블록체인 악성 명령 기록 440% 증가…국가 연계 조직 부상

블록체인에 악성코드 명령과 공격 서버 주소를 숨기는 ‘블록체인 데드드롭’ 활동이 1년이 채 되지 않아 440% 증가했다. 공개 원장의 영구성과 인공지능(AI) 도구가 결합하면서 기존 도메인 차단 중심의 대응만으로는 공격 경로를 끊기 어려워지고 있다.

체이널리시스(Chainalysis)는 17일 보고서에서 고성능 오픈소스 AI 모델이 등장하기 전 하루 평균 2.06건이던 악성 명령 기록이 11.1건으로 늘었다고 밝혔다. 다만 특정 AI 모델 하나 또는 AI만이 증가의 원인이라고 단정할 수는 없다고 설명했다.

블록체인 데드드롭은 악성코드의 명령·제어(C2) 주소나 다음 단계 악성 파일의 위치를 거래 데이터 또는 스마트 컨트랙트에 기록하는 방식이다. 감염된 기기는 공개 원장을 조회해 최신 서버 주소를 받고, 공격자는 새 거래를 추가해 오프체인 인프라를 바꾼다.

기존 서버나 도메인이 차단돼도 감염 기기와의 연결 경로를 갱신할 수 있다는 의미다. 블록체인이 악성코드를 자동 실행하는 것은 아니지만, 공개 원장을 지속적으로 접근 가능한 주소록처럼 활용해 공격 캠페인의 수명을 늘리는 구조다.

공격 주체도 달라졌다. 체이널리시스는 2026년 2분기 기준 새로 관측된 블록체인 데드드롭 활동의 약 3분의 2를 국가 연계 공격자가 차지했으며, 전체 추적 활동에서도 약 절반을 차지했다고 밝혔다.

초기에는 사이버 범죄 집단이 대부분이었지만 2024년 중반부터 국가 연계 활동이 뚜렷해졌다. 공격자가 기존 중앙 서버 대신 여러 공개 체인을 활용하면서 단일 도메인이나 서버를 차단하는 방식의 한계도 커졌다.

북한 연계 조직으로 추적되는 UNC5342는 가상자산 개발자를 겨냥한 가짜 채용 과정에서 스마트 컨트랙트를 악성코드 전달 경로로 활용했다. 구글 위협 인텔리전스(Google Threat Intelligence)는 해당 캠페인에서 JADESNOW 로더가 블록체인에 저장된 정보를 조회한 뒤 INVISIBLEFERRET 백도어를 내려받는 과정을 설명했다.

UNC5342와 연결된 별도 방식에서는 트론(TRX)과 앱토스(APT)의 거래가 BNB 스마트 체인(BNB)에 저장된 암호화 명령을 가리키는 구조도 확인됐다. 악성코드는 먼저 트론을 조회하고 해당 경로가 실패하면 앱토스를 이용했다.

여러 체인을 함께 활용하면 단일 네트워크 차단만으로 공격 경로를 제거하기 어렵다. 거래 데이터와 스마트 컨트랙트 호출을 체인별로 따로 보는 방식보다 서로 다른 네트워크 사이의 연결 관계를 추적하는 방식이 필요하다.

이란 연계 활동에서는 비트코인(BTC) 거래에 C2 라우팅 정보가 삽입됐다. 해당 거래가 사토시 나카모토와 역사적으로 연결된 주소로 전송됐지만, 그 주소 자체가 공격자와 관련 있다는 뜻은 아니며 공격자는 누구나 조회할 수 있는 공개 주소를 참조 지점으로 이용한 것으로 분석됐다.

활동은 국가 연계 조직에만 국한되지 않았다. 러시아어권 범죄 집단은 폴리곤(POL) 스마트 컨트랙트를 명령 확인자로 활용했고, 이를 다른 공격자에게 제공하는 ‘악성코드 서비스형’ 모델도 추적됐다.

자체 인프라를 구축하지 못하는 공격자도 블록체인 기반 C2를 이용할 수 있는 환경이 조성된 셈이다. 공격자는 블록체인에 명령과 주소를 남기고 실제 악성 파일 전달과 침해 작업은 별도 서버에서 수행할 수 있다.

이 같은 방식은 스마트 컨트랙트에서 악성코드 다운로드 주소를 갱신한 기존 사례와도 맞닿아 있다. 공격자가 컨트랙트에 저장된 주소를 바꾸면 초기 악성코드를 다시 배포하지 않고도 공격 인프라를 갱신할 수 있다.

대응 방식도 바뀌어야 한다. 공개 체인 자체를 차단하면 지갑과 탈중앙화 금융 서비스 등 정상 이용자까지 영향을 받기 때문에, 지갑·스마트 컨트랙트·자금 이동·업데이트 이력과 함께 의심스러운 JSON-RPC 요청을 감시해야 한다.

핵심은 악성 도메인 차단을 넘어 체인 간 거래와 컨트랙트 호출, RPC 요청, 지갑 흐름을 함께 분석하는 데 있다. 블록체인의 영구성은 공격자에게는 인프라 복원력을 제공하지만, 방어자에게는 추적 가능한 기록을 남긴다.