지난 몇 년간, 가상자산 해킹은 만연하고도 막강한 위협으로 대두되어, 가상자산 플랫폼에서 수십억 달러가 탈취되는 결과를 초래했으며 생태계 전반에 걸친 취약점을 드러냈습니다. 저희가 작년 ‘ 가상자산 Crime Report’에서 밝힌 바와 같이, 2022년은 37억 달러가 탈취된 사상 최대 규모의 가상자산 도난 사건이 발생한 해였습니다. 그러나 2023년에는 탈취된 자금이 약 54.3% 감소한 17억 달러를 기록했으나, 개별 해킹 사건의 수는 2022년 219건에서 2023년 231건으로 실제로 증가했습니다.
도난당한 자금이 왜 이렇게 크게 감소했을까요? 주로 디파이(DeFi) 해킹 사건이 줄어들었기 때문입니다. 2021년과 2022년에 가상자산 에서 도난당한 금액이 급증한 주된 원인은 디파이 프로토콜 해킹이었으며, 2022년에는 사이버 범죄자들이 디파이 해킹을 통해 31억 달러 이상을 훔쳐갔습니다. 그러나 2023년에는 해커들이 DeFi 프로토콜에서 11억 달러만을 탈취했습니다. 이는 전년 대비 DeFi 플랫폼에서 탈취된 총 금액이 63.7% 감소한 수치입니다. 또한 아래 차트에서 볼 수 있듯이, 2023년에는 전체 탈취 자금 중 DeFi 프로토콜 피해자가 차지하는 비중도 크게 감소했습니다.
DeFi 해킹 사건이 감소한 가능한 원인에 대해서는 나중에 더 자세히 살펴보겠습니다. 이러한 감소세에도 불구하고, 2023년 한 해 동안 주목할 만한 DeFi 프로토콜을 대상으로 한 대규모 해킹 사건이 여전히 몇 건 발생했습니다. 예를 들어, 3월에는 이더리움 기반의 대출 및 차입 프로토콜인 ‘Euler Finance’는 플래시 론 공격을 받아 약 1억 9,700만 달러의 손실을 입었습니다. 2023년 7월에는 한 달 중 가장 많은 33건의 해킹 사건이 발생했는데, 여기에는 커브 파이낸스(Curve Finance)에서 7,350만 달러가 탈취된 사건도 포함되었습니다. 아래에서 이러한 해킹 사건들로 인한 급증세를 확인할 수 있습니다.
마찬가지로, 2023년 9월과 11월에는 DeFi 및 CeFi 플랫폼에서 여러 건의 대규모 해킹 사건이 발생했습니다: 믹신 네트워크 ($2억), CoinEx (4,300만 달러), 폴로니엑스 거래소 ($1억 3,000만), HTX ($113.3 million), 그리고 카이버 네트워크 ($5,470만).
2023년 ‘ 가상자산 ’ 해킹 동향에 대해 더 자세히 알아보려면 계속 읽어보세요. 특히 북한과 연계된 사이버 범죄자들이 역대 가장 활발한 활동을 펼치며, 그 어느 때보다 많은 개별 ‘ 가상자산 ’ 해킹을 실행한 내용도 포함되어 있습니다.
DeFi에 영향을 미치는 공격 경로는 정교하고 다양합니다.
2021년과 2022년에는 디파이(DeFi) 해킹 사건이 급증했으며, 공격자들은 각 해킹 사건에서 프로토콜로부터 약 25억 달러와 31억 달러를 탈취했습니다. 저희 파트너사인 HalbornWeb3 의 수석 보안 아키텍트 겸 연구원인 마르 기메네즈-아길라르는, 그 기간 동안 DeFi 해킹이 증가한 배경에 대해 자세히 설명해 주었습니다. “DeFi 생태계 내에서 공격의 빈도와 심각성이 모두 증가하는 우려스러운 추세가 나타나고 있습니다,”라고 그녀는 설명했습니다. “저희가 상위 50개 디파이 해킹 사건에 대한 포괄적인 분석을 통해, EVM 기반 체인과 솔라나(Solana)가 가장 많이 표적이 되는 체인 중 하나라는 사실을 확인했습니다. 이는 주로 이 체인들의 인기와 스마트 계약을 실행할 수 있는 능력 때문이었습니다.” 이 추세를 작년에, 보안 전문가들은 많은 DeFi 취약점이 프로토콜 운영자들이 성장에만 주로 집중하고, 견고한 보안 시스템의 구축 및 유지 관리에는 충분한 노력을 기울이지 않았기 때문에 발생했다고 우리에게 전했습니다.
