라자루스, 바이비트 15억 달러 해킹… 이더리움 보안 전문가 분석

21일(현지시간) 더블록에 따르면, 북한 정부가 지원하는 해킹 조직 라자루스 그룹(Lazarus Group)이 바이비트의 이더리움 콜드월렛을 해킹해 15억 달러 상당의 ETH 및 파생 토큰을 탈취했다. 해킹 직후 바이비트 CEO 벤 저우(Ben Zhou)는 공격 사실을 인정하며, 보안팀이 공격 경위를 조사 중이라고 밝혔다.

사건 발생 후 공개된 바이비트의 보고서에 따르면, 해킹은 바이비트의 멀티시그 콜드월렛에서 핫월렛으로 자금을 이체하는 '정상적인' 거래 과정에서 이루어졌다. 공격자는 스마트 컨트랙트 로직을 조작해 서명 인터페이스를 변조했으며, 이를 통해 40만 ETH와 stETH, cmETH, mETH 등 다양한 파생 자산을 해커의 주소로 이동시켰다.

바이비트는 이번 공격의 근본 원인을 분석하는 과정에서, 멀티시그 보안을 강화하는 데 사용되는 Safe{Wallet} 플랫폼이 악용되었을 가능성에 주목하고 있다. Safe는 2022년 그노시스(Gnosis)에서 분리된 멀티시그 월렛 서비스로, 수백 개의 프로토콜 및 거래소에서 활용되고 있다. 그러나 현재까지 Safe 측은 플랫폼이 직접적인 공격을 받은 증거는 없다고 밝혔다.

보안 연구자들은 이번 공격이 Safe 플랫폼 자체의 취약점이 아니라, 서명자의 기기가 감염되면서 발생한 '블라인드 서명' 공격일 가능성이 높다고 보고 있다.

이더리움 보안 전문가 필락스(Phylax)의 창립자 오디세우스(Odysseus)는 "공격자는 서명자가 익숙한 인터페이스를 조작해 가짜 서명 페이지를 띄웠고, 사용자는 이를 통해 악의적인 거래에 서명하게 됐다"고 설명했다.

메타마스크(MetaMask)의 보안 책임자 테일러 모이나한(Taylor Monahan)도 "이번 사건은 멀티시그 서명자가 악성코드에 감염된 기기에서 서명을 진행했을 가능성이 높다"며 "서명 과정에서 실제로 무슨 일이 벌어지고 있는지 정확히 확인하기 어려운 것이 문제"라고 말했다.

일부 보안 전문가들은 라자루스 그룹이 바이비트 내부자를 통해 해킹을 시도했을 가능성도 배제하지 않고 있다. 거래소의 콜드월렛을 장악하기 위해서는 다중 서명자의 신원을 파악하고, 각자의 기기에 멀웨어를 설치한 후, 동시에 위장된 거래를 서명하도록 해야 하기 때문이다.

이와 유사한 방식으로 공격이 이루어진 사례로는 2024년 10월 5000만 달러 규모의 래디언트(Radiant) 해킹과 2023년 7월 2억3000만 달러 규모의 와지르X(WazirX) 해킹이 있다. 래디언트의 경우, 공격자는 텔레그램을 통해 악성 ZIP 파일을 배포해 개발자의 기기를 감염시켰으며, 이후 하드웨어 월렛을 속여 악성 거래에 서명하도록 만들었다.

라자루스 그룹은 이번 바이비트 공격을 감행하기 이틀 전, 사전 테스트를 진행한 정황도 포착됐다. 보안 연구자 PCaversaccio는 "라자루스 그룹이 Bybit의 Safe 구현을 교체하고, 이더리움의 ‘delegatecall’ 기능을 사용해 악성 코드를 삽입한 것으로 보인다"고 분석했다.

보안 전문가들은 이번 해킹이 Safe 플랫폼 자체의 문제가 아닐 가능성이 높은 만큼, 서명 기기의 보안을 강화하는 것이 핵심 대책이라고 강조했다.

오디세우스는 "인터넷에 연결된 기기에서 멀티시그 서명을 진행하면, 하드웨어 월렛을 사용하더라도 공격을 피하기 어렵다"며 "네트워크와 격리된 별도의 기기에서 서명을 진행하는 것이 가장 안전한 방법"이라고 조언했다.

블록체인 보안 기업 블록에이드(Blockaid)의 창립자 이도 벤 나탄(Ido Ben Natan)도 "이번 사건은 단순한 운영 실수가 아니라, 정교하게 설계된 표적 공격"이라며 "암호화폐 기업들은 단순한 키 관리 솔루션을 넘어, 서명 프로세스 전반을 보호하는 보안 시스템을 구축해야 한다"고 강조했다.

라자루스 그룹은 과거에도 수십억 달러 규모의 암호화폐를 탈취해 왔으며, 미 연방수사국(FBI)은 이들이 탈취한 자금을 북한의 핵무기 및 미사일 개발 자금으로 활용하고 있다고 경고한 바 있다.

이번 바이비트 해킹 사례는 암호화폐 거래소와 기관들이 보안 강화를 위해 더욱 엄격한 대응책을 마련해야 함을 보여준다. 테일러 모이나한은 "멀티시그 서명을 진행하는 모든 사용자는 자신이 악성코드에 감염될 가능성을 항상 염두에 둬야 한다"고 경고했다.

뉴스 속보를 실시간으로...토큰포스트 텔레그램 가기