이 블로그는 체이널리시스 2020년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 문서를 다운로드하려면 전체 문서를 다운로드하세요!
2019년에는 그 어느 해보다 많은 거래소( 가상자산 ) 해킹 사건이 발생했습니다. 하지만 올해 발생한 11건의 공격 중 어느 것도 작년 5억 3,400만 달러 규모의 코인체크(Coincheck) 해킹이나 2014년 4억 7,300만 달러 규모의 마운트곡스(Mt. Gox) 해킹과 같은 대규모 해킹 사건의 규모에 근접하지는 못했습니다. 따라서 공격 건수는 증가했음에도 불구하고, 거래소에서 도난당한 총 금액은 2억 8,300만 달러 상당의 비트코인( 가상자산 )으로 급격히 감소했습니다.
언론이나 그 밖의 다른 출처에서는 서로 다른 수치를 보도할 수도 있으므로, 저희가 2019년 거래소 공격 건수를 최종적으로 2019건으로 집계하게 된 경위를 설명드리겠습니다:
- 우리는 기술적 취약점을 악용한 해킹 사례와 사회공학 또는 기타 기만 수단을 통해 수행된 공격 사례를 모두 집계했습니다. (용어에 대한 참고: 모든 해킹은 공격이지만, 모든 공격이 해킹인 것은 아닙니다. ‘해킹’은 악의적인 행위자가 소프트웨어의 기술적 취약점을 악용하는 경우를 구체적으로 지칭하는 반면, ‘공격’에는 피해자를 속여 악성 소프트웨어를 다운로드하게 만드는 피싱 공격과 같이 기술적으로 덜 정교한 다른 행위들도 포함될 수 있습니다.)
- 우리는 악의적인 행위자들이 거래소에 속한 자금을 접근할 수 있게 한 공격만 집계했으며, 결제 처리업체, 지갑 제공업체, 투자 플랫폼 또는 기타 유형의 서비스에 대한 공격은 포함하지 않았습니다.
- 우리는 거래소 출금 사기나, Synthetix 사용자가 가격 불일치로 인해 잘못된 거래를 통해 10억 달러 이상의 순이익을 올릴 뻔했던 사례와 같이 사용자가 거래소의 오류를 악용한 사례는 집계 대상에서 제외했습니다.
- 우리는 도난당한 금액이 측정되었고 여러 출처를 통해 공개적으로 확인된 공격 사례만 포함했습니다. 즉, 거래소의 사용자 데이터가 유출되었으나 암호화폐( 가상자산 )가 도난당하지 않은 사건은 포함하지 않았습니다. 또한, 당사에 비공개로 보고된 해킹 사건도 제외했으나, 이러한 사건을 포함하더라도 여기서 분석하는 데이터에 큰 왜곡을 초래하지는 않을 것이라고 확신합니다.
이러한 제약 조건 하에서, 우리가 포함하지 않은 해킹 사건의 거의 대부분은 규모가 작은 거래소에서 발생한 것으로, 해킹당한 가상자산 의 금액도 비교적 적었습니다. 따라서 거래소 해킹으로 인한 총 피해액에 대한 우리의 추산치는 하한선에 가깝겠지만, 실제 총액과는 크게 다르지 않을 것으로 보입니다.
2019년 거래소 공격 현황 분석
코인베네(Coinbene)에서 도난당한 1억 500만 달러를 초과하는 해킹 사건이 없었기 때문에, 2019년에는 해킹당 평균 및 중앙값 피해액이 이전 3년 동안 매년 증가했던 것과 달리 크게 감소했습니다. 2018년의 모든 해킹 사례와 비교했을 때, 2019년에 우리가 관찰한 해킹 사건 중 1,000만 달러 이상을 탈취한 사례는 54%에 불과했다. 개별 해킹 사건의 수가 증가한 점은 우려할 만하지만, 이 데이터는 거래소들이 한 명의 해커가 입힐 수 있는 피해를 제한하는 데 더 능숙해졌음을 시사한다.
테러 공격이 발생한 후 자금은 어디로 흘러가는가?
블록체인 분석을 활용하면 해킹으로 탈취된 자금의 이동 경로를 분석하여 해커들이 자금을 어떻게 현금화하는지 파악할 수 있습니다. 아래에서는 거래소 공격으로 탈취된 자금의 가장 흔한 유입처를 연도별로 분류하여 보여줍니다.
