BOM 멀웨어가 사용자들로부터 $1.82 백만 이상을 훔침: SlowMist

2025년 2월 14일 다양한 사용자가 지갑 잔액에 대한 무단 접근을 보고한 후 대규모 암호화폐 절도 계획이 확인되었습니다.

보안 기업 SlowMist와 OKX는 BOM이라는 악성 앱이 공격의 원인임을 발견했다고 보여주는 공동 보고서를 발표했습니다.

연구에 따르면 BOM은 사용자들이 사진 라이브러리와 로컬 스토리지에 대한 접근을 제공하도록 속이기 위한 것이었습니다. 권한이 제공되면 애플리케이션은 지갑 수기 구문이나 개인 키가 포함된 스크린샷이나 사진을 비공개로 스캔했습니다. 후자는 공격자의 서버에 게시되었습니다.

MistTrack에 따르면, 멀웨어는 최소 13,000명의 사용자에게 영향을 미쳤으며, 총 도난 자금 규모는 $1.82백만 이상입니다. 공격자들은 Ethereum, BSC, Polygon, Arbitrum, Base 등 다양한 블록체인에 자금을 이체하여 행적을 숨기려 했습니다.

악성코드 분석 결과 데이터 수집 스캔들 확인

OKX Web3 보안 팀의 분석 결과, 해당 앱은 UniApp 크로스플랫폼 프레임워크로 구축된 것으로 나타났습니다. 이는 민감한 데이터를 추출하기 위해 설계된 아키텍처였습니다. 앱은 설치 시 기기의 사진 갤러리와 로컬 파일 접근 권한을 요청합니다. 앱은 이러한 권한이 앱의 정상적인 작동에 필요하다고 오해의 소지가 있는 설명을 제시합니다.

앱의 디컴파일 결과, 주요 목적이 사용자 정보 검색 및 업로드에 있음을 알 수 있었습니다. 사용자가 앱의 계약 페이지를 방문하면 저장 장치의 미디어 파일을 스캔하고 수집하는 기능이 활성화됩니다. 이러한 파일들은 공격자가 관리하는 원격 서버로 패키징되어 업로드됩니다.

애플리케이션의 코드에는 'androidDoingUp' 및 'uploadBinFa'와 같은 함수가 포함되어 있었는데, 이는 기기의 이미지와 동영상을 다운로드하여 공격자에게 업로드하는 유일한 목적이었습니다. 보고에 사용된 URL은 앱의 로컬 캐시에서 얻은 도메인을 사용했기 때문에 사용자가 데이터의 목적지를 추적하기 어려웠습니다.

사기성 앱은 또한 실제 앱에서 일반적으로 사용되는 의미 있는 문자 대신 무작위 문자('adminwkhvjv')를 사용하는 이상한 서명 주제를 가지고 있었습니다. 이 특징 또한 해당 앱을 사기성으로 확인시켜 줍니다.

온체인 자금 분석으로 탈취된 자산의 흐름 추적

도난 사건에 대한 블록체인 분석 결과, 여러 네트워크에서 자금 흐름이 확인되었습니다. 주요 탈취 주소는 2025년 2월 12일 주소에서 0.001 BNB를 수령하며 첫 번째 거래를 시작했습니다.

BSC 체인에서 공격자는 주로 USDC, USDT, WBTC를 통해 약 37,000달러의 수익을 올렸습니다. 해커들은 PancakeSwap을 사용하여 다양한 토큰을 BNB로 자주 교환했습니다. 현재 이 주소에는 611 BNB와 USDT, DOGE, FIL 등 약 120,000달러 상당의 토큰이 보유하고 있습니다.

이더리움 네트워크는 약 280,000달러의 도난 피해를 입어 가장 큰 피해를 입었습니다. 이 자금의 대부분은 다른 네트워크에서 크로스체인 ETH 이전으로 인한 것이었습니다. 공격자는 백업 주소에 100 ETH를 입금했으며, 여기서 다른 연결된 주소에서 160 ETH가 이전되었습니다. 전체적으로 260 ETH가 이 주소에 보유되어 있으며 추가적인 움직임은 없습니다.

폴리곤에서 공격자는 WBTC, SAND, STG를 포함하여 약 65,000달러 상당의 토큰을 획득했습니다. 이 자금의 대부분은 OKX-DEX에서 거의 67,000 POL로 교환되었습니다. 아르비트럼($37,000)과 베이스($12,000)에서도 추가적인 도난이 관찰되었으며, 대부분의 토큰은 ETH로 교환되어 이더리움 네트워크로 브리징되었습니다.