그러나 디파이(DeFi)가 웹3.0( 가상자산 ) 경제의 핵심 분야로 부상한 이래 처음으로, 디파이 프로토콜에서 도난당한 연간 총액이 감소했으며, 그 감소폭도 상당했다.
2023년 디파이(DeFi) 해킹으로 인한 손실액은 전년 대비 63.7% 감소했으며, 디파이 해킹 건당 손실 중위값은 7.4% 하락했다. 또한, 2023년 개별 디파이 프로토콜( 가상자산 ) 해킹 건수는 증가했으나, 디파이 해킹 건수 자체는 17.2% 감소했다.
이러한 추세를 더 잘 이해하기 위해, 당사는 Halborn과 협력하여 해커들이 활용한 구체적인 공격 경로를 중심으로 2023년 DeFi 해킹 활동을 분석했습니다.
DeFi 환경 내 공격 경로의 분류 및 분석
DeFi에 영향을 미치는 공격 경로는 다양하며 끊임없이 진화하고 있습니다. 따라서 해킹이 어떻게 발생하는지, 그리고 프로토콜이 향후 해킹 발생 가능성을 어떻게 줄일 수 있을지 이해하기 위해서는 이러한 공격 경로를 분류하는 것이 중요합니다. Halborn에 따르면, DeFi 공격 경로는 다음 두 가지 범주 중 하나로 분류될 수 있습니다: 온체인에서 비롯된 공격 경로 온체인 에서 비롯된 공격 경로와 오프체인로 구분할 수 있습니다.
온체인 공격 경로는 블록체인 자체에 내재된 취약점에서 비롯되는 것이 아니라, 스마트 계약과 같은 DeFi 프로토콜의 온체인 구성 요소에 존재하는 취약점에서 비롯됩니다. 중앙화된 서비스는 DeFi 프로토콜과 달리 코드가 공개된 탈중앙화 앱으로 작동하지 않기 때문에, 이러한 취약점은 중앙화된 서비스의 경우 우려할 만한 문제가 아닙니다. 오프체인 공격 경로는 블록체인 외부의 취약점에서 비롯됩니다. 예를 들어, 결함이 있는 클라우드 스토리지 솔루션에 개인 키를 오프체인으로 저장하는 경우가 이에 해당하며, 따라서 이는 DeFi 프로토콜과 중앙 집중형 서비스 모두에 적용됩니다.
