가상자산 해킹은 여전히 지속적인 위협으로 남아 있으며, 지난 10년 중 4년(2018년, 2021년, 2022년, 2023년)에는 각각 10억 달러 이상의 가상자산 가 도난당했습니다. 2024년은 이 우려스러운 기록을 달성한 다섯 번째 해로, 가상자산 의 채택이 확대되고 가격이 상승함에 따라 도난당할 수 있는 금액도 함께 증가하고 있음을 여실히 보여줍니다.
2024년에는 도난당한 자금 규모가 전년 대비 약 21.07% 증가해 22억 달러를 기록했으며, 개별 해킹 사건 건수는 2023년 282건에서 2024년 303건으로 늘어났다.
흥미롭게도, 가상자산 해킹의 빈도는 올해 중반 무렵부터 변화를 보였습니다. 당사의 상반기 범죄 동향 보고서에서 언급했듯이, 2024년 1월부터 7월까지 누적 피해액은 이미 15억 8천만 달러에 달했으며, 이는 2023년 같은 기간의 피해액보다 약 84.4% 증가한 수치입니다. 아래 차트에서 볼 수 있듯이, 7월 말까지 이 생태계는 2021년과 2022년처럼 30억 달러를 넘어서는 실적을 기록할 수 있을 것으로 보였습니다. 그러나 2024년의 상승세는 7월 이후 상당히 둔화되었으며, 그 이후로는 비교적 안정적인 추세를 유지했습니다. 후술할 내용에서 이러한 변화의 잠재적인 지정학적 원인을 살펴보겠습니다.
피해 플랫폼 유형별 탈취 금액 측면에서 볼 때, 2024년에도 흥미로운 양상이 나타났습니다. 2021년부터 2023년까지 대부분의 분기 동안, 탈중앙화 금융(DeFi) 플랫폼은 ‘ 가상자산 ’ 해킹의 주요 표적이었습니다. DeFi 플랫폼의 개발자들이 보안 조치 구현보다 빠른 성장과 제품 출시를 우선시하는 경향이 있어 취약성이 더 컸을 가능성이 있으며, 이로 인해 해커들의 주요 표적이 된 것으로 보입니다.
2024년 1분기에는 탈취된 자산 중 DeFi가 여전히 가장 큰 비중을 차지했으나, 2분기와 3분기에는 중앙화 서비스가 가장 많은 공격 대상이 되었습니다. 가장 주목할 만한 중앙화 서비스 해킹 사례로는 DMM Bitcoin (2024년 5월, 3억 500만 달러)과 WazirX (2024년 7월, 2억 3,490만 달러) 등이 있습니다.
DeFi에서 중앙화 서비스로 초점이 이동함에 따라, 해킹 시 흔히 악용되는 개인 키와 같은 보안 메커니즘의 중요성이 더욱 부각되고 있습니다. 2024년 도난당한 가상자산 중 개인 키 유출이 43.8%로 가장 큰 비중을 차지했습니다. 중앙화된 서비스의 경우, 개인 키가 사용자 자산에 대한 접근 권한을 통제하기 때문에 개인 키의 보안을 확보하는 것이 매우 중요합니다. 중앙화된 거래소가 막대한 양의 사용자 자금을 관리하고 있다는 점을 고려할 때, 개인 키 유출이 초래할 수 있는 영향은 치명적일 수 있습니다. 지금까지 발생한 가장 큰 규모의 가상자산 해킹 사건 중 하나인 3억 5백만 달러 규모의 DMM 비트코인 해킹 사건을 살펴보면, 이는 개인 키의 부적절한 관리나 충분한 보안 조치의 부재로 인해 발생했을 가능성이 높습니다.
개인 키를 탈취한 후, 악의적인 행위자들은 종종 탈취한 자금을 탈중앙화 거래소(DEX), 채굴 서비스 또는 믹싱 서비스를 통해 우회시켜 거래 내역을 흐리게 하고 추적을 어렵게 만듦으로써 자금 세탁을 합니다. 2024년을 살펴보면, 개인 키 해커들의 자금 세탁 활동은 다른 공격 경로를 악용하는 해커들의 활동과 상당한 차이를 보입니다. 예를 들어, 개인 키를 탈취한 후 이 해커들은 주로 브리지와 믹싱 서비스를 이용했습니다. 반면 다른 공격 경로의 경우, 자금 세탁 수단으로는 DEX가 더 널리 사용되었습니다.
2024년 ‘ 가상자산 ’ 해킹 동향, 북한의 활동, 그리고 Hexagate이 의심스러운 해킹 행위를 선제적으로 탐지하기 위해 머신러닝 모델을 활용하는 방식에 대해 자세히 알아보려면 계속 읽어보세요. 이 기능은 최근 체이널리시스 에서 도입한 것입니다.