거래소 해킹 사건에서 탈취된 자금의 대부분은 결국 다른 거래소로 송금되어 현금으로 전환될 가능성이 높습니다. 하지만 상당량의 자금은 수년 동안이나 사용되지 않은 채 방치되기도 합니다. 이러한 경우, 법 집행 기관이 도난 자금을 압수할 기회가 여전히 있을 수 있습니다. 또한 나중에 살펴보겠지만, 도난당한 전체 자금 중 소수이긴 하지만 상당한 비중을 차지하며(2019년에는 그 비중이 증가하는 추세인) 일부 자금은 불법적인 출처를 숨기기 위해 제3자 믹서나 코인조인(CoinJoin) 지갑을 통해 전달됩니다. 다만, 위 차트에 표시된 믹싱된 자금은 믹싱이 완료된 후의 최종 목적지에 따라 분류되어 있습니다.
해커들이 거래소의 보안 조치에 대응하고 있다
거래소들은 해킹으로부터 고객 자금을 더 잘 보호하기 위해 큰 진전을 이루었으며, 해킹당 손실액이 급격히 감소한 점은 이러한 노력이 성과를 거두었음을 보여줍니다. 현재 많은 거래소가 보안 수준이 낮은 핫 월렛에 보관하는 자금의 비율을 낮추고, 출금 승인 절차를 강화하며, 의심스러운 활동을 더 면밀히 모니터링하여 해킹을 조기에 포착하고 있습니다. 또한 2019년에 우리가 조사에 협력했던 해킹 사건들을 통해 알 수 있듯이, 거래소들이 공격을 당했을 때 이를 공개하고 암호화폐( 가상자산 ) 커뮤니티와 세부 정보를 공유하려는 의지가 높아짐에 따라 도난당한 자금을 추적하기가 더 쉬워졌습니다.
하지만 동시에, 가장 활발하게 활동하는 해커들은 해킹을 수행하는 방식은 물론, 해킹으로 탈취한 자금을 세탁하는 방식에서도 더욱 정교해졌습니다. 비록 이는 긍정적인 현상은 아니지만, 거래소들이 도입한 대책이 해커들로 하여금 애초에 대응 방식을 바꿔야 할 만큼 충분히 효과적임을 시사합니다. 그리고 앞으로 보여드리겠지만, 거래소와 법 집행 기관이 해커들의 새로운 전술에 대응하기 위해 취할 수 있는 구체적인 조치들이 있습니다.
주목받는 한 사이버 범죄 조직의 활동을 분석하여, 거래소 해커들이 채택한 새로운 전술 몇 가지를 살펴보겠습니다.
라자루스 그룹이 2019년에 어떻게 더욱 발전했는지
라자루스 그룹(Lazarus Group)은 북한 정부와 연계된 악명 높은 사이버 범죄 조직입니다. 사이버 보안 전문가들이 ‘고급 지속적 위협(APT)’으로 간주하는 라자루스 그룹은 2014년 소니 픽처스 해킹 사건과 2017년 워나크라이(WannaCry) 랜섬웨어 공격은 물론, 여러 암호화폐 거래소( 가상자산 ) 공격의 배후로 널리 지목되고 있습니다. 또한, 라자루스 그룹이 바로 작년 ‘ 가상자산 ’ 범죄 보고서에서 해당 조직의 거래소 해킹 활동을 분석하며 우리가 ‘베타 그룹(Beta Group)’이라 명명했던 조직임이 밝혀졌습니다.
2019년, 라자루스 그룹은 해킹 및 자금 세탁 전략에 대해 세 가지 주요 변경 사항을 도입했습니다:
- 더 정교해진 피싱 수법. 라자루스 그룹은 그동안 소셜 엔지니어링을 활용해 거래소를 공격해 왔으며, 주로 직원들을 속여 악성 소프트웨어를 다운로드하게 함으로써 사용자 자금을 탈취해 왔습니다. 하지만 작년에 발생한 한 거래소 공격에서 라자루스 그룹은 이 전략을 한 단계 더 발전시켜, 사용자 자금을 탈취하기 위해 우리가 지금까지 목격한 것 중 가장 정교한 피싱 수법 중 하나를 실행했습니다.