| 해킹 공격 경로 하위 범주 | 정의 | 온체인 또는 오프체인 |
| 프로토콜 악용 | 공격자가 검증자 노드, 프로토콜의 가상 머신 또는 채굴 계층과 관련된 취약점을 비롯한 프로토콜의 블록체인 구성 요소 내 취약점을 악용할 때. | 온체인 |
| 내부자 공격 | 프로토콜 내부에서 활동하는 공격자(예: 악의적인 개발자)가 특권 키나 기타 개인 정보를 이용해 자금을 직접 탈취하는 경우. | 오프체인 |
| 피싱 | 공격자가 합법적인 프로토콜을 사칭하는 등의 방법으로 사용자를 속여 권한에 서명하게 만들면, 공격자는 사용자를 대신해 토큰을 사용할 수 있게 됩니다. 또한 공격자가 사용자를 속여 악성 스마트 계약으로 직접 자금을 전송하게 만드는 경우 피싱이 발생할 수도 있습니다. | 오프체인 |
| 전염 | 공격자가 다른 프로토콜의 해킹으로 인해 발생한 취약점을 악용하여 특정 프로토콜을 공격하는 경우를 말합니다. ‘전염(Contagion)’에는 다른 프로토콜의 해킹과 밀접한 관련이 있는 해킹도 포함됩니다. | 온체인 |
| 해킹당한 서버 | 공격자가 특정 프로토콜이 관리하는 서버를 장악하여, 해당 프로토콜의 정상적인 업무 흐름을 방해하거나 향후 프로토콜을 더욱 악용할 수 있는 정보를 입수하는 경우. | 오프체인 |
| 지갑 해킹 | 공격자가 수탁/지갑 서비스를 제공하는 프로토콜을 악용하여, 그 결과 지갑 운영에 관한 정보를 입수하는 경우. | 오프체인 |
| 가격 조작 해킹 | 공격자가 스마트 계약의 취약점을 악용하거나 정확한 자산 가격을 반영하지 않는 결함이 있는 오라클을 이용하여 디지털 토큰의 가격 조작을 조장하는 경우. | 온체인 |
| 스마트 계약 악용 | 공격자가 스마트 계약 코드의 취약점을 악용할 경우, 일반적으로 프로토콜의 다양한 제어 메커니즘과 토큰 전송 기능에 대한 직접적인 접근 권한을 얻게 됩니다. | 온체인 |
| 유출된 개인 키 | 공격자가 사용자의 개인 키에 접근하게 되는 경우, 이는 예를 들어 정보 유출이나 오프체인 소프트웨어의 오류 등을 통해 발생할 수 있습니다. | 오프체인 |
| 거버넌스 공격 | 공격자가 분산형 거버넌스 구조를 갖춘 블록체인 프로젝트에서 충분한 영향력이나 의결권을 확보하여 악의적인 제안을 통과시키는 경우. | 온체인 |
| 제3자 정보 유출 | 공격자가 프로토콜이 사용하는 오프체인 제3자 프로그램에 접근권을 확보하면, 이 프로그램은 나중에 악용에 활용될 수 있는 정보를 제공하게 됩니다. | 오프체인 |
| 기타 | 해당 공격이 앞서 언급된 범주 중 어느 것에도 해당하지 않거나, 이를 적절히 분류하기에 정보가 충분하지 않은 경우입니다. | 온체인/오프체인 |
출처: Halborn
기메네스-아길라르에 따르면, 온체인 및 오프체인 취약점 모두 심각한 우려 사항으로 지적된다. “역사적으로 DeFi 해킹 사건의 대부분은 스마트 계약의 설계 및 구현상의 취약점에서 비롯되었습니다. 우리가 조사한 피해 계약 중 상당수는 감사를 전혀 받지 않았거나 부실하게 감사받은 상태였습니다,”라고 그녀는 온체인 취약점에 대해 설명하며 말했다. “또 다른 주목할 만한 추세는 개인 키 유출로 인한 공격이 증가하고 있다는 점인데, 이는 특정 블록체인 외부에서의 보안 관행 개선이 얼마나 중요한지를 여실히 보여줍니다.”
실제로 데이터에 따르면, 기메네스-아길라르가 언급한 온체인 및 오프체인 취약점들—특히 개인 키 유출, 가격 조작 해킹, 스마트 계약 악용—이 2023년 해킹으로 인한 손실을 초래한 것으로 나타났습니다.
출처: Halborn
전반적으로 2023년 디파이(DeFi) 해킹 사건의 대부분은 온체인 취약점으로 인해 발생했으나, 아래 차트에서 볼 수 있듯이 연중 추이가 달라져 3분기와 4분기에는 유출된 개인 키로 인한 해킹이 전체 해킹 사건에서 더 큰 비중을 차지했습니다.
