변화를 겪었습니다. 단순한 피싱 공격과 핫 월렛 탈취의 시대는 지났습니다. 라자루스 그룹은 탐지를 거의 불가능하게 만드는 다각적인 전략을 개발했습니다.
아마도 가장 교묘한 전술은 연구자들이 "웨이지몰(Wagemole)"이라고 부르는 것입니다. 이는 전 세계 암호화폐 기업 내부에 비밀 IT 인력을 심어두는 방식입니다. 가짜 신분을 사용하거나 위장 기업을 통해 이러한 요원들은 암호화폐 기업, 수탁 기관, Web3 플랫폼을 포함한 기업 시스템에 합법적인 접근 권한을 얻습니다.
이러한 접근 방식은 해커들이 외부 방어망을 완전히 우회할 수 있게 합니다. 그들은 침입하는 것이 아니라 이미 내부에 존재하고 있는 것입니다.
2025년, 국가 주도 그룹들은 작전의 모든 단계에서 인공지능(AI)을 사용해 효율성을 극대화하기 시작했습니다. AI는 이제 수천 개의 스마트 컨트랙트를 몇 분 만에 스캔하여 취약한 코드를 식별하고, 멀티체인 공격을 자동화합니다. 과거에 몇 주간의 수동 분석이 필요했던 작업이 이제는 몇 시간 만에 완료됩니다.
코인피디아(Coinpedia)의 분석에 따르면, 북한 해커들은 AI 통합을 통해 암호화폐 범죄를 재정의하여 작전의 확장성을 높이고 탐지를 그 어느 때보다 어렵게 만들었습니다.
단순 기술적 취약점 공격에서 인적 요인 공격으로의 전환은 2025년의 정의적인 추세였습니다. 보안 기업들은 "비정상적인 손실의 압도적인 원인이 새로운 온체인 수학적 오류가 아니라 액세스 제어(Access-control) 실패에 있었다"고 지적했습니다. 해커들은 오염된 프론트엔드와 멀티시그 UI 트릭에서 경영진 사칭 및 키 탈취로 이동했습니다.
바이비트가 헤드라인을 장식하는 동안, 북한의 작전은 단일 목표를 훨씬 넘어 확장되었습니다.
이러한 사건들은 고립된 사고가 아니었습니다. 이는 중앙화 거래소(CEX), 탈중앙화 금융(DeFi) 플랫폼, 그리고 여러 관할권의 개별 지갑 제공업체를 겨냥한 조율된 캠페인이었습니다.
독립적인 집계에 따르면 일 년 동안 300건 이상의 주요 보안 사고가 식별되었으며, 이는 전체 암호화폐 생태계에 걸친 시스템적 취약성을 극명하게 드러냈습니다.
자금 세탁 측면에서 미국 재무부의 금융범죄단속네트워크(FinCEN)는 북한의 작전에서 중요한 노드를 식별해냈습니다. 바로 캄보디아에 본사를 둔 Huione Group입니다.
FinCEN은 Huione Group이 2021년 8월부터 2025년 1월 사이에 최소 40억 달러의 불법 수익금을 세탁했음을 확인했습니다. 블록체인 분석 기업 일립틱(Elliptic)은 실제 수치가 110억 달러에 육박할 것으로 추정하고 있습니다.
재무부의 조사 결과에 따르면, Huione Group은 DMM Bitcoin 해킹 사건에서 발생한 3,500만 달러를 포함하여 라자루스 그룹(Lazarus Group)과 직접적으로 연결된 3,700만 달러를 처리했습니다. 이 회사는 평양의 주요 대외 정보 기관인 북한 정찰총국과 직접 협력했습니다.
Huione가 특히 위험했던 이유는 규제 준수 통제가 전무했기 때문입니다. Huione Pay(뱅킹), Huione Guarantee(에스크로), Huione Crypto(거래소)라는 세 가지 사업 부문 중 어느 곳도 자금세탁방지(AML)나 고객확인제도(KYC) 정책을 공개하지 않았습니다.
훈 마넷(Hun Manet) 총리의 사촌이 주요 주주로 있는 등 캄보디아의 실권자 훈(Hun) 가문과 이 회사의 연결 고리는 국제적인 법 집행 노력을 복잡하게 만들었습니다. 이러한 상황은 2025년 5월 미국이 이들의 미국 금융 시스템 접근을 차단하는 조치를 취하기 전까지 계속되었습니다.
