- 체인alysis는 목요일 지난 한 해 동안 공개 블록체인에 악성코드를 기록하는 행위가 420% 급증했다고 보고했다.
- 이 증가는 북한과 이란과 연관된 국가 해커들에 기인한다.
- 온체인에 저장된 코드는 캠페인을 중단시키는 일반적인 서버 및 도메인 폐쇄를 견딘다.
체인alysis는 지난 1년 동안 공격자들이 공개 블록체인에 멀웨어 명령어나 인프라 데이터를 기록한 사례가 420% 급증한 가운데, 이 증가분의 대부분이 북한 및 이란과 연결된 해커들에 의해 이루어졌다고 구체적으로 지적했습니다.
블록체인 분석 기업체인alysis가 목요일 발표한 보고서는 거래소, 지갑 제공업체 및 보안 팀에 경보를 울렸습니다. 이러한 유형의 악성 코드는 전통적인 서버나 도메인에 저장된 코드보다 훨씬 오래 지속될 수 있는 블록체인의 특성을 악용하기 때문입니다. 전통적인 서버나 도메인은 사이트 압수를 통해 제거될 수 있습니다.
블록체인 데드 드롭(Dead Drop)이란 무엇인가?
체인alysis에 따르면 ‘블록체인 데드 드롭’ 또는 BDD 기법은 공격자가 페이로드와 명령·제어(C2) 포인터를 온체인 트랜잭션 및 스마트 컨트랙트 내부에 숨겨두는 과정을 의미합니다. 이렇게 하면 감염된 기기가 행동할 시점에 이를 가져올 수 있습니다.
이 방법은 블록체인 기술이 본질적으로 저장된 데이터의 생존 가능성을 기하급수적으로 높인다는 점 때문에 해커들 사이에서 인기를 얻었습니다. 도메인이 압수되거나 호스팅이 차단되거나 코드 저장소가 제거되면 캠페인은 자연적으로 종결됩니다. 그러나 공개 원장에 저장된 명령은 이러한 모든 조건에서도 지속되어 접근 가능합니다.
체인alysis에 따르면 이 전술의 첫 번째 기록 사례는 2013년으로 거슬러 올라가며, 이때 Necurs 봇넷 변종이 C2 도메인을 네임코인에 저장했습니다. 별도의 2019년 사례에서는 글럽테바 마이닝 봇넷 운영자들이 비트코인의 OP_RETURN 필드를 사용하여 데이터를 숨겼습니다.
이 트렌드는 ‘EtherHiding’ 라벨로 2023년 중반 이더리움 스타일 체인으로 확산되었습니다. 최초의 사례는 클라우드플레어가 서버를 다운시킨 후 클리어페이크 운영자들이 인포스틸러 코드를 BNB 스마트 체인으로 마이그레이션했을 때 발생했습니다.
2024년 초까지 일반 사이버 범죄자들이 활동의 대부분을 담당했습니다. 그러나 2026년 2분기에는 체인alysis가 국가 지원 해커들이 공개 블록체인에 작성된 데드 드롭의 약 3분의 2를 차지하고 있다고 보고하고 있습니다.
북한 및 이란 운영자들의 활동
체인alysis는 이전에 할당되지 않았던 세 네트워크에 걸친 일련의 트랜잭션을 구글 스레트 인텔리전스의 레이더에 등재된 북한 관련 그룹 UNC5342와 연결하여 조사 고리를 완성했습니다.
이 캠페인은 감염된 장치를 트론을 통해 라우팅하고, 백업으로 아프트를 사용하며, 동일한 BNB 스마트 체인 트랜잭션에서 종료하는 방식으로, 2025년 북한 해커들이 이더리움 스타일 스마트 컨트랙트(에테르하이딩) 내에 암호화폐 탈취 코드를 심었던 다른 사례와 유사했습니다.
체인alysis는 비트코인 블록체인에 C2 라우팅 데이터를 직접 인코딩한 운영을 조사하는 동안 이란 정보부와의 연관성도 발견했습니다.
The 이란의 방법 공격자 지갑에서 사토시 나카모토와 연결되었다는 소문이 있는 비트코인 주소로 소액 결제를 전송하는 독특한 서명을 담고 있었습니다.
오픈 소스 AI 모델이 운영을 지원
2025년 7월 이후 악성 데드 드롭이 440% 증가한 시기는 가장 진보된 오픈 소스 중국산 AI 모델이 A급 코드를 작성할 수 있는 능력을개방한 시기와 일치합니다. 수치상으로 보면 일일 작성량이 약 2.06에서 11.1로 증가했습니다.
체인alysis의 사이버 범죄 연구 책임자 에릭 자딘은 악성 트랜잭션을 게시한 행위자들이 실제로 모델의 출력을 높이기 위해 모델을 사용했는지 확인할 수 없다고 말했습니다.
이 보고서는 북한 암호화폐 활동의 긴 행보 끝에 나온 것입니다. 세르티크는 5월 추산에서 2016년 이후 북한 관련 행위자들이 263건의 사건을 통해 약 67억 5천만 달러를 탈취했으며, 순수한 소프트웨어 취약점 이용보다는 소셜 엔지니어링에 의존했다고 밝혔습니다. 이는 Cryptopolitan이 보고.
올해 블랙햇에서 발표된 별도의 연구는 그 범위를 더 넓게 제시했습니다. 한 조사관은 북한 운영자들이 57개국에 있는 1,640개 기업을침투시켰다는 사실을 발견했습니다. 미국 정보당국은 이러한 운영으로 확보된 자금이 정권의 핵 및 미사일 프로그램 자금 조달에 사용된다고 밝혔으며, 평양은 이를 부인했습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
블록체인 데드 드롭(Dead Drop)이란 무엇인가?
체인alysis가 명명한 이 기법은 공격자가 악성코드 페이로드나 명령·제어(C2) 포인터를 온체인 트랜잭션 및 스마트 컨트랙트에 저장하여 감염된 장치가 이를 검색할 수 있도록 하고, 도메인 압수 및 서버 폐쇄에도 설정이 유지되도록 하는 것이다.
북한과 이란 해커들은 어떤 블록체인을 사용했는가?
체인alysis에 따르면 북한과 연관된 UNC5342 그룹은 Tron, Aptos, BNB 스마트 체인을 사용했으며, 장치를 먼저 Tron으로 라우팅하다가 Aptos로 백업했다. 반면 suspected Iran-linked actors(의심되는 이란 관련 행위자) 는 비트코인 트랜잭션, 특히 사토시 나카모토와 역사적으로 연결된 비트코인 주소로의 지불을 포함하여 C2 라우팅 데이터를 삽입했다.
지난 한 해 동안 온체인 악성코드 활동이 급증한 이유는 무엇인가?
Chainalysis 는 2025 년 7 월 이후 악성 코드 작성 건수가 440% 증가했다고 기록했는데, 이는 고용량 오픈소스 중국산 AI 모델이 제한된 안전장치로 악성 코드를 생성할 수 있게 된 시점과 일치합니다. 다만 해당 기업은 공격자들이 이러한 모델을 사용해 산출량을 늘렸다는 것을 입증할 수는 없다고 밝혔습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
한나 콜리모어
한나는 암호화폐 분야에서 거의 10년 간의 블로그 작성 및 이벤트 리포팅 경험을 가진 작가이자 편집자입니다. 크립토폴리탄에서 한나는 뉴스 페이지에 기여하며 DeFi, RWA, 암호화폐 규제, AI 및 프론티어 테크 산업의 최신 동향을 보도하고 분석합니다. 그녀는 아카디아 대학교에서 경영학 학위를 취득했습니다.
