체이널리시스, 북한·이란 악성코드 블록체인에 숨긴 “데드드롭” 440% 급증 경고

블록체인 분석회사 체이널리시스(Chainalysis)가 9월 17일(현지시각) 보고서를 내고 사이버 공격자들이 공개 블록체인을 악성코드 명령·제어(C2) 정보를 숨기는 용도로 쓰고 있다고 경고했다. 이 기법을 “블록체인 데드드롭(Blockchain Dead Drops)”이라 부른다. 지난해 중반 이후 관련 악성 온체인 기록이 약 440% 늘었다고 밝혔다. 북한과 이란 등 국가 연계 해커 조직이 이 기법의 주요 사용자로 떠올랐다는 내용이다.

블록체인이 악성코드의 “비밀장소”가 된 사연

데드드롭이라는 표현은 첩보 활동에서 따온 말이다. 직접 접촉 없이 특정 장소에 정보나 물건을 놓아두고 다른 한쪽이 나중에 가져가는 방식을 가리킨다. 공격자들은 서버나 도메인 대신 블록체인 트랜잭션이나 스마트컨트랙트 안에 서버 주소, 악성코드 링크, 명령 정보를 숨겨두고 감염된 기기가 이를 읽어가도록 설계한다.

방법은 크게 두 가지다. 트랜잭션 안에 정보를 숨기는 방식과, 공격자가 필요에 따라 내용을 갱신할 수 있는 스마트컨트랙트에 저장하는 방식이다. 악성코드가 필요한 정보를 확보하면 실제 공격은 블록체인을 떠나 오프라인에서 진행된다. 이후 비밀번호나 암호화폐 계정 정보를 탈취하거나, 감염 기기를 원격 조종하는 방식으로 이어진다.

체이널리시스는 이 기법을 더 넓게는 “이더하이딩(EtherHiding)”이라 부르며, 블록체인 프로토콜 자체가 뚫린 것은 아니라는 점을 분명히 했다. 비트코인, 이더리움, BNB체인, 트론 등 어떤 네트워크도 암호화 체계가 깨진 것이 아니라, 블록체인이 원래 제공하도록 설계된 “공개적이고 영구적인 데이터” 특성을 공격자가 악용하고 있을 뿐이라는 설명이다.

이런 수법이 처음 등장한 건 최근 일이 아니다. 블리핑컴퓨터 등 보안업계 보고를 인용한 블록체인리포터에 따르면 니커스(Necurs) 봇넷이 2013년 네임코인에 명령·제어 도메인을 저장한 사례가 있었고, 글룹테바(Glupteba) 봇넷은 2019년 비트코인의 OP_RETURN 필드에 데이터를 기록했다. 2023년 중반에는 클리어페이크 운영자들이 클라우드플레어의 서버 차단 조치를 피해 바이낸스 스마트체인 스마트컨트랙트에 악성코드를 심으면서 이더하이딩이라는 이름으로 EVM 계열 체인까지 확산됐다.

북한·이란 해커의 구체적 수법

체이널리시스는 이번 보고서에서 위협그룹 UNC5342를 특정 사례로 지목했다. 구글 위협 인텔리전스는 2025년 2월부터 이 그룹을 추적해왔다. 암호화폐·기술 개발자를 겨냥한 가짜 채용 사기에 블록체인 기반 악성코드 전달 방식을 쓴 것이 포착된 시점이다.

UNC5342는 트론과 아프토스를 BNB 스마트체인으로 향하는 이중 경로로 활용한다. 감염 기기는 먼저 트론에서 정보를 조회하고, 실패하면 압토스로 전환해 BNB 스마트체인에 저장된 악성코드 지침을 최종적으로 찾아낸다. 공격자가 트랜잭션 하나만 새로 올리면 이미 감염된 기기들이 자동으로 갱신된 위치를 찾아가는 구조다. 체이널리시스는 이 작전을 무력화하려면 세 개 체인에서 동시에 대응해야 한다고 설명했다. 해당 스마트컨트랙트는 브라우저 데이터, 비밀번호, 암호화폐 지갑 정보를 노리는 자격증명 탈취형 악성코드를 전달하는 데 쓰였다.