2025년 발생한 도난 사건들 의 규모는 전 세계적으로 규제 조치를 가속화시켰습니다.
유럽 연합은 가상자산시장법(MiCA)의 "2단계"를 신속히 도입하여, 이제 유로존에서 운영되는 모든 거래소에 대해 제3자 소프트웨어 공급업체에 대한 분기별 감사를 의무화했습니다. Bybit 해킹의 공급망 공격 벡터가 이러한 구체적인 요구 사항을 이끌어냈습니다.
미국에서는 실시간 예치금 증명(PoR) 의무화로 초점이 옮겨갔습니다. 이론적으로 거래소가 자산을 온체인에서 실시간으로 증명해야 한다면, 의심스러운 유출을 즉시 감지할 수 있게 됩니다.
Upbit 해킹 사건 이후, 한국 금융위원회는 2025년 12월 "디지털 금융 보안법"을 제안했습니다. 이 법안은 모든 암호화폐 거래소를 대상으로 콜드 스토리지(Cold Storage) 비율 의무화, 정기적인 침투 테스트, 의심 거래에 대한 모니터링 강화를 강제하는 내용을 담고 있습니다.
Bybit 보안 사고는 중앙화 거래소가 보안을 관리하는 방식에 근본적인 변화를 가져왔습니다. 업계 리더들은 2026년을 위해 다음과 같은 몇 가지 핵심적인 업그레이드를 식별했습니다.
대부분의 상위권 플랫폼들은 기존의 스마트 컨트랙트 멀티시그(Multi-sig)에서 다자간 연산(MPC) 기술로 전환했습니다. 2025년에 악용되었던 Safe{Wallet} 설정과 달리, MPC는 개인 키를 여러 파편(Shard)으로 나누어 단일 장소에 존재하지 않게 함으로써 UI 스푸핑(Spoofing)이나 "아이스 피싱(Ice Phishing)" 기법을 실행하는 것을 거의 불가능하게 만듭니다.
신뢰할 수 있는 수탁형 거래소들은 이제 90-95%의 콜드 스토리지 비율을 구현하여 대다수의 사용자 자금을 하드웨어 보안 모듈(HSM)에 오프라인으로 보관합니다. 멀티 시그니처 지갑은 거액의 트랜잭션을 승인하기 위해 여러 공인된 당사자의 승인을 요구합니다.
2025년의 핵심 교훈은 보안이 블록체인을 넘어 전체 소프트웨어 스택으로 확장된다는 점입니다. 거래소는 자사 코드를 검토할 때와 동일한 엄격함으로 벤더 관계를 감사해야 합니다. Bybit 해킹은 거래소 자체의 취약점이 아니라 보안이 침해된 제3자 인프라 때문에 성공했습니다.
인간의 실수가 여전히 보안 침해의 주요 원인이기 때문에, 피싱 시도 및 안전한 비밀번호 관리에 대한 지속적인 교육이 의무화되었습니다. 보안 전문가들은 보안 프로세스 관리의 취약점을 파악하기 위해 정기적인 레드팀 및 블루팀 훈련을 권장합니다.
더 먼 미래를 내다보면, 양자 내성 암호(PQC)와 양자 보안 하드웨어가 중요한 미래 방어 수단으로 떠오르고 있습니다. 2026년부터 2033년까지 콜드 월렛 시장의 예상 연평균 성장률(CAGR) 15.2%는 보안 진화에 대한 기관의 신뢰를 반영합니다.
체이널리시스(Chainalysis)의 2025년 보고서 결론 부분의 경고는 업계 전반에 울려 퍼져야 합니다. "알려진 공격 횟수가 74%나 감소했음에도 불구하고 2025년에 사상 최고의 성과를 거둔 것은, 우리가 그들의 활동 중 극히 일부만을 보고 있을 가능성을 시사합니다. 2026년의 과제는 북한 연계 행위자들이 Bybit 규모의 사고를 다시 일으키기 전에 이러한 고영향 작전을 탐지하고 예방하는 것이 될 것입니다."
북한은 제재 회피와 무기 자금 조달을 목적으로 할 때 국가 지원 해커들이 업계의 방어 체계를 앞지를 수 있다는 것을 증명했습니다. 누적 총액 67억 5,000만 달러는 단순히 도난당한 암호화폐만을 의미하는 것이 아니라, 미사일, 핵 프로그램, 그리고 정권의 생존을 의미합니다.
