비트코인 가격이 1200만원을 돌파하는 등 암호화폐가 연일 급등세를 보이자 암호화폐 거래소, 사용자 등을 노린 공격이 위험수준이다. 북한정부 지원 해커그룹 '라자루스'의 암호화폐 관련 산업 공격이 포착된 가운데 단순 사칭메일부터 피싱사이트, 워터링홀 공격까지 거래소, 사용자를 대상으로 다양한 공격이 시도된다.
이스트시큐리티 시큐리티대응센터(ESRC)는 최근 북한 정부지원 해킹 그룹으로 알려진 '라자루스' 지능형지속위협(APT)조직이 한글(HWP)취약점 문서 파일을 악용해 암호화폐 관련 산업 공격 행위를 발견했다고 밝혔다.
공격에 사용한 문서는 '투자계약서_2019619.hwp' 파일명으로 이달 19일 제작된 것으로 파악됐다. 문서 파일 내부에 공격 서버와 연결된 'C2주소'를 숨겼으며, 취약점 작동 시 C2로 통신을 시도하며 추가 명령을 기다린다.
해당 문서는 실제 계약서와 비슷하게 꾸몄다. '암호화폐 운영사업에 다음과 같이 투자계약을 체결한다'는 등 암호화폐 거래소를 통한 암호화폐 투자 사업이 주된 내용이다. 실제 피해기업은 아직 확인되지 않았으나 문서 내용, 공격 정황 등을 고려할 때 거래소 주요 관계자를 노린 것으로 분석된다.
피싱사이트는 암호화폐 거래소 골칫거리다. 코인원, 빗썸, 업비트, 고팍스 등 국내 암호화폐 거래소는 한 달 사이 공지사항, 사이트 팝업 등을 통해 피싱사이트, 사칭문자 주의 등을 안내했다.
피싱사이트는 구글 등 검색엔진을 통해 암호화폐 거래소를 검색한 사용자를 대상으로 접속을 유도한다. 접속 후 거래소를 혼동해 피싱사이트에 이메일주소, 패스워드, 원타임패스워드(OTP) 인증번호 입력 시 해커는 동시간대 실제 거래소 홈페이지에 접속, 암호화폐 출금 등을 시도한다. 거래소를 향한 공격과 달리 곧바로 이용자 피해로 이어진다.
한국인터넷진흥원(KISA)에 피싱사이트 관련 신고도 지속된다. KISA 관계자는 “최근 피싱페이지 신고가 이어져 관련 사이트, 통신사와 협조해 차단 조치를 했다”면서 “암호화폐 거래소나 거래이용자를 대상으로 한 공격은 꾸준히 있었으나 최근 가격 상승과 함께 다시 기승을 부린다”고 설명했다.
비트코인은 13개월 만에 9000달러(1046만원)를 넘어 1만 달러를 돌파했다. 국내 주요거래소에서도 거래가가 1200만원을 돌파하는 등 지속 상승을 보인다. 이외 주요 암호화폐도 급락을 지속하는 등 제2 암호화폐 열풍까지 감지된다.
전문가는 향후 암호화폐 가격이 지속 급등세를 이어 갈 것으로 예상되는 만큼 주요 공격에 대비 하는 등 주의가 필요하다고 지적한다. 공격 대상이 자주 방문하는 웹사이트에 미리 악성코드를 심어둔 뒤 접속을 기다리는 '워터링홀' 공격, 관계자를 사칭한 스피어피싱, 공급망 공격 등을 해커가 주로 이용한다.
문종현 이스트시큐리티 이사는 “비트코인 시세 상승과 함께 암호화폐 거래소나 관계자를 노린 공격이 비례적으로 증가할 우려가 있다”면서 “특히 스피어피싱, 워터링홀, 공급망 공격 등에 특별히 주의가 필요하다”고 말했다.
정영일기자 jung01@etnews.com
