중국, 미국이 국가 차원의 해킹으로 약 130억 달러 상당의 127,000개의 도난 비트코인을 가져갔다고 주장

중국은 방금 미국이 거의 130억 달러 규모의 사이버 공격을 감행했다고 비난했습니다.

일요일, 중국 국가 컴퓨터 바이러스 긴급 대응 센터(CVERC)는 2020년 LuBian 마이닝 풀에서 도난당한 127,272개의 비트코인이 4년 동안의 침묵 작전 끝에 미국 정부 통제 하에 도착했다고 주장했습니다.

이 코인들은 캄보디아의 프린스 그룹 수장인 천즈에 의해 보유되었으며, 그는 블록체인 메시지부터 몸값 제안까지 모든 것을 시도했지만 침묵만 받았습니다.

중국 기관은 코인들이 대량으로 이동되어 수년간 손대지 않은 채로 지난 해 미국 법무부(DOJ)에 의해 조용히 인수되었으며, 이후 DOJ가 올해 10월 14일 천을 기소하고 전체 보물을 압수했다고 밝혔습니다.

CVERC의 보고서는 이 일련의 사건 전체가 법 집행처럼 보이도록 설계된 국가 차원의 해킹을 가리킨다고 주장합니다.

하지만 실제로 실제 문제는 LuBian의 키 생성 시스템에서 시작되었습니다. 왜냐하면 그들은 적절한 256비트 난수를 사용하는 대신 코너를 깎았기 때문입니다.

CVERC에 따르면, 지갑은 Mersenne Twister MT19937-32 알고리즘을 사용하여 32비트 의사 난수 시드를 사용하여 생성되었으며, 이는 해커들에게 적절한 키에 필요한 수조 대신 42.9억 가지의 조합만 제공했다고 보고되었습니다.

이는 2023년 8월에 공개된 MilkSad 결함과 거의 동일하며, 나중에 CVE-2023-39910으로 할당되었습니다. MilkSad 팀은 DOJ 사건에 있는 25개의 지갑과 일치하는 LuBian의 침해된 지갑을 나열했습니다. 공격자가 취약점을 파악한 후, CVERC의 보고서는 침투하는 데 2시간도 걸리지 않았다고 말했습니다.

5,000개 이상의 주소가 동일한 약한 시스템으로 생성되었으며, 모두 멀티시그, 하드웨어 지갑, HD 지갑이 없었습니다.

도난된 코인은 미국이 이동하기 전까지 휴면 상태였습니다

주로 중국과 이란에 기반을 둔 LuBian 마이닝 풀은 2020년에 빠르게 성장했습니다. 그것은 거래소를 사용하지 않았지만 비트코인을 비 custodia 지갑에 저장했는데, 이는 오직 개인 키로만 잠금 해제할 수 있는 유형입니다.

2020년 12월 29일, LuBian의 지갑은 대량 공격을 받아 당시 약 35억 달러 상당인 127,272.06953176 BTC가 유출되었습니다. 200 BTC 미만이 남겨졌습니다.

모든 징후는 5,000개 이상의 지갑을 공격하는 무차별 대입 스크립트를 가리키며, 이 지갑들은 모두 결함이 있는 개인 키 알고리즘으로 생성되었습니다. 코드는 빠르게 유출된 후 공격자가 통제하는 지갑에서 4년 동안 untouched 상태로 방치되었습니다. 아크함(Arkham)이 최종 지갑들을 정부 통제 하에 있다고 표시했을 때, 적어도 그건 사실인 것으로 확인되었습니다.

휴면 기간 동안 천(Chen)과 그의 팀은 자금 도난 피해자에게 연락을 시도했습니다. 2021년 초와 2022년 7월, 그들은 OP_RETURN 기능을 사용하여 비트코인 블록체인에 1,500개 이상의 메시지를 삽입했습니다. 그중 하나는 "자금을 반환해 주시면 보상을 드리겠습니다"라고 주장했습니다.

또 다른 메시지는 "우리의 자산을 구하는 화이트햇(Whitehat)이시라면, 자산 반환 및 보상 논의 위해 [email protected]으로 연락해 주세요"라고 호소했습니다.

하지만 그 어느 것도 답장을 받지 못했습니다.

그런 다음 2024년 6월 22일부터 7월 23일 사이, CVERC는 도난당한 비트코인이 갑자기 새로운 주소로 이동했다고 밝혔습니다. 아크함의 온체인 추적에 따르면 이 주소는 'Uncle'의 소유입니다.

중국, 미국 압수 주장하며 '이중 트릭'이라고 비판

DOJ가 올해 초 조치를 취했을 때, 도난당한 코드는 이미 거의 4년 동안 휴면 상태였으며, 이동한 코드는 1만 분의 1도 채 되지 않았습니다.

중국은 이것이 일반적인 해커 행동과 일치하지 않는다고 말합니다. 해커들은 코드를 판매하거나 믹싱할 뿐, 수년간 방치하지 않기 때문입니다.

고발장 열거된 127,271 BTC는 25개의 지갑 주소에 걸쳐 있으며, 모두 LuBian의 2020년 12월 해킹으로 거슬러 올라가며, 자금은 아래 세 가지 출처에서 나왔습니다:-

• ~17,800 BTC (독립 마이닝)
• ~2,300 BTC (마이닝 풀 급여)
• ~107,100 BTC (거래소 및 기타 유입)

하지만 DOJ는 코드가 불법적으로 획득되었다고 주장했습니다. 숫자가 일치하지 않지만, 영향력은 루비안(LuBian)이 결코 회복되지 않았다는 점입니다. 루비안의 자산 중 90% 이상이 소멸되었습니다.

풀은 중단되었습니다. 중국 보고서는 나머지 암호화폐 커뮤니티에 다음과 같은 경고를 담고 끝납니다: 지갑 코드를 수정하고, 진정한 난수 생성기를 사용하며, 멀티시그, 콜드 스토리지, 실시간 온체인 모니터링을 채택하십시오. 아니면 다음번에는 당신이 당할지도 모릅니다.