암호화폐 업계에 있어 2026년은 보안 혁신의 해가 되어야 합니다. 점진적인 개선이 아니라 자산이 저장되고, 접근되고, 전송되는 방식에 대한 근본적인 재설계가 필요합니다. 라자루스 그룹은 어제의 모범 사례가 오늘의 취약점이 될 수 있음을 보여주었습니다.
그 어느 때보다 위험이 큽니다.
블록체인 인프라를 보호하려면 지속적인 경계와 업계 최고의 보안 관행이 필요합니다. BlockEden.xyz는 다층 보안 아키텍처를 갖춘 기업용 노드 인프라를 제공하여 개발자와 기업이 진화하는 위협을 견딜 수 있도록 설계된 기반 위에 구축할 수 있도록 지원 합니다.
가상자산 자금 세탁은 2025년에 820억 달러로 폭발적으로 증가했습니다. 이는 불과 5년 전인 100억 달러에서 8배 증가한 수치입니다. 하지만 진짜 이야기는 이 엄청난 금액 자체가 아닙니다. 그것은 바로 금융 범죄 자체의 산업화입니다. 전문 세탁 네트워크는 이제 정교한 텔레그램 기반 마켓플레이스를 통해 매일 4,400만 달러를 처리하고 있으며, 북한은 핵 프로그램 자금을 조달하기 위해 가상자산 절도를 무기화했고, 글로벌 사기를 가능하게 하는 인프라는 합법적인 가상자산 채택보다 7,325배 빠르게 성장했습니다. 아마추어 가상자산 범죄자의 시대는 끝났습니다. 우리는 조직화되고 전문화된 블록체인 범죄의 시대에 진입했습니다.
2025년 크리스마스 이브, 암호화폐 업계의 대부분이 휴가를 즐기고 있을 때 공격자들은 트러스트 월렛 (Trust Wallet)의 크롬 확장 프로그램에 악성 업데이트를 푸시했습니다. 48시간 만에 2,520개의 지갑에서 850만 달러가 사라졌습니다. 수천 명의 사용자 시드 구문 (seed phrases)이 일상적인 텔레메트리 데이터로 위장하여 조용히 수집되었습니다. 하지만 이것은 단독 사건이 아니었습니다. 이는 몇 주 동안 암호화폐 개발 생태계를 통해 확산되고 있었던 공급망 공격 (supply chain attack)의 정점이었습니다.
듄 (Dune)의 모래 벌레 이름을 딴 샤이 훌루드 (Shai-Hulud) 캠페인은 2025년 가장 공격적인 npm 공급망 공격을 상징합니다. 700개 이상의 npm 패키지를 오염시켰고, 27,000개의 GitHub 리포지토리를 감염시켰으며, 487개 조직에 걸쳐 약 14,000개의 개발자 비밀 정보 (developer secrets)를 노출시켰습니다. 총 피해액은 5,800만 달러 이상의 암호화폐 탈취로, 암호화폐 역사상 개발자를 대상으로 한 가장 막대한 피해를 입힌 공격 중 하나가 되었습니다.
사용자가 악성 소프트웨어를 다운로드하도록 유도하는 일반적인 맬웨어와 달리, 공급망 공격은 개발자가 이미 신뢰하고 있는 도구를 오염시킵니다. 샤이 훌루드 캠페인은 거의 모든 암호화폐 지갑, DeFi 프론트엔드 및 Web3 애플리케이션을 포함하여 대부분의 자바스크립트 (JavaScript) 개발을 구동하는 패키지 관리자인 npm을 무기화했습니다.
이 공격은 2025년 9월 첫 번째 물결로 시작되어 약 5,000만 달러의 암호화폐 도난을 초래했습니다. 그러나 작전의 진정한 정교함을 보여준 것은 11월의 "두 번째 강림 (The Second Coming)"이었습니다. 11월 21일부터 23일 사이, 공격자들은 Zapier, ENS Domains, AsyncAPI, PostHog, Browserbase, Postman 등을 포함한 주요 프로젝트의 개발 인프라를 침해했습니다.
