북한의 라자루스 그룹이 암호화폐에 대한 사이버 전쟁을 벌이고 있으며 — 개발자들이 새로운 표적이 되고 있습니다

북한의 악명 높은 해킹 유닛인 라자루스 그룹은 개발자에 대한 집중도를 높이며 암호화폐와 관련된 새로운 사이버 공격을 수행했습니다. 

보안 연구원들은 지난 몇 달 동안 이 그룹이 자격 증명을 훔치고, 암호화폐 지갑 데이터를 유출하며, 개발 환경에 영구적인 백도어를 만드는 악의적인 npm 패키지를 sabotaging해 왔다는 것을 발견했습니다. 이는 이미 역사상 가장 큰 암호화폐 절도 사건 중 일부를 목격한 수년간의 사이버 전쟁에서 주요 격상입니다.

새로운 조사에 따르면 Socket Research Team의 새로운 조사에 따르면, 라자루스 그룹의 한 분파가 자바스크립트 개발자를 위한 가장 인기 있는 패키지 관리자 중 하나인 npm 저장소에 침투했습니다. 

해커들은 그런 다음 오타quatting 기법을 사용하여 인기 있는 npm 패키지의 악의적인 버전을 게시하여 무고한 개발자들을 속여 프로그램을 다운로드하게 했습니다. 패키지에는 is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency 및 auth-validator가 포함됩니다. 

실행되면 손상된 패키지는 BeaverTail 악성 코드를 설치합니다. 이 '고급' 도구는 로그인 자격 증명을 훔치고, 브라우저 파일을 검색하여 저장된 비밀번호와 Solana 및 Exodus와 같은 암호화폐 지갑의 덤프 파일을 추출할 수 있습니다.

보안 연구원들은 훔친 데이터가 하드코딩된 명령 및 제어(C2) 서버로 전송되었다고 지적했으며, 이는 라자루스 그룹이 기밀 데이터를 다시 그들의 행위자에게 전달하는 데 사용하는 일반적인 수법입니다. 

Socket Security의 위협 인텔리전스 분석가인 Kirill Boychenko에 따르면, 그 목적은 탐지되지 않고 손상된 데이터를 훔치고 전송하는 것이며, 이는 금융 및 블록체인 애플리케이션을 구축하는 개발자 세계에서 특히 위협적이었습니다.

라자루스는 Bybit에 대한 공세를 시작하여 거의 14.6억 달러를 훔쳤습니다

이러한 공급망 공격 외에도 라자루스 그룹은 기록상 가장 큰 암호화폐 절도 사건 중 하나와도 관련이 있습니다. 첫 번째 행동은 2025년 2월 21일 그룹과 연결된 해커들이 세계 최대의 암호화폐 거래소 중 하나인 Bybit에 침입하여 약 14.6억 달러의 암호화폐 자산을 훔친 것으로 의심됩니다.

이 공격은 매우 정교했으며, Bybit의 기술 파트너인 Safe{Wallet} 직원의 손상된 장치에서 발사된 것으로 alleged됩니다. 해커들은 Bybit의 이더리움 지갑 인프라의 취약점을 활용하여 스마트 계약 논리를 변경하여 자금을 자신의 지갑으로 리디렉션했습니다.

Bybit이 문제를 즉시 해결했지만, CEO Ben Zhou 의 성명서는 훔친 돈의 20%가 이미 믹싱 서비스를 통해 세탁되어 추적 불가능해졌다고 밝혔습니다.

이 최신 공격 시리즈는 북한이 암호화폐를 훔치고 세탁하여 국제 제재를 회피하려는 더 넓은 노력의 일부입니다.

2024년 유엔 보고서에 따르면, 북한 사이버 범죄자들은 지난 한 해 동안 전 세계 암호화폐 절도의 35% 이상을 담당하여 10억 달러 이상의 훔친 자산을 축적했습니다. 라자루스 그룹은 단순히 사이버 범죄 조직이 아니라, 훔친 돈이 국가의 핵무기 및 탄도 미사일 프로그램으로 직접 유입된다는 보고가 있기 때문에 지정학적 위협입니다.

이러한 라자루스 그룹의 공격은 직접적인 거래소 해킹에서 공급망 공격, 심지어 개발자 및 소프트웨어 저장소 공격에 이르기까지 수년간 진전되어 왔습니다.

npm, PyPI 및 GitHub와 같은 오픈 소스 플랫폼에 백도어를 추가함으로써, 이 그룹은 잠재적 공격 범위를 많은 시스템으로 확장하여 암호화폐 거래소에 직접 해킹할 필요가 없게 됩니다.

보안 전문가들은 암호화폐 개발자를 위한 더 엄격한 보호를 촉구합니다 

이러한 증가하는 위험을 지적하며, 사이버 전문가들은 개발자와 암호화폐 사용자를 위한 더 엄격한 보안과 해커로부터의 보호를 추진하고 있습니다. 이러한 모범 사례 중 하나는 오타quatting이 사이버 범죄자들이 사용하는 가장 일반적인 방법 중 하나임에도 불구하고, 설치 전에 npm 패키지의 진위를 확인하는 것입니다. 

Socket AI Scanner는 소프트웨어 의존성 또는 npm 감사의 이상 징후도 추적하며, 이는 손상된 패키지가 사용 중인지 여부를 알려주고 실제 피해를 입히기 전에 애플리케이션에서 제거할 수 있도록 합니다.

가이드는 사용자와 개발자가 거래소 지갑, GitHub와 같은 개발자 플랫폼 및 기타 계정에 대해 다중 인증(MFA)을 활성화하여 자신을 보호하기 위해 주도권을 취할 것을 권장합니다. 

네트워크 모니터링은 이제 첫 번째 방어선으로 간주됩니다. 손상된 시스템은 일반적으로 외부 명령 및 제어(C2) 서버로 메시지를 보내며, 이는 감염된 컴퓨터에 악의적인 업데이트를 업로드합니다. 불법적인 아웃바운드 트래픽을 차단하면 해커가 이 훔친 데이터에 접근하는 것을 차단할 수 있습니다.

Bybit이 암호화폐 보안 전쟁이 격화됨에 따라 복구 보너스를 출시합니다

Bybit 해킹 이후, 거래소는 또한 훔친 자산을 찾는 데 도움을 주는 모든 사람에게 보상을 제공하는 복구 보너스 프로그램을 시작했습니다. 이 프로그램은 복구된 돈의 최대 10%까지 보상을 허용합니다.

동시에, 더 큰 암호화폐 생태계는 보안 관행을 강화하고 개발자들을 경고하여 이 위협적인 경로로 이어질 수 있는 동일한 관행으로부터 보호하는 데 바쁩니다.

그러나 라자루스 그룹의 전술이 점점 더 빠르게 진전됨에 따라, 네트워크 방어자들은 암호화폐에 대한 전쟁이 이제 막 시작되었다고 말합니다.