- 믹서 및 코인조인(CoinJoin) 지갑의 사용 증가. 2019년에 해커들은 거래소에서 탈취한 자금을 믹서를 통해, 또는 라자루스 그룹(Lazarus Group)의 경우를 더 구체적으로 들자면 코인조인 지갑을 통해 송금하는 빈도가 더 높아졌습니다. 믹서는 여러 사용자의 입금( 가상자산 )을 한데 모아 자금의 이동 경로를 난독화하며, 각 사용자에게는 초기 입금액에서 1~3%의 서비스 수수료를 공제한 금액을 풀에서 돌려줍니다. 결국 모든 사용자는 다른 사람들이 투입한 자금의 “혼합물”을 받게 되며, 이로 인해 사용자 거래에서 입력과 출력을 연결하기가 더 어려워집니다. 많은 범죄자들이 믹서를 이용해 불법 자금 가상자산 의 출처를 숨긴 후 다른 서비스로 이동시킵니다. 와사비 월렛(Wasabi Wallet)과 같은 코인조인(CoinJoin) 지갑(기본이 되는 코인조인 프로토콜의 이름을 따서 명명됨)은 여러 사용자가 신뢰 관계 없이 자신의 지불 내역을 여러 수취인이 있는 단일 거래로 통합할 수 있는 지갑 서비스를 제공함으로써 동일한 기능을 수행합니다.
- 더 빠른 유동화. 또한 라자루스(Lazarus)와 같은 해커들이 2018년보다 더 짧은 시간 내에 자금을 거래소나 기타 서비스로 옮겨 유동화하는 모습을 확인할 수 있었습니다. 이러한 추세는 2019년의 해커들이 자금 세탁 능력을 향상시켰거나, 단순히 2018년보다 도난 자금을 더 빨리 확보하는 데 우선순위를 두고 있음을 시사할 수 있습니다.
라자루스가 이러한 새로운 전술을 어떻게 활용했는지 몇 가지 사례를 살펴보겠습니다.
라자루스 그룹이 피싱 미끼로 가짜 회사를 어떻게 활용했는지
2019년 3월, 해커들이 싱가포르에 본사를 둔 드래곤엑스(DragonEx) 거래소를 해킹하여 비트코인, 리플, 라이트코인 등 약 700만 달러 상당의 다양한 암호화폐를 탈취했습니다. DragonEx는 신속하게 대응하여 여러 소셜 미디어 플랫폼을 통해 해킹 사실을 알리고, 자금이 이체된 20개의 지갑 주소 목록을 공개했습니다. 이를 통해 다른 거래소들은 해당 지갑들을 감시 대상에 올리고 관련 계정을 동결할 수 있었으며, 이로 인해 공격자들이 자금을 이동시키기가 더 어려워졌습니다. 또한 DragonEx는 신속히 체이널리시스 법 집행 기관과 함께 저희의 도움을 요청했습니다.
DragonEx 해킹 사건의 규모는 비교적 작았지만, 라자루스 그룹이 정교한 피싱 공격을 통해 거래소 시스템에 침투하기 위해 기울인 노력은 주목할 만했다. 라자루스 그룹은 ‘월드비트-봇(Worldbit-bot)’이라는 자동화된 가상자산 거래 봇을 제공한다고 주장하는 가짜 회사를 만들었으며, 세련된 웹사이트는 물론 가상의 직원들을 내세운 소셜 미디어 계정까지 완비했다.
라자루스 그룹은 심지어 자신들이 판매한다고 주장하던 트레이딩 봇과 유사한 소프트웨어 제품까지 개발하기까지 했다. 물론 가장 큰 차이점은, 이 프로그램에 해커들이 이를 다운로드한 사람의 컴퓨터에 접근할 수 있게 해주는 악성코드가 포함되어 있었다는 점이었다. 라자루스 그룹의 해커들은 드래곤엑스(DragonEx) 직원들에게 이 소프트웨어의 무료 체험판을 제안했고, 결국 누군가를 설득해 거래소 지갑의 개인 키가 저장된 컴퓨터에 해당 프로그램을 다운로드하게 만들었다. 이를 통해 해커들은 수백만 달러를 훔쳐 달아날 수 있었다.
대부분의 피싱 시도는 이메일이나 소규모 웹사이트에 의존하는 데 그치는 반면, 라자루스 그룹이 조작해 낸 ‘월드비트-봇(Worldbit-bot)’ 회사는 그보다 훨씬 더 정교한 수준을 보여준다. 이는 라자루스 그룹이 보유한 시간과 자원뿐만 아니라, 합법적인 참여자를 성공적으로 사칭하는 데 필요한 블록체인( 가상자산 ) 생태계에 대한 심도 있는 지식을 여실히 드러낸다.