전파 메커니즘은 정교하면서도 치명적이었습니다. 샤이 훌루드가 정상적인 npm 패키지를 감염시키면, preinstall 스크립트에 의해 트리거되는 setup_bun.js와 bun_environment.js라는 두 개의 악성 파일을 주입합니다. 설치 후 활성화되는 전통적인 맬웨어와 달리, 이 페이로드는 설치가 완료되기 전, 심지어 설치가 실패하더라도 실행됩니다. 개발자가 무언가 잘못되었다는 것을 깨달을 때쯤에는 이미 자격 증명이 탈취된 상태입니다.
이 웜은 감염된 개발자가 관리하는 다른 패키지를 식별하여 악성 코드를 자동으로 주입하고 새로운 감염 버전을 npm 레지스트리에 게시합니다. 이러한 자동화된 전파를 통해 맬웨어는 공격자의 직접적인 개입 없이도 기하급수적으로 확산될 수 있었습니다.
오염된 npm 패키지와 트러스트 월렛 해킹 사이의 연결 고리는 공급망 공격이 어떻게 개발자로부터 최종 사용자에게 파급되는지 보여줍니다.
트러스트 월렛의 조사 결과에 따르면, 11월 샤이 훌루드 발생 기간 동안 개발자의 GitHub 비밀 정보가 노출된 것으로 나타났습니다. 이 노출로 인해 공격자는 브라우저 확장 프로그램 소스 코드와 중요하게는 크롬 웹 스토어 (Chrome Web Store) API 키에 접근할 수 있게 되었습니다. 이러한 자격 증명을 확보한 공격자들은 트러스트 월렛의 내부 릴리스 프로세스를 완전히 우회했습니다.
2025년 12월 24일, 트러스트 월렛 크롬 확장 프로그램의 2.68 버전이 크롬 웹 스토어에 등장했습니다. 이는 트러스트 월렛 개발자가 아닌 공격자에 의해 게시된 것이었습니다. 악성 코드는 확장 프로그램에 저장된 모든 지갑을 순회하며 각 지갑에 대해 니모닉 구문 (mnemonic phrase) 요청을 트리거하도록 설계되었습니다. 사용자가 비밀번호나 생체 인식으로 인증했는지 여부와 관계없이, 시드 구문은 정상적인 분석 데이터로 위장하여 공격자가 제어하는 서버로 조용히 유출되었습니다.
도난당한 자금의 내역은 다음과 같습니다: 비트코인 약 300만 달러, 이더리움 300만 달러 이상, 그리고 솔라나 및 기타 토큰의 소량 금액. 며칠 만에 공격자들은 중앙화 거래소를 통해 자금을 세탁하기 시작했습니다. ChangeNOW로 330만 달러, FixedFloat으로 34만 달러, 그리고 KuCoin으로 44만 7천 달러가 전송되었습니다.
아마도 가장 우려되는 점은 샤이 훌루드 맬웨어의 "데드맨 스위치" 메커니즘일 것입니다. 만약 웜이 GitHub이나 npm에 인증할 수 없게 되어 전파 및 유출 채널이 차단되면, 사용자 홈 디렉토리의 모든 파일을 삭제합니다.
이 파괴적인 기능은 여러 목적을 수행합니다. 탐지 시도를 방해하고, 공격자의 흔적을 감추는 혼란을 야기하며, 방어자가 명령 및 제어 (C&C) 인프라를 차단하려고 할 때 압박 수단이 됩니다. 적절한 백업을 유지하지 않은 개발자의 경우, 정화 시도가 실패하면 자격 증명 탈취에 더해 치명적인 데이터 손실을 입을 수 있습니다.
공격자들은 심리적인 정교함도 보여주었습니다. 트러스트 월렛이 침해 사실을 발표하자, 동일한 공격자들은 뒤따르는 패닉을 악용하여 피싱 캠페인을 시작했습니다. "지갑 확인"을 위해 사용자의 복구 시드 구문을 입력하라는 가짜 트러스트 월렛 브랜드 웹사이트를 만들었습니다. 일부 피해자들은 두 번이나 피해를 입었습니다.
바이낸스 (Binance)의 공동 창립자 창펑 자오 (CZ)는 트러스 트 월렛 탈취가 내부자 또는 배포 권한에 이전에 접근했던 누군가에 의해 수행되었을 가능성이 "매우 높다"고 암시했습니다. 트러스트 월렛 자체 분석에 따르면 공격자들이 2025년 12월 8일 이전에 개발자 장치를 제어하거나 배포 권한을 획득했을 수 있다고 제안합니다.