출처: Halborn
해킹 사례별로 살펴보면, 전염에 기인한 해킹(온체인)이 가장 큰 피해를 입혔으며, 손실 중위값은 140만 달러였다. 그 다음으로는 거버넌스 공격(온체인), 내부자 공격(오프체인), 개인 키 유출(오프체인)이 뒤를 이었으며, 이 세 가지 모두 해킹으로 인한 손실 중위값이 약 100만 달러를 기록했다.
출처: Halborn
하지만 전반적으로 볼 때, 이 데이터는 낙관할 만한 근거를 제시합니다. 2023년 한 해 동안 디파이(DeFi)에서 탈취된 총 금액이 감소했고, 온체인 취약점을 악용한 해킹 건수도 상대적으로 줄어든 점은 디파이 운영자들이 스마트 계약 보안 관리에 점점 더 능숙해지고 있음을 시사합니다. “저는 DeFi 프로토콜의 보안 조치 강화가 스마트 계약 취약점과 관련된 해킹 건수 감소의 핵심 요인이라고 생각합니다. 올해 손실액 기준 상위 50개 해킹 사례를 이전 연도 사례( 할본(Halborn)의 ‘해킹 상위 50건 보고서’에서 분석된) 사례와 비교해 보면, 손실액 중 취약점 공격이 차지하는 비율이 전체의 47.0%에서 18.2%로 감소했습니다. 그럼에도 불구하고 가격 조작 공격은 전체 손실액의 약 20.0%를 차지하며 거의 변함없는 수준을 유지하고 있습니다. 이는 프로토콜이 감사를 수행할 때 전체 DeFi 생태계와의 상호작용 방식도 고려해야 함을 시사합니다,”라고 기메네즈-아길라르는 말했습니다. 그러나 그녀는 또한 개인 키 유출과 같은 공격 경로로 인한 해킹 증가가 DeFi 운영자들이 스마트 계약 보안을 넘어 오프체인 취약점도 해결해야 함을 시사한다고 강조했다. “앞서와 동일한 비교를 해보면, 개인 키 유출과 관련된 손실 비율은 22.0%에서 47.8%로 증가했다.” 위에서 볼 수 있듯이, 온체인 및 오프체인 취약점 모두 매우 파괴적일 수 있다.
그러나 기메네스-아길라르는 디파이 해킹으로 인한 손실 감소가 2023년 디파이 활동의 전반적인 감소에 부분적으로 기인했을 수 있음을 인정했다. 이는 단순히 해커들의 주요 표적이 될 만한 디파이 프로토콜의 수가 줄어든 결과일 수도 있다. DeFi 프로토콜에 보유되거나 스테이킹된 총 가치를 나타내는 총 잠금 가치(TVL)는 2022년 중반 급격히 감소한 데 이어 2023년 한 해 동안 지속적으로 하락세를 보였다.
출처: DeFiLlama
디파이(DeFi) 해킹 사건의 감소가 주로 보안 관행의 개선 때문인지, 아니면 전반적인 디파이 활동의 감소 때문인지 단정할 수는 없지만, 아마도 두 가지 요인이 복합적으로 작용한 결과일 가능성이 높습니다. 하지만 해킹 사건의 감소가 주로 전체 활동 감소에 기인한 것이라면, 향후 또 다른 디파이 강세장과 함께 디파이 해킹이 다시 증가할지 여부를 주시하는 것이 중요할 것입니다. 이는 TVL(총 예치 자산) 증가로 이어져, 해커들이 노릴 수 있는 디파이 자금 풀이 더 커지게 될 것이기 때문입니다.
