악성코드 지시문 블록체인 저장, 1년 새 420% 증가

악성코드 운영자들이 명령·제어(C2) 정보와 다음 단계 페이로드 위치를 퍼블릭 블록체인에 저장하는 사례가 최근 1년 새 420% 증가했다. 블록체인 자체가 해킹된 것이 아니라 삭제와 압류가 어려운 온체인 데이터층이 악성코드 통신 인프라로 악용됐다.

체이널리시스는 17일 이 수법을 '블록체인 데드드롭(Blockchain Dead Drops·BDD)'이라고 명명했다. 공격자는 거래 데이터나 스마트컨트랙트에 감염된 기기가 읽어야 할 서버 주소와 설정값을 기록하고, 실제 정보 탈취와 원격 제어는 오프체인에서 진행한다.

체이널리시스는 악성 지시문을 블록체인에 기록하는 활동이 최근 12개월 동안 420% 늘었다고 밝혔다. 중국산 고성능 오픈소스 AI 모델이 등장한 이후에는 하루 평균 온체인 악성 기록이 2.06건에서 11.1건으로 증가해 440% 늘었다고 설명했다. 두 수치는 서로 다른 기준기간을 사용한다.

BDD의 핵심은 블록체인에서 악성코드를 직접 실행하는 데 있지 않다. 공격자는 온체인에 다음 단계 페이로드의 위치나 C2 서버 주소를 기록하고, 감염된 기기가 이를 조회하도록 만든다.

대표적인 하위 기법은 'EtherHiding'이다. 구글 위협 인텔리전스 그룹은 2023년 ClearFake 캠페인에서 이 방식이 확인됐으며, 북한 연계 UNC5342가 2025년 2월부터 암호화폐 개발자를 겨냥한 공격에 활용했다고 밝혔다.

UNC5342는 BNB 스마트체인과 이더리움의 스마트컨트랙트에서 JADESNOW 다운로더가 읽을 정보를 제공했다. 이후 INVISIBLEFERRET 계열 악성코드가 실행됐고, 브라우저 비밀번호와 세션 쿠키, 신용카드 정보, MetaMask와 Phantom 등 암호화폐 지갑 관련 정보를 노린 것으로 분석됐다.

블록체인 데드드롭은 기존 중앙화 C2 서버와 작동 방식이 다르다. 도메인이나 서버가 차단돼도 공격자는 온체인에 새 주소를 기록할 수 있고, 이미 감염된 기기는 해당 정보를 다시 읽어 통신 대상을 바꿀 수 있다.

이 구조는 공격의 파괴력보다 캠페인의 지속성을 높이는 데 초점이 맞춰져 있다. 중앙화 서버는 도메인 압수나 호스팅 차단으로 연결을 끊을 수 있지만, 블록체인에 남은 데이터는 같은 방식으로 삭제하기 어렵다.

다만 블록체인 자체가 공격받았다는 의미는 아니다. 확인된 사례에서 블록체인은 악성코드의 최초 유포 경로라기보다 C2 설정과 페이로드 위치를 전달하는 저장·조회 계층으로 사용됐다.

최초 감염은 가짜 채용 제안이나 악성 파일, 변조된 개발자 저장소 등 별도 경로에서 발생했다. 블록체인에 악성 데이터가 기록됐다는 사실만으로 일반 지갑 이용자가 자동으로 감염되는 것은 아니다.

구글은 공격자들이 블록체인과 직접 통신하기보다 RPC 노드와 API 제공업체를 이용한 사례도 확인했다. 캐나다 사이버보안센터가 분석한 사례에서는 악성 자바스크립트가 트론과 앱토스에서 트랜잭션 정보를 읽은 뒤 BNB 스마트체인에서 페이로드를 내려받았다.

이 때문에 RPC·API 제공업체는 블록체인에 기록된 데이터를 삭제하지 못하더라도 비정상적인 호출을 감시하고 차단하는 통제 지점이 될 수 있다. 다만 정상적인 지갑과 탈중앙화 애플리케이션 이용까지 제한하지 않으려면 주소·컨트랙트·호출 패턴 단위의 선별 대응이 필요하다.

국내 지갑·RPC·블록체인 분석 시스템에도 자금 이동뿐 아니라 특정 스마트컨트랙트의 반복 조회와 악성 데이터가 포함된 트랜잭션 패턴을 감시해야 하는 과제가 제기된다. 국내 거래소와 지갑 이용자의 피해 규모는 확인되지 않았다.

체이널리시스는 북한·이란 연계 행위자와 러시아어권 사이버범죄 그룹의 사례도 제시했다. 북한 연계 그룹은 여러 체인을 연결한 릴레이를, 러시아어권 그룹은 폴리곤 스마트컨트랙트를 활용한 서비스형 인프라를 사용한 것으로 분석했다.

다만 북한·이란 연계라는 귀속은 체이널리시스와 구글의 분석 판단이다. 중국산 AI 모델의 등장과 블록체인 데드드롭 증가 사이에도 시간적 상관관계가 제시됐을 뿐 직접적인 인과관계가 확인된 것은 아니다.

이번 사례에서도 핵심은 블록체인의 합의나 암호기술이 아니라 공개 원장의 지속성과 조회 구조다. 실제 국내 크립토 인프라에 미칠 영향은 RPC·API 감시 체계의 적용 범위와 차단 성과에 따라 달라질 수 있다.