2024년, 북한 해커들은 가상자산 플랫폼에서 사상 최대 규모의 자금을 탈취했다.
북한과 연계된 해커들은 정교하고 끈질긴 해킹 기법으로 악명을 떨치고 있으며, 종종 첨단 악성코드, 사회공학 기법, 그리고 가상자산 를 통한 정보 탈취를 활용해 국가 주도의 작전에 자금을 조달하고 국제 제재를 회피하고 있습니다. 미국 및 국제 관계 당국자들은 평양이 탈취한 가상자산 를 대량살상무기 및 탄도미사일 프로그램에 자금을 조달하는 데 사용함으로써 국제 안보를 위협하고 있다고 평가하고 있습니다. 2023년, 북한과 연계된 해커들은 20건의 사건을 통해 약 6억 6,050만 달러를 탈취했으며, 2024년에는 47건의 사건을 통해 탈취한 금액이 13억 4,000만 달러로 증가하여 탈취 금액이 102.88% 증가했다. 이 수치는 해당 연도 전체 탈취 금액의 61%, 전체 사건 건수의 20%를 차지한다.
참고로, 작년 보고서에서는 북한이 20건의 해킹을 통해 10억 달러를 탈취했다고 밝힌 바 있습니다. 추가 조사 결과, 이전에 북한 소행으로 귀속시켰던 일부 대규모 해킹 사건들은 더 이상 북한과 관련이 없는 것으로 판단되어, 탈취 금액이 6억 6,050만 달러로 하향 조정되었습니다. 다만, 북한 소행으로 확인된 다른 소규모 해킹 사건들이 추가로 파악됨에 따라 사건 건수는 동일하게 유지됩니다. 저희는 새로운 온체인 및 오프체인 증거를 확보함에 따라 북한과 관련된 해킹 사건에 대한 평가를 지속적으로 재검토할 계획입니다.
안타깝게도 북한의 가상자산 공격이 점점 더 빈번해지고 있는 것으로 보입니다. 아래 차트에서는 익스플로잇 규모에 따른 북한의 성공적인 공격 간 평균 간격을 분석한 결과, 모든 규모의 공격이 전년 대비 감소한 것으로 나타났습니다. 특히, 5천만 달러에서 1억 달러 사이의 공격과 1억 달러 이상의 공격은 2023년에 비해 2024년에 훨씬 더 빈번하게 발생했는데, 이는 북한이 대규모 공격의 효율성과 속도를 높여가고 있음을 시사합니다. 이는 지난 2년 동안 북한의 공격으로 얻은 수익이 대부분 5천만 달러 미만이었던 것과는 극명한 대조를 이룹니다.
우리가 분석한 다른 모든 해킹 사례와 비교하여 북한의 활동을 살펴보면, 지난 3년 동안 대부분의 대규모 해킹 공격이 북한에 의해 지속적으로 자행되어 왔음이 분명합니다. 흥미롭게도, 2024년에도 북한이 해킹 공격의 최상위권을 장악하는 추세는 이어졌으나, 피해 규모가 상대적으로 작은 해킹 공격, 특히 피해액이 약 10,000달러 수준인 공격의 빈도도 점차 증가하고 있습니다.
이러한 사건 중 일부는 북한 IT 인력들과 관련이 있는 것으로 보입니다. 이들은 가상자산 및 Web3 에 속한 기업들에 점점 더 많이 침투하여 해당 기업의 네트워크, 운영 및 보안 무결성을 훼손하고 있습니다. 이 인력들은 접근 권한을 얻기 위해 가짜 신분, 제3자 채용 중개업체, 원격 근무 기회 악용 등 정교한 전술·기법·절차(TTPs)를 자주 사용합니다. 최근 한 사례에서 미국 법무부(DOJ)는 미국 기업에서 원격 IT 근로자로 취업한 후, 기밀 정보를 훔치고 고용주를 협박하여 8,800만 달러 이상을 편취한 북한 국적자 14명을 기소했다.
이러한 위험을 완화하기 위해 기업들은 신원 조회 및 신원 확인을 포함한 철저한 채용 실사를 최우선으로 삼아야 하며, 해당되는 경우 핵심 자산을 보호하기 위해 강력한 개인 키 관리 체계를 유지해야 합니다.
이러한 모든 추세가 올해 북한의 활동이 매우 활발했음을 시사하지만, 앞서 제시한 이 차트에서 볼 수 있듯이 북한의 활동 대부분은 연초에 집중되었으며, 3분기와 4분기에는 전반적인 해킹 활동이 주춤한 모습을 보였습니다.
