직원 속여 가상자산 탈취…북한 '트레이더트레이터' 실체는

직원 속여 가상자산 탈취…북한 '트레이더트레이터' 실체는

바이낸스 60억달러 탈취…배후 지목된 북한 해킹 활동

내부 관계자 접근 권한 악용…라자루스 연계 의심

세계 최대 가상자산 거래소 바이낸스에서 발생한 60억달러 이상의 가상자산 탈취 사건 배후로 북한 연계 해킹 활동인 '트레이더트레이터'(TraderTraitor)가 지목되면서 이들의 정체와 공격 수법에 관심이 쏠린다.

트레이더트레이터는 가상자산 기업의 개발자나 직원을 속여 악성코드를 설치하도록 유도하고, 이를 발판으로 내부 시스템에 침투하는 공격 활동으로 알려져 있다. 기술적 취약점을 직접 공략하기보다 내부 관계자의 접근 권한을 악용하는 사회공학적 공격이 대표적인 특징이다.

◇ 라자루스 연계 해킹 활동…직원 속여 내부 침투

2일 사이버보안 업계에 따르면 미국 연방수사국(FBI)은 지난달 31일(현지시간) 바이낸스에서 발생한 60억달러 이상 규모의 가상자산 탈취 사건 배후로 북한의 트레이더트레이터를 지목했다.

트레이더트레이터는 미국 정부가 북한의 가상자산 산업 대상 사이버 공격을 식별하기 위해 사용해 온 명칭으로, 북한 해킹조직 라자루스와 연관된 활동으로 분류된다.

별도의 독립적인 해킹조직이라기보다는 특정한 공격 활동과 수법을 가리키는 이름에 가깝다.

미국 FBI와 사이버보안·인프라보안국(CISA) 등은 2022년 공동 보안 권고문을 통해 트레이더트레이터가 가상자산 거래소와 블록체인 기업, 탈중앙화금융(DeFi) 플랫폼 등을 겨냥하고 있다고 경고한 바 있다.

이들의 핵심 공격 방식은 기업 내부 관계자의 신뢰를 악용하는 사회공학적 기법이다.

공격자들은 채용 담당자나 업계 관계자로 위장해 개발자에게 접근하거나 정상적인 가상자산 거래 프로그램으로 꾸민 악성 애플리케이션을 배포하는 수법을 사용해 왔다.

피해자가 속임수에 넘어가 악성 프로그램을 실행하면 공격자는 해당 기기에 접근할 수 있게 된다. 이후 이를 발판으로 기업 내부 시스템에 침투하거나 계정 정보와 접근 권한 등을 탈취하는 방식이다.

트레이더트레이터라는 이름이 붙은 이유도 공격 수법이 매매자(Trader)를 낚아 배신자(Traitor)로 만드는 방식이기 때문이다.

이러한 방식은 가상자산 거래소가 외부 공격을 막기 위한 보안 체계를 갖추고 있더라도 내부 직원의 기기나 계정이 침해되면 자산 관리 시스템까지 위험에 노출될 수 있다는 점을 보여준다.

◇ 바이낸스 자금 20분 만에 이동…내부 시스템 침해 가능성

이번 바이낸스 사건에서도 거래소 내부 시스템이 공격에 악용됐을 가능성이 제기되고 있다.

블록체인 분석업체 TRM랩스는 이번 공격으로 약 63억6천만달러 상당의 가상자산이 탈취됐으며, 이 가운데 대부분이 약 20분 만에 이동한 것으로 분석한 것으로 전해졌다.

특히 거래소 지갑에서 유효한 거래 서명을 생성하는 내부 시스템이 침해됐을 가능성에 주목했으며, 공격자들이 실제 탈취에 앞서 최소 36시간 동안 공격을 준비하고 소액 거래 등을 통해 사전 시험을 진행한 정황도 제시했다.

다른 블록체인 분석업체들도 유사한 연관성을 잇달아 제기했다.

블록체인 분석업체 체이널리시스는 지난 9월 북한 해커 소행으로 지목된 가상자산 거래소 비트겟 탈취 자금이 이번 바이낸스 해킹 자금과 동일한 지갑으로 유입돼 섞이는 정황을 포착했다.

또 다른 분석업체 엘립틱도 바이낸스와 비트겟의 탈취 자금이 여러 지갑에서 합쳐진 사실을 확인했으며, 과거 트레이더트레이터의 소행으로 분류된 가상자산 거래 플랫폼 해킹 사건들과의 연관성도 발견했다.

다만 최초 침투 경로와 구체적인 공격 과정은 아직 확정되지 않았다.

트레이더트레이터는 지난해 2월 발생한 가상자산 거래소 바이비트 해킹 사건의 배후로도 지목된 바 있다.

당시 약 15억달러 상당의 가상자산이 탈취됐으며, FBI는 이를 북한의 트레이더트레이터 활동에 의한 공격으로 규정했다. 거래 승인에 사용되는 소프트웨어 환경이 침해되면서 정상적인 승인 절차가 악용됐고, 이를 통해 대규모 가상자산이 공격자에게 넘어간 것으로 분석됐다.

탈취한 가상자산의 추적을 피하기 위한 자금 세탁 수법도 정교하다. 공격자들은 거래 내역 추적을 어렵게 만드는 믹서(mixers) 서비스와 블록체인 간 자산 이동을 지원하는 브리지(bridges) 등을 활용해 자금을 여러 지갑으로 분산시킨다.

미국 정부는 북한의 이러한 가상자산 탈취가 핵·미사일 등 무기 개발 프로그램의 자금 조달과 연관됐을 가능성을 의심하고 있다.