이란 쪽은 다른 경로를 택했다. 체이널리시스는 이란 정보부와 연계된 의심 조직이 사토시 나카모토와 역사적으로 연관된 유명 비트코인 주소로 보내는 트랜잭션 안에 명령·제어 경로 정보를 심었다고 밝혔다. 해당 주소 자체는 공격자와 아무 관련이 없다. 감염 기기가 참조할 “영구적인 공개 지표점” 역할만 할 뿐이라는 설명이다.

러시아어권 범죄조직은 폴리곤의 스마트컨트랙트를 명령 해석용 리졸버로 활용해 악성코드 대여 서비스를 운영하고 있다. 체이널리시스는 한 지갑이 여러 리졸버 컨트랙트를 동시에 관리하고, 서로 다른 범죄 고객이나 캠페인별로 개별 컨트랙트를 나눠 쓰는 구조를 확인했다. 관련 주소는 사기성 토큰 발행과 클립보드 하이재킹 캠페인에도 연결돼 있었다.

수치로 본 확산세와 AI 변수

체이널리시스는 악성 온체인 기록이 하루 2.06건에서 11.1건으로, 1년이 채 안 되는 기간에 440% 늘었다고 집계했다. 국가 연계 조직의 비중도 빠르게 커졌다. 2026년 2분기 기준 북한·이란 연계 조직은 매 분기 새로 관측되는 데드드롭 활동의 약 3분의 2를 차지했고, 전체 추적 활동의 약 절반을 국가 연계 조직이 차지했다. 2024년 초만 해도 이 비중은 미미한 수준이었다.

체이널리시스는 이 같은 급증세를 오픈소스 방식의 중국산 AI 모델 확산과 연결지었다. 고성능 AI 도구가 명령·제어 인프라를 구축하는 데 필요한 전문성 장벽을 낮췄다는 분석이다. 다만 체이널리시스 스스로도 특정 모델 하나를 지목하거나 AI만이 급증의 원인이라고 단정할 수 있는 측정 방식은 아니라고 선을 그었다. 블록체인리포터는 “지난 1년간 420% 증가했고, 오픈소스 중국산 AI 모델이 악성코드 생성에 쓰이기 시작한 이후로는 440% 증가했다”는 방식으로 두 시점의 증가율을 구분해 보도했다.

체이널리시스는 현재 5개 주요 블록체인과 10여 개 이상의 명명된 악성코드 계열에서 데드드롭 활동을 추적하고 있다고 밝혔다. 악성코드 대여 형태로 인프라를 임대해주는 사업 모델까지 등장하면서, 기술력이 부족한 소규모 공격자도 국가 연계 조직 수준의 인프라를 손쉽게 빌려 쓸 수 있는 환경이 만들어지고 있다는 진단이다.

지울 수 없는 기록, 방어팀은 어떻게 대응하나

체이널리시스는 블록체인 트래픽 자체를 차단하는 방식은 현실적인 해법이 아니라고 지적했다. 지갑, 탈중앙금융, 중앙화 거래소 등 정상 서비스까지 함께 마비시킬 수 있기 때문이다. 공격자 입장에서도 한 경로가 막히면 다른 체인을 찾으면 되는 구조다.

대신 방어팀은 트랜잭션 자체를 감시 대상으로 삼을 수 있다. 인프라를 갱신하기 위한 트랜잭션마다 시간이 기록되고 공개적으로 조회가 가능하기 때문이다. 체이널리시스는 운영자 지갑, 리졸버 컨트랙트, 자금 흐름, 갱신 기록 등을 추적하면 도메인이나 서버만 놓고 볼 때는 서로 무관해 보이는 캠페인들을 하나로 연결할 수 있다고 설명했다. 감염 기기가 블록체인 노드에 보내는 JSON-RPC 요청을 모니터링해 의심스러운 컨트랙트나 주소에 접근하는 징후를 잡아내는 방법도 제시됐다.

체이널리시스는 이번 기법이 블록체인 프로토콜 자체를 해킹한 것은 아니라는 점을 재차 강조했다. 다만 감염 기기에서 악성코드를 제거해도, 그 악성코드가 참조하던 데이터는 블록체인 위에 계속 공개된 채로 남아있을 수 있다는 게 문제다. 크립토 인프라 운영사와 지갑 서비스, 보안팀은 이제 탈취 자금이나 의심 거래뿐 아니라 온체인에 심어진 “정보 자체”까지 감시 범위를 넓혀야 하는 상황에 놓였다.