2024년 6월 말, 블라디미르 푸틴 러시아 대통령과 김정은 북한 지도자는 평양에서 정상회담을 열고 상호방위협정을 체결했다. 올해 들어 양국의 동맹 관계가 강화되는 가운데, 러시아는 유엔 안전보장이사회(UNSC) 제재로 인해 컴플라이언스 에 동결되어 있던 수백만 달러 규모의 북한 자산을 해제했다. 한편, 북한은 우크라이나에 병력을 파견하고 러시아에 탄도미사일을 공급했으며, 모스크바 측에 첨단 우주·미사일·잠수함 기술을 요청한 것으로 알려졌다.
2024년 7월 1일 이전과 이후의 북한 해킹 공격으로 인한 일일 평균 손실액을 비교해 보면, 탈취된 금액이 크게 감소한 것을 확인할 수 있습니다. 구체적으로, 아래 차트에서 볼 수 있듯이, 정상회담 이후 북한의 탈취 금액은 약 53.73% 감소한 반면, 북한 이외의 탈취 금액은 약 5% 증가했다. 따라서 최근 몇 년간 러시아와의 협력을 획기적으로 강화해 온 북한이 우크라이나 분쟁에 군사 자원을 재배치한 것 외에도, 사이버 범죄 활동 방식도 변경했을 가능성이 있다.
2024년 7월 1일 이후 북한이 탈취한 자금의 감소 추세는 분명하며, 그 시기도 눈에 띄지만, 이러한 감소가 반드시 푸틴의 평양 방문과 관련이 있는 것은 아니라는 점을 유의해야 한다. 또한, 12월에 발생할 몇 가지 사건들로 인해 연말까지 이러한 추세가 바뀔 수 있으며, 공격자들은 종종 연휴 기간에 공격을 감행하기도 한다.
사례 연구: 북한의 DMM 비트코인 해킹 사건
2024년에 발생한 북한과 관련된 해킹 사건 중 주목할 만한 사례로는 일본의 가상자산 거래소인 DMM 비트코인이 있다. 이 거래소는 보안 침해 사고로 인해 당시 가치로 3억 500만 달러에 달하는 약 4,502.9 비트코인을 잃었다. 공격자들은 DMM이 사용하는 인프라의 취약점을 노려 무단 인출을 일으켰다. 이에 DMM은 그룹 계열사의 지원을 받아 동등한 규모의 자금을 조달함으로써 고객 예치금을 전액 보상했다.
우리는 초기 공격 이후 온체인 자금 흐름을 분석할 수 있었으며, 이를 아래 두 개의 체이널리시스 Reactor 그래프로 정리했습니다. 첫 번째 단계에서 공격자는 수백만 달러 상당의 가상자산 를 DMM Bitcoin에서 여러 중개 주소로 이동시킨 후, 최종적으로 비트코인 코인조인(CoinJoin) 믹싱 서비스로 보냈음을 확인할 수 있습니다.
비트코인 코인조인(CoinJoin) 믹싱 서비스를 통해 탈취한 자금을 성공적으로 세탁한 후, 공격자들은 자금의 일부를 여러 브리징 서비스를 거쳐 최종적으로 ‘후이원 Guarantee’로 이체했는데, 이곳은 캄보디아의 대기업인 ‘ 후이원 Group’과 연계된 온라인 마켓플레이스로, 이전에 사이버 범죄 조장에 핵심적인 역할을 한 것으로 밝혀진 바 있다.
이번 보안 침해 사고의 규모와 그에 따른 운영상의 어려움으로 인해 DMM은 2024년 12월 거래소 운영을 중단하기로 결정했습니다. DMM 비트코인은 자사의 자산과 고객 계좌를 일본 금융 대기업인 SBI 그룹의 자회사인 SBI VC 트레이드로 이전했으며, 이 전환 작업은 2025년 3월까지 완료될 예정입니다. 다행히도, 다음 섹션에서 살펴보게 될 것처럼 새롭게 등장하는 도구와 예측 기술들은 이러한 치명적인 해킹 사고가 발생하기 전에 이를 잠재적으로 예방할 수 있는 길을 열어주고 있습니다.
예측 모델을 활용하여 해킹을 저지하다
첨단 예측 기술은 잠재적 위험과 위협을 실시간으로 탐지함으로써 사이버 보안을 혁신하고 있으며, 디지털 생태계를 보호하기 위한 ‘ 선제적 ’ 접근 방식을 제시하고 있습니다. 체이널리시스 최근 인수된 Hexagate는 사이버 악용, 해킹, 거버넌스 및 재무적 위험을 포함한 위협을 탐지하고 완화하는 ‘Web3 ’ 보안 솔루션 분야의 선도적인 공급업체입니다. Hexagate의 고객들은 잠재적 위협에 대한 실시간 알림과 자동화된 대응을 바탕으로 온체인 조치를 취함으로써 이미 10억 달러 이상의 고객 자금을 보호했습니다.