보안 연구원들은 국가 차원의 개입 가능성을 시사하는 패턴에 주목했습니다. 크리스마스 이브라는 타이밍은 보안 팀의 인력이 부족한 연휴 기간에 공격하는 흔한 지능형 지속 위협 (APT) 수법을 따릅니다. 샤이 훌루드 캠페인의 기술적 정교함과 규모, 그리고 신속한 자금 세탁은 일반적인 범죄 조직을 넘어서는 자원이 투입되었음을 시사합니다.
트러스트 월렛 (Trust Wallet) 사건은 암호화폐 보안 모델의 근본적인 취약점을 부각시킵니다. 브라우저 확장 프로그램은 웹 페이지를 읽고 수정하며, 로컬 스토리지에 접근하고, 암호화폐 지갑의 경우에는 수백만 달러의 자산에 접근할 수 있는 키를 보유하는 등 막대한 권한을 가지고 작동합니다.
공격 표면은 매우 넓습니다:
이것은 암호화폐 사용자를 대상으로 한 최초의 브라우저 확장 프로그램 공격이 아닙니다. 이전의 사례로는 VS Code 확장 프로그램을 겨냥한 GlassWorm 캠페인과 FoxyWallet Firefox 확장 프로그램 사기 사건이 있었습니다. 하지만 트러스트 월렛 침해 사고는 금전적 규모 면에서 가장 컸으며, 공급망 침해가 어떻게 확장 프로그램 공격의 파급력을 증폭시키는지 입증했습니다.
바이낸스는 피해를 입은 트러스트 월렛 사용자들이 SAFU (사용자 안전 자산 펀드)를 통해 전액 보상받을 것이라고 확인했습니다. 이 펀드는 2018년 거래소 해킹 이후 설립되었으며, 보안 사고로 인한 사용자 손실을 보전하기 위해 거래 수수료의 일부를 예비비로 적립해 둡니다.
보상 결정은 중요한 선례를 남기며, 책임 할당에 대한 흥미로운 질문을 던집니다. 트러스트 월렛은 해당 기간에 단순히 지갑을 열었을 뿐인 사용자의 직접적인 잘못 없이 침해되었습니다. 하지만 근본 원인은 개발자 인프라를 무너뜨린 공급망 공격이었고, 이는 다시 npm의 광범위한 생태계 취약성으로 인해 가능했습니다.
트러스트 월렛의 즉각적인 대응에는 2주 동안 새로운 버전 출시를 차단하기 위한 모든 릴리스 API 만료 처리, 악성 데이터 유출 도메인을 등록 기관에 신고(즉시 정지 처리), 깨끗한 버전인 2.69 버전 배포 등이 포함되었습니다. 12월 24일에서 26일 사이에 확장 프로그램 잠금을 해제했던 사용자들에게는 즉시 새로운 지갑으로 자금을 옮길 것이 권고되었습니다.
Shai-Hulud 캠페인은 트러스트 월렛을 넘어 확장되는 시스템적 취약성을 드러냅니다:
의존성을 명시적으로 고정하십시오. npm install 시 임의의 코드가 실행될 수 있기 때문에 사전 설치 스크립트 악용이 가능해집니다. 알려진 안전한 버전으로 고정하면 자동 업데이트를 통해 오염된 패키지가 도입되는 것을 방지할 수 있습니다.
비밀 정보가 노출된 것으로 간주하십시오. 2024년 11월 21일에서 12월 25일 사이에 npm 패키지를 가져온 모든 프로젝트는 자격 증명이 노출되었다고 가정해야 합니다. 이는 npm 토큰, GitHub PAT, SSH 키 및 클라우드 서비스 제공업체 자격 증명을 취소하고 재생성해야 함을 의미합니다.
적 절한 비밀 관리 시스템을 구현하십시오. 앱 스토어 게시와 같은 중요 인프라를 위한 API 키는 프라이빗 레포지토리라 할지라도 절대 버전 관리 시스템에 저장해서는 안 됩니다. 하드웨어 보안 모듈(HSM)이나 전용 비밀 관리 서비스를 사용하십시오.
피싱 방지 MFA를 강제하십시오. 표준 2단계 인증은 정교한 공격자에 의해 우회될 수 있습니다. YubiKey와 같은 하드웨어 키는 개발자 및 CI / CD 계정에 대해 더 강력한 보호를 제공합니다.
