구글, 北 해커 '이더 하이딩' 신기술로 암호화폐 탈취 공개

블록체인 불변성 악용한 최초 사례…다중 OS 대상 지속적 시스템 제어

구글 위협정보팀(GTIG)이 북한과 연계된 해커 조직이 이더리움 블록체인을 악용한 새로운 사이버 공격 기법을 개발했다고 금일 밝혔다.

'이더 하이딩(Ether Hiding)'으로 명명된 이 기술은 공공 탈중앙화 블록체인을 악성코드 은닉처로 활용하는 최초 사례로, 국가 지원 위협 행위자가 블록체인의 불변성을 악용한 것으로 확인됐다.

구글 조사 결과에 따르면, 북한 해커 조직 UNC5324는 팰로알토 네트웍스가 'Contagious Interview'로 명명한 소셜 엔지니어링 공격을 통해 개발자들을 속여 악성코드를 설치하도록 유도했다.

이번 공격의 핵심은 다단계 악성코드 감염 프로세스다. 공격자들은 Windows, macOS, Linux 등 다양한 운영체제를 대상으로 하며, 악성코드를 변경 불가능한 블록체인에 저장한 후 '읽기 전용' 방식으로 호출한다.

특히 주목할 점은 블록체인의 탈중앙화 특성을 악용해 익명으로 지속적인 제어 명령을 발송하고 피해 시스템을 조작한다는 것이다. 이는 기존 중앙집중식 명령제어(C&C) 서버 방식과 달리 추적이 극도로 어렵다는 특징이 있다.

구글 위협정보팀은 "공공 블록체인을 악성코드 저장소로 활용하는 것은 이번이 처음"이라며 "블록체인의 불변성과 탈중앙화 특성이 사이버 공격에 악용될 수 있음을 보여주는 중대한 사례"라고 강조했다.

이더 하이딩 기법의 위험성은 기존 보안 대응 체계로는 차단이 어렵다는 점이다. 악성코드가 블록체인에 영구 저장되어 삭제가 불가능하고, 분산된 네트워크 특성상 단일 지점 차단도 어렵다.

최주훈 joohoon@blockstreet.co.kr