어쨌든, DeFi 운영자들은 보안을 강화하기 위해 취해야 할 조치들이 있습니다. 온체인 장애에 취약한 DeFi 프로토콜은 경제적 위험 및 과거 플랫폼 손실과 관련된 온체인 활동을 모니터링하는 시스템을 개발할 수 있습니다. 다음과 같은 기업들, 예를 들어 Hypernative 이나 Hexagate와 같은 기업들은 사이버 공격을 예방하고 대응하기 위한 맞춤형 경보 시스템을 제공하며, 이는 플랫폼이 브리지와 같은 제3자 서비스와의 연동을 보다 안전하게 보호하고, 위험에 처할 수 있는 고객들과 소통하는 데 도움이 될 수 있습니다. 오프체인 장애에 취약한 플랫폼은 중앙화된 제품 및 서비스에 대한 의존도를 줄이는 데 주력해야 합니다.
북한은 2023년에 역대 최다 규모의 ‘ 가상자산 ’ 플랫폼을 해킹했으나, 총 탈취량은 2022년보다 적었다.
지난 몇 년간 북한과 연계된 해킹 사건이 증가하고 있으며, 다음과 같은 사이버 첩보 단체들이 활동하고 있다. 킴수키 와 라자루스 그룹과 같은 사이버 첩보 단체들이 와 같은 사이버 스파이 조직들이 다양한 악성 전술을 동원해 막대한 양의 가상자산 자산을 탈취해 왔습니다. 2022년에는 북한과 연관된 해커들이 탈취한 가상자산 의 규모가 약 17억 달러로 사상 최고치를 기록했습니다. 2023년에는 탈취된 총액이 10억 달러를 약간 상회할 것으로 추정되지만, 아래에서 볼 수 있듯이 해킹 건수는 20건으로 증가하여 사상 최고치를 기록했습니다.
우리는 2023년에 북한과 연계된 해커들이 디파이(DeFi) 플랫폼에서 약 4억 2,880만 달러를 탈취한 것으로 추정하며, 이 외에도 중앙화 서비스(1억 5,000만 달러 탈취), 거래소(3억 3,090만 달러), 지갑 제공업체(1억 2,700만 달러)도 공격 대상으로 삼은 것으로 파악됩니다.
2023년에는 앞서 언급한 디파이 해킹 사건의 전반적인 감소 추이와 마찬가지로, 북한이 디파이 프로토콜을 표적으로 삼는 사례가 눈에 띄게 줄어들었습니다.
사례 연구: 북한의 ‘아토믹 월렛’ 해킹 사건
2023년 6월, Atomic Wallet인 비수탁형 가상자산 지갑 서비스의 수천 명의 사용자가 해커의 표적이 되어, 약 1억 2,900만 달러의 손실이 발생한 것으로 추정됩니다. 이후 FBI는 이 공격을 북한과 연계된 해킹 그룹 ‘트레이더트레이터(TraderTraitor)’의 소행으로 지목했으며, 아토믹 월렛 공격은 그 달 말 알파포(Alphapo)와 코인스페이드(Coinspaid) 공격 등 일련의 유사한 공격 중 첫 번째 사례였다고 밝혔습니다. 공격이 어떻게 발생했는지에 대한 구체적인 내용은 여전히 불분명하지만, 저희는 온체인 분석을 통해 초기 공격 이후 자금이 어떻게 이동했는지 조사했으며, 이를 네 단계로 나누어 살펴보았습니다.
첫 번째 단계에서 공격자는 체인 호핑을 통해 — 일반적으로 불법적으로 취득한 자금의 흐름을 은폐하기 위해 자산을 한 블록체인에서 다른 블록체인으로 이동시키는 행위 — 다음 세 가지 방법을 통해 비트코인 블록체인으로 이동했습니다:
- 중앙화된 거래소로 자금을 송금하는 경우. 자금이 중앙화된 서비스로 이동한 후에는 온체인에서 더 이상 자금을 추적할 수 없지만, 이번 사건의 경우, 당사가 정기적으로 협력하는 다른 신뢰할 수 있는 정보원들로부터 정보를 수집한 결과, Atomic Wallet에서 도난당한 자금이 중앙화된 거래소에서 비트코인으로 전환된 사실을 파악했습니다.
- 비트코인 블록체인으로 이동될 수 있는 크로스체인 브릿지로 자금을 송금하는 것.