지갑 인프라를 다각화하십시오. 모든 자금을 브라우저 확장 프로그램에 보관하지 마십시오. 하드웨어 지갑은 소프트웨어 취약점으로부터 격리 환경을 제공하며, 잠재적으로 침해된 브라우저에 시드 구문을 노출하지 않고도 트랜잭션에 서명할 수 있습니다.
업데이트가 악성일 수 있다고 가정하십시오. 소프트웨어를 편리하게 만드는 자동 업데이트 모델은 소프트웨어를 취약하게 만들기도 합니다. 보안이 중요한 확장 프로그램의 경우 자동 업데이트를 비활성화하고 새 버전을 수동으로 확인하는 것을 고려해 보십시오.
지갑 활동을 모니터링하십시오. 비정상적인 트랜잭션을 알리는 서비스를 사용하면 침해 사실을 조기에 인지하여 공격자가 지갑 전체를 비우기 전에 손실을 제한할 수 있습니다.
npm 생태계를 강화하십시오. npm 레지스트리는 Web3 개발의 핵심 인프라임에도 불구하고 웜(worm)과 같은 확산을 방지할 수 있는 많은 보안 기능이 부족합니다. 필수적인 코드 서명, 재현 가능한 빌드, 패키지 업데이트에 대한 이상 탐지 등은 공격자의 진입 장벽을 크게 높일 수 있습니다.
브라우저 확장 프로그램 보안을 재고하십시오. 확장 프로그램이 자동 업데이트되고 광범위한 권한을 갖는 현재의 모델은 막대한 자산을 보유하기 위한 보안 요구 사항과 근본적으로 양립할 수 없습니다. 샌드박스 실행 환경, 사용자 검토를 거친 지연 업데이트, 권한 축소 등이 도움이 될 수 있습니다.
사고 대응을 공조하십시오. Shai-Hulud 캠페인은 크립토 생태계 전반의 수백 개 프로젝트에 영향을 미쳤습니다. 더 나은 정보 공유와 조율된 대응이 있었다면 오염된 패키지가 식별됨에 따라 피해를 제한할 수 있었을 것입니다.
암호화폐 산업은 역사적으로 스마트 컨트랙트 감사, 거래소 콜드 스토리지, 사용자 대상 피싱 방지에 보안 노력을 집중해 왔습니다. Shai-Hulud 캠페인은 가장 위험한 공격이 크립토 사용자가 직접 상호작용하지는 않지만 그들이 사용하는 모든 애플리케이션의 기반이 되는 개 발자 도구 및 인프라에서 올 수 있음을 보여줍니다.
Web3 애플리케이션이 복잡해짐에 따라 의존성 그래프도 커지고 있습니다. 각 npm 패키지, 각 GitHub 액션, 각 CI / CD 통합은 잠재적인 공격 경로를 나타냅니다. Shai-Hulud에 대한 업계의 대응은 이것이 일회성 경고로 끝날지, 아니면 크립토 인프라에 대한 공급망 공격 시대의 시작이 될지를 결정할 것입니다.
현재로서는 공격자들의 신원이 밝혀지지 않았습니다. 도난당한 트러스트 월렛 자금 중 약 280만 달러가 공격자의 지갑에 남아 있으며, 나머지는 중앙화 거래소와 크로스체인 브릿지를 통해 세탁되었습니다. 더 넓은 Shai-Hulud 캠페인의 초기 탈취액인 5,000만 달러 이상의 자금은 블록체인의 가명성 속으로 대부분 사라졌습니다.
샌드웜(sandworm)은 크립토의 기반 깊숙이 파고들었습니다. 이를 뿌리 뽑으려면 업계가 초창기부터 당연하게 여겨왔던 보안 가정들을 근본적으로 재고해야 할 것입니다.
안전한 Web3 애플리케이션을 구축하려면 견고한 인프라가 필요합니다. BlockEden.xyz는 모니터링 및 이상 탐지 기능이 내장된 엔터프라이즈급 RPC 노드와 API를 제공하여 개발자가 사용자에게 영향을 미치기 전에 비정상적인 활동을 식별할 수 있도록 돕습니다. 보안 중심의 기반 위에서 구축을 시작하려면 API 마켓플레이스를 살펴보세요.