Hexagate 독자적인 탐지 기술과 머신러닝 모델을 활용하여 블록체인 네트워크 전반에서 비정상적인 거래 및 악의적인 활동을 실시간으로 선제적으로 예측하고 탐지합니다. Hexagate의 시스템은 스마트 계약과 거래를 지속적으로 스캔함으로써, 재정적 손실을 초래하기 전에 의심스러운 패턴과 잠재적인 위험 및 위협을 식별합니다. 아래에서 탈중앙화 유동성 공급자(DLP)인 UwU Lend와 관련된 사례를 살펴보겠습니다.
2024년 6월 10일, 한 공격자가 UwU Lend의 가격 오라클 시스템을 조작하여 약 2,000만 달러를 탈취했습니다. 공격자는 플래시 론 공격을 감행해 여러 오라클에서 Ethena Staked USDe(sUSDe)의 가격을 조작함으로써 잘못된 가치 산정을 유발했습니다. 그 결과, 공격자는 7분 만에 수백만 달러를 대출받을 수 있었습니다. Hexagate은 이 공격용 계약과 유사한 배포 사례를 악용이 발생하기 약 이틀 전에 탐지했습니다.
이 공격 계약은 익스플로잇이 발생하기 이틀 전에 실시간으로 정확하게 탐지되었지만, 계약의 설계상 익스플로잇된 계약과의 연관성이 즉시 드러나지는 않았습니다. Hexagate의 보안 오라클과 같은 추가 도구를 활용했다면, 이러한 조기 탐지 결과를 더욱 효과적으로 활용하여 위협을 완화할 수 있었을 것입니다. 특히, 820만 달러의 손실을 초래한 첫 번째 공격은 후속 공격이 발생하기 불과 몇 분 전에 일어났으며, 이는 또 다른 중요한 신호로 작용했습니다.
대규모 온체인 공격이 발생하기 전에 발령되는 이러한 유형의 경보는 업계 관계자들의 보안 체계를 혁신적으로 변화시킬 잠재력을 지니고 있으며, 이를 통해 관계자들은 해킹 사고에 대응하는 대신 막대한 손실을 초래하는 해킹을 아예 예방할 수 있게 될 것입니다.
아래 체이널리시스 Reactor 아래 그래프에서 볼 수 있듯이, 공격자는 훔친 자금을 OFAC 제재 대상인 이더리움 스마트 계약 믹서인 ‘토네이도 캐시( Tornado Cash)’로 이체하기 전에 두 개의 중개 주소를 통해 자금을 이동시켰습니다.
Reactor 사용자이신가요? 이 그래프를 직접 확인해 보세요 여기에서
그러나 단순히 이러한 예측 모델에 접근할 수 있다고 해서 해킹을 반드시 막을 수 있는 것은 아니라는 점을 유의해야 합니다. 프로토콜이 항상 효과적으로 대응할 수 있는 적절한 도구를 갖추고 있는 것은 아니기 때문입니다.
가상자산 보안 강화의 필요성
2024년 가상자산 도난 사건의 증가는 업계가 점점 더 복잡해지고 진화하는 위협 환경에 대응해야 할 필요성을 여실히 보여줍니다. 가상자산 도난 규모는 아직 2021년과 2022년 수준까지 회복되지는 않았지만, 앞서 설명한 재발 현상은 기존 보안 조치의 취약점을 드러내며 새로운 공격 기법에 적응하는 것이 얼마나 중요한지 강조합니다. 이러한 과제를 효과적으로 해결하기 위해서는 공공 부문과 민간 부문 간의 협력적 접근이 필수적입니다. 데이터 공유 이니셔티브, 실시간 보안 솔루션, 첨단 추적 도구, 맞춤형 교육 등을 통해 이해관계자들은 악의적인 행위자를 신속하게 식별하고 무력화할 수 있을 뿐만 아니라, 가상자산 자산을 보호하는 데 필요한 회복탄력성을 구축할 수 있습니다.
또한, 가상자산 규제 체계가 지속적으로 발전함에 따라 플랫폼 보안 및 고객 자산 보호에 대한 감시가 더욱 강화될 것으로 보입니다. 업계의 모범 사례는 이러한 변화에 발맞춰 예방과 책임성을 모두 보장해야 합니다. 법 집행 기관과의 협력 관계를 더욱 공고히 하고, 신속한 대응이 가능하도록 팀에 필요한 자원과 전문 지식을 갖추게 함으로써, 가상자산 업계는 도난에 대한 방어 체계를 강화할 수 있습니다. 이러한 노력은 개인의 자산을 보호하는 데 그치지 않고, 디지털 생태계 내에서 장기적인 신뢰와 안정성을 구축하는 데에도 매우 중요합니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