믹서 사용 증가와 더 빠른 출금 속도는 라자루스의 자금 세탁 전략에 생긴 변화를 여실히 보여준다
작년에 발간된 ‘ 가상자산 ’ 범죄 보고서를 위해 2018년 해킹 사건 이후의 자금 세탁 거래를 분석한 결과, 라자루스 그룹은 다른 주요 해킹 그룹들과 달리 믹서(mixer)와 같은 정교한 자금 세탁 기법을 사용해 훔친 비트코인( 가상자산 )을 신속하게 ‘세탁’하고 인출하지 않는 것으로 나타났습니다. 대신, 이들은 자금을 지갑에 보관한 채 12~18개월 동안 기다렸다가, 위험이 사라진 것으로 판단되면 모든 자금을 KYC 규제가 완화된 거래소로 갑자기 이동시키는 경향을 보였습니다.
우리는 이것이 라자루스(Lazarus)의 동기가 주로 금전적이었기 때문이라고 결론지었다. 다른 저명한 해킹 집단들이 표적에 혼란을 야기하고 탐지를 피하는 데 더 관심이 있는 것으로 보이는 반면, 라자루스의 행동은 비록 오랜 시간을 기다려야 하고 추적하기 비교적 쉬운 방식으로 거래소로 자금을 이동시켜야 한다 하더라도, 탈취한 비트코인( 가상자산 )을 현금으로 전환하는 데만 전적으로 집중하고 있음을 보여주었다. 미국 정부는 북한이 거래소 해킹 및 기타 금융 범죄를 통해 얻은 자금을 대량살상무기(WMD) 및 탄도미사일 프로그램 자금으로 활용하고 있다고 보고했으며, 이는 ‘돈’이 라자루스의 주된 목표라는 가설을 뒷받침한다.
라자루스의 동기가 2019년에 바뀌었는지는 단정할 수 없지만, 거래소 해킹을 통해 탈취한 자금을 이동시키고 현금화하는 수법은 확실히 달라졌다는 점은 알고 있습니다. 우선, 탈취한 자금 중 믹서로 이동되는 비율이 훨씬 높아진 것을 확인할 수 있습니다.
2018년 라자루스가 거래소에서 탈취한 자금의 98%는 결국 KYC 요건이 낮은 거래소로 이동했으며, 믹서나 코인조인(CoinJoin) 지갑으로 이동한 자금은 하나도 없었다. 그러나 2019년에는 라자루스가 탈취한 자금의 48%가 코인조인 지갑으로 이동한 반면, 50%는 해커들의 원래 지갑에 사용되지 않은 채 남아 있다.
아래에서 체이널리시스 Reactor 2018년과 2019년에 발생한 라자루스(Lazarus) 해킹 사건과 관련된 거래 내역을 비교함으로써 확인할 수 있습니다.
체이널리시스 Reactor: 2018년 라자루스 그룹의 거래소 해킹 사건
위에서 우리는 라자루스가 2018년 발생한 거래소 해킹 사건 중 하나를 통해 훔친 자금을 어떻게 이동시켰는지 확인할 수 있습니다. 거래 건수가 많아 복잡해 보일 수 있지만, 실제로는 매우 간단합니다. 자금은 왼쪽에 있는 피해 거래소 지갑에서 출발해 두 개의 중개 지갑을 거쳐, 오른쪽의 네 곳의 서로 다른 거래소로 분산됩니다. 그 사이의 수많은 경유 단계는 지갑에서 거래소로 이동하는 미사용 잔액을 나타냅니다. 자금의 이동 경로는 길어 보일 수 있지만, 추적하기는 비교적 쉽습니다.
체이널리시스 Reactor: 2019년 라자루스 그룹의 거래소 해킹 사건
2019년 DragonEx 해킹 사건 이후 라자루스가 자금을 어떻게 이동시켰는지를 보여주는 Reactor 의 그래프는 훨씬 더 복잡합니다. 이 경우, 이더리움이나 라이트코인과 같은 도난당한 알트코인들은 거래소로 이체된 후 비트코인으로 교환되었습니다. 그 다음, 거래소에서 인출한 비트코인을 여러 지역 지갑들 사이에서 이리저리 옮겨 다닌 뒤, 최종적으로 맨 오른쪽의 와사비 지갑(Wasabi Wallet)으로 이동시켜 코인조인(CoinJoin) 프로토콜을 통해 자금을 혼합했습니다.