- 자금을 랩피드 이더(wETH) 계약으로 송금한 다음, 아발란치 브릿지를 통해 비트코인 블록체인으로 이동합니다.
아래 체이널리시스 Reactor 아래 그래프는 도난당한 자금(당시 이더)이 여러 중개 주소를 거쳐 아발란치 브릿지에 도달한 후 비트코인으로 전환된 세 번째 경로를 보여줍니다.
두 번째 단계에서 공격자는 탈취한 자금을 OFAC의 제재 대상인 ‘신바드(Sinbad)’로 자금을 송금했습니다. 이 믹싱 서비스는 온체인 거래 내역을 숨겨주며, 과거 북한 자금 세탁자들이 사용한 바 있습니다. 그 후, 공격자는 신바드에서 자금을 인출하여 비트코인의 통합 주소로 이동시켰습니다.
3단계에 들어서자, 공격자의 자금 세탁 전략은 비트코인 블록체인이 아닌 트론 블록체인에 거의 전적으로 집중하는 방향으로 전환되었습니다. 공격자는 다음 방법 중 하나를 통해 트론 블록체인으로 체인 호핑을 수행했습니다:
- Avalanche Bridge를 통해 Avalanche로 자금을 송금하면, 해당 자금은 Tron 블록체인으로 이동될 수 있습니다.
- 중앙화된 서비스로 자금을 송금한 다음, 이를 트론(Tron) 블록체인으로 이체합니다.
- 자금 흐름을 더욱 모호하게 만들기 위해 추가적인 믹서나 개인정보 보호 서비스를 통해 자금을 송금한 뒤, 이를 트론(Tron) 블록체인으로 이동시킵니다.
네 번째이자 마지막 단계에서 공격자는 트론(Tron) 블록체인의 다양한 서비스에 자금을 입금했습니다. 이 자금 중 일부는 트론의 ‘JustWrapper Shielded Pool’을 통해 혼합되었으며, 나머지 자금은 장외 거래자들의 것으로 의심되는 거래량이 많은 트론 주소들로 최종적으로 전송되었습니다.
추가적인 온체인 분석 결과, Atomic에서 탈취된 자금이 다른 출처의 자산과 합쳐진 뒤 다른 곳으로 이동한 것으로 드러났으며, 이는 이후 발생한 Alphapo 및 Coinspaid 해킹 사건과 관련이 있을 가능성이 높습니다.
가상자산 해킹의 미래
2023년 가상자산 플랫폼에서 도난당한 총 금액은 전년 대비 크게 감소했지만, 공격자들의 수법이 점점 더 정교해지고 다양해지고 있음은 분명합니다. 다행인 점은 가상자산 플랫폼 역시 보안 체계와 공격 대응 능력이 점점 더 정교해지고 있다는 것입니다.
가상자산 플랫폼들이 악용 사례가 발생한 후 신속하게 대응한다면, 법 집행 기관은 동결된 자금이 있는 거래소에 연락하여 압류를 개시하고, 자금이 유입된 경로를 통해 관련 서비스에 연락하여 계좌 및 사용자에 대한 정보를 수집하는 데 더 유리한 입장에 설 수 있을 것입니다. 시간이 지남에 따라 이러한 절차가 개선됨에 따라, 가상자산 해킹으로 도난당한 자금의 규모는 계속해서 감소할 것으로 보입니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융, 투자, 규제 또는 기타 전문적인 조언을 제공하기 위한 것이 아니며, 전문적인 의견으로 간주되어서는 안 됩니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상의해야 합니다. 체이널리시스 본 자료에 포함된 정보의 정확성, 완전성, 적시성, 적합성 또는 유효성을 보장하거나 보증하지 않습니다. 체이널리시스 본 자료의 수신자가 본 자료를 사용하는 것과 관련하여 내린 결정이나 기타 행위 또는 부작위에 대해 어떠한 책임이나 의무도 지지 않습니다.
