암호화폐 해킹 패턴 변화.. 시스템보다 '사람'을 노린다

[시큐리티팩트=최석윤 기자] 암호화폐 시장을 겨냥한 해킹이 지난달 7월, 전월 대비 27% 증가했다. 블록체인 보안 스타트업 펙쉴드(PeckShield)의 최신 보고서에 따르면, 7월 한 달 동안 17건의 대규모 공격이 발생했다. 총 피해액은 1억 4200만 달러(약 1900억 원)이 넘는다. 6월 피해액 1억 1100만 달러(약 1500억 원)를 훌쩍 뛰어넘는 수치다.

이런 해킹 공격의 증가는 암호화폐 안전성에 대한 우려를 다시금 키우고 있다. 올해는 절반이 지났을 뿐인데, 지금까지 사기와 해킹으로 도난당한 금액만 24억 7000만 달러(약 3조 4000억 원)에 이른다. 피싱과 지갑 손상으로 인한 피해액까지 합치면 그 규모는 훨씬 더 커진다.

문제는 암호화폐에 대한 변화하는 해킹 패턴이다. 해커들이 더 이상 복잡한 블록체인 기술을 뚫으려 하지 않기 때문이다. 대신, 그들은 시스템을 운영하는 '사람'의 심리를 노리는 쪽으로 공격 방식을 바꾸고 있다. 기술적 방어벽이 아무리 높이 쌓여도 결국 인간의 실수를 이용하는 '사회 공학적 공격'의 위협이 커지고 있다.

블록체인 밖, '오프체인'이 새로운 표적으로

블록체인 자체는 분산된 원장 기록 덕분에 위변조가 거의 불가능하다. 이를 '온체인(on-chain)' 환경이라고 부른다. 하지만 모든 암호화폐 관련 활동이 온체인에서만 이루어지는 것은 아니다. 거래소의 웹사이트, 서버, 그리고 이를 관리하는 직원들의 컴퓨터는 블록체인 밖에 있다. 바로 이 외부 환경이 '오프체인(off-chain)'이다. 해커들은 뚫기 힘든 블록체인 대신, 상대적으로 취약한 오프체인 환경을 새로운 표적으로 삼았다.

"채용 담당자입니다".. 사회 공학적 공격

최근 해킹 사례에서 드러난 '사회 공학적 공격' 중 가장 흔한 공격 방식은 피싱과 사칭이다. 이는 기술적 취약점을 해킹하는 것이 아니라, 사람의 신뢰와 심리를 조작해 정보를 빼내는 사기 수법이다. 아무리 견고한 기술 보안도 사람이 속으면 무용지물이 된다.

7월 가장 큰 피해를 입은 인도 최고의 암호화폐 거래소 중 하나인 코인DCX(CoinDCX) 해킹 사례가 대표적이다. 해커는 거래소 직원을 사칭했다. '채용 담당자'라고 속여 직원에게 접근했다. 그리고 채용 관련 서류라며 악성 소프트웨어(멀웨어)가 담긴 파일을 다운로드하게 만들었다.

결국 직원은 무심코 파일을 열었고, 해커는 그 틈을 타 거래소 시스템에 침투할 수 있었다. 이처럼 해커들은 주로 피싱, 사칭, 프리텍스팅(pretexting) 등의 수법을 동원한다. 강력한 기술 보안을 뚫는 대신, 가장 약한 고리인 '사람'을 속여 시스템 전체를 무너뜨리는 것이다.

인적 오류가 해킹의 새로운 경로가 되다

왜 해커들은 이런 방법을 선호할까? 이유는 간단하다. 사람을 속이는 것이 복잡한 블록체인 코드를 뚫는 것보다 훨씬 쉽기 때문이다. 해커는 기술적 방어벽이 감지하기 어려운 방식으로 접근한다. 신뢰를 얻은 후 악성 소프트웨어를 심고, 이를 통해 내부 시스템에 은밀하게 침투한다.

이러한 공격은 해킹을 기술적인 문제가 아닌 '인적 오류'로 만들어버린다. 아무리 정교한 보안 시스템을 갖춰도 결국 사람이 속아 넘어가면 아무 소용이 없다. 이것이 암호화폐 업계가 사회 공학적 공격을 가장 심각한 위협으로 여기는 이유다.

코인DCX, 채용 담당자 사칭에 620억 원 피해

이런 해커들의 '변화된 공격'으로 코인DCX는 지난달 해커에게 약 4500만 달러(약 620억 원)를 잃었다. 처음에는 서버 침해로 알려졌지만, 조사 결과 사회 공학적 공격과 악성 소프트웨어(멀웨어) 때문인 것으로 밝혀졌다.

벵갈루루 경찰은 해커가 코인DCX 채용 담당자를 사칭해 직원에게 멀웨어를 다운로드하게 만들었다는 사실을 발견했다. 이 멀웨어는 직원 컴퓨터를 통해 거래소 지갑에 접근했다. 해커는 자금을 6개의 다른 국제 암호화폐 지갑으로 빼돌렸다.

다른 공격들도 있었다. 우엑스(WuEx)도 코인DCX와 유사한 방식으로 해킹당해 1300만 달러(약 179억 원) 손실을 입었다. 두 번째로 큰 피해를 입은 곳은 탈중앙화 거래소 GMX였다. GMX는 오래된 스마트 계약을 노린 '재진입 익스플로잇'으로 4200만 달러(약 579억 원)를 잃었다. 다만, 이 해커는 500만 달러(약 69억 원) '화이트햇' 포상금을 받는 대가로 대부분의 자금을 돌려줬다. '화이트햇 포상금'은 일반적으로 해킹 대회나 버그 바운티 프로그램에서 보안 취약점을 발견하여 신고한 화이트햇 해커에게 지급되는 보상금이다.