라자루스 그룹은 또한 올해 도난 자금을 현금화할 수 있는 서비스(대부분 거래소)로 훨씬 더 빠르게 이동시켰습니다. 2018년에는 라자루스가 자금을 초기 개인 지갑에서 현금화 서비스로 옮기는 데 최대 500일이 걸렸으며, 250일 이내에 이 과정을 완료한 적은 한 번도 없었습니다. 하지만 2019년에 들어 상황이 급격히 바뀌었습니다. 라자루스의 소행으로 지목된 두 건의 해킹 사건에서 탈취된 자금의 거의 전부가 60일 이내에 현금화 서비스로 이동되었으나, 일부 자금은 여전히 사용되지 않은 채 남아 있다. 다른 그룹의 소행으로 지목된 해킹 사건들도 이러한 추세를 따랐다.
라자루스(Lazarus)가 훔친 비트코인( 가상자산 )을 세탁하는 방식이 점점 더 정교해지고 속도가 빨라짐에 따라, 사이버 범죄자들이 거래소를 공격할 때 정보 기관과 거래소 모두 신속하게 대응해야 하는 압박이 커지고 있다.
거래소는 보안에 계속해서 최우선 순위를 두어야 한다
지난 몇 년간 거래소들은 해킹 방지 보안 수준을 한 단계 높였지만, 라자루스(Lazarus)와 같은 해킹 집단의 지속적인 기술 발전은 거래소들이 현재 성과에 안주해서는 안 된다는 점을 보여줍니다. 거래소들은 한 발 앞서 나가기 위해 경계를 늦추지 말고, 이미 이룬 개선 사항을 바탕으로 계속해서 보안 체계를 강화해야 합니다. 우리는 거래소들이 의심스러운 거래가 완료되기 전에 적발될 수 있도록 안전 장치를 지속적으로 마련하고, 직원들이 네트워크를 침해하여 해커가 거래소의 개인 키에 접근할 수 있게 할 수 있는 악성 소프트웨어를 다운로드하지 못하도록 방지 조치를 취할 것을 권장합니다. 거래소가 해킹을 당한 경우, 즉시 법 집행 기관에 신고하고 도난당한 자금이 이동한 주소와 같은 핵심 정보를 제공해야 합니다.
거래소는 해킹으로부터 스스로를 보호하는 것 외에도, 범죄자들이 해킹당한 다른 거래소에서 빼낸 자금을 인출하는 데 자사 플랫폼을 악용하지 못하도록 막아야 할 책임이 있습니다. 거래소 측에서는 믹서나 코인조인(CoinJoin) 지갑에서 들어오는 대규모 입금, 또는 단기간에 집중적으로 이루어지는 소액 입금을 더욱 의심스럽게 바라볼 것을 권장합니다. 믹서에는 합법적인 용도가 있지만, 데이터에 따르면 해커들이 자금을 인출하기 전에 도난 자금의 이동 경로를 숨기기 위해 믹서를 점점 더 많이 활용하고 있음이 분명합니다. 거래소는 믹서에서 발생하는 의심스러운 거래를 차단함으로써 이러한 자금 인출 중 일부를 막고, 법 집행 기관이 도난 자금을 회수하는 데 도움을 줄 수 있을 것입니다. 바이낸스는 이미 이러한 조치를 시행하기 시작했으며, 당사는 바이낸스의 모델이 다른 거래소들이 따를 만한 유용한 사례가 될 수 있다고 생각합니다.
마지막으로, 우리는 법 집행 기관 간의 국경 간 협력이 강화된다면 거래소 해킹 피해를 줄이는 데 큰 도움이 될 것이라고 믿습니다. 전 세계의 금융정보분석원(FIU)들이 해킹 사고 발생 시 거래소로부터 입수한 정보를 신속하게 공유할 수 있다면, 해커들이 자금을 믹서나 KYC 규제가 완화된 거래소로 옮기기 전에 자금을 동결할 수 있을 것입니다.
이 블로그는 체이널리시스 2020년 ‘ 가상자산 ’ 범죄 보고서에서 발췌한 내용입니다. 전체 문서를 다운로드하려면 전체 문서를 다운로드하세요!
