북한 연계 해킹조직 라자루스가 정상적인 가상화폐 거래로 위장해 바이비트 임원들의 승인을 받아내는 수법으로 15억 달러 규모의 가상자산을 탈취한 것으로 최근 밝혀졌습니다. 바이비트 측은 북한이 미국을 공격하기 위해 미사일을 발사할 필요가 없었다며, 미국의 기술 인프라를 이용한 사이버 공격의 위험성을 지적했습니다. 함지하 기자가 보도합니다.
지난해 2월 발생한 사상 최대 규모의 가상화폐 절도는 순식간에 이뤄졌습니다.
북한 연계 해킹조직 라자루스 그룹은 가상화폐 거래소 ‘바이비트’가 가상자산을 안전하게 보관하는 오프라인 계좌, 이른바 ‘콜드월렛’에서 다른 계좌로 자산을 옮기는 정상적인 내부 거래를 공격의 기회로 삼았습니다.
거래를 승인한 바이비트 임원들에게는 모든 과정이 정상적인 거래처럼 보였습니다. 하지만 이상 징후를 알아챘을 때는 이미 약 15억 달러 상당의 가상화폐가 해커들의 계좌로 빠져나간 뒤였습니다.
북한을 상대로 소송을 제기한 바이비트 측 소장에는 이처럼 짧은 시간 안에 거액을 빼낼 수 있었던 북한 해커들의 구체적인 수법이 담겼습니다.
앞서 바이비트는 지난 6월 북한과 정찰총국, 라자루스 그룹 등을 상대로 워싱턴 D.C. 연방법원에 민사소송을 제기했습니다. 소장과 관련 법원 문건은 지난 6일 공개됐습니다.
소장에 따르면 해커들은 바이비트 시스템을 직접 공격하지 않았습니다. 대신 바이비트가 가상화폐 거래를 관리하기 위해 의존하던 제3자 플랫폼을 먼저 노렸습니다.
해커들은 지난해 2월 초 바이비트가 이용하던 제3자 플랫폼 ‘세이프 월렛’의 소프트웨어 개발자 컴퓨터를 사회공학적 수법으로 침해했습니다.
이후 세이프 월렛이 사용하는 미국의 클라우드 서비스 업체 아마존웹서비스(AWS)의 인프라에 접근해, 계정과 관련 인증 정보를 확보하고, 바이비트의 거래 승인 담당자들이 이용하는 시스템에 악성 코드를 심었습니다.
세이프 월렛의 정상적인 프로그램을 악성 코드로 바꿔, 바이비트의 특정 지갑, 즉 특정 계좌에서 거래가 시작될 때 작동하도록 만든 것입니다.
이 때문에 지난해 2월 21일, 바이비트 임원 3명이 정상적인 내부 자금 이체를 승인하려 하자 화면에는 정상적인 거래가 이뤄지는 것처럼 표시됐습니다. 하지만 실제로는 악성 코드가 작동해 임원들도 모르는 사이 바이비트 콜드월렛의 스마트계약이 해커들이 미리 만들어 놓은 악성 계약으로 변경됐습니다.
해커들은 임원들의 승인이 이뤄지는 순간 악성 계약에 숨겨둔 백도어를 이용해 약 15억 달러 상당의 이더리움과 이더리움 기반 디지털 자산을 빼냈고, 이를 자신들이 통제하는 계좌로 옮겼습니다.
사상 최대 규모의 가상화폐 절도 사건이 벌어진 순간이었습니다.
탈취된 자산은 이후 여러 계좌로 빠르게 이동했고, 해커들은 가상화폐 믹서와 탈중앙화 거래소, 서로 다른 블록체인을 연결하는 브리지 등을 이용해 자금 추적을 어렵게 했습니다.
바이비트 측은 해킹 직후 40억 달러가 넘는 고객들의 출금 요청이 몰렸다고 밝혔습니다. 하지만 바이비트는 15억 달러에 달하는 손실을 자체적으로 부담해 고객들의 자산에는 손실이 발생하지 않았다고 설명했습니다.
다만 탈취된 15억 달러 가운데 당시까지 동결 또는 회수된 자산은 약 7천550만 달러에 그쳤으며, 90% 이상은 이미 자금이 세탁돼 추적이 어려운 상태라고 밝혔습니다.
그러면서 해킹이 단순히 한 거래소의 보안 취약점을 노린 사건이 아니라, 신뢰받는 제3자 업체에 먼저 침투한 뒤 이를 통해 최종 피해자를 공격한 공급망 침해였다는 점을 강조했습니다.
바이비트 측은 “북한은 미국을 공격하기 위해 미사일을 발사할 필요가 없었다”며, 단지 미국의 대표적인 기술 기업인 아마존웹서비스(AWS)를 이용했을 뿐이었다고 지적했습니다.
이번 사건과 관련해 미국 법원은 지난 6월 바이비트의 요청을 받아들여 탈취 자산의 이전을 막는 임시 제한명령(TRO)을 내렸습니다.
법원은 바이비트가 소송에서 승소할 가능성이 높고, 탈취된 가상자산이 빠르게 이동하고 있어, 동결하지 않을 경우 회복이 어려워질 수 있다고 판단했습니다.
또 이번 절도가 북한의 핵과 탄도미사일 개발 자금 마련을 위한 것이며, 가상화폐 시장의 건전성을 훼손했다고 판단했습니다.
VOA 뉴스 함지하입니다.