온체인 악성코드 420% 급증 — 체이널리시스가 짚은 블록체인 명령 서버

블록체인 분석 회사 체이널리시스가 9월 17일 보고서를 냈어요. 악성코드가 받아 볼 명령을 블록체인 거래 안에 숨겨 두는 수법이 최근 12개월 동안 420% 늘었다고 해요. 분기마다 새로 생기는 활동의 약 3분의 2는 북한·이란처럼 국가와 연결된 조직이 만들고 있어요.

블록체인 데드 드롭이 뭐예요

체이널리시스는 이 수법을 블록체인 데드 드롭(Blockchain Dead Drop, BDD) 이라고 불러요. 악성코드에 감염된 컴퓨터가 명령을 어디서 받아 오느냐가 핵심이에요.

원래 공격자는 자기 서버를 하나 두고 거기서 명령을 내려요. 이걸 명령 서버(C2, Command and Control)라고 해요. 그런데 이 서버는 도메인을 압수당하거나 호스팅이 끊기면 그걸로 끝이에요.

블록체인 데드 드롭은 그 명령이나 명령 서버 주소를 온체인 거래와 스마트컨트랙트 안에 적어 둬요. 감염된 컴퓨터는 그냥 블록체인을 읽어서 다음에 뭘 할지 알아내요. 체이널리시스는 이걸 "오프라인으로 내릴 수 없는 검열 저항 데이터베이스"라고 표현했어요.

스마트컨트랙트를 쓰는 초기 형태가 이더하이딩(EtherHiding) 이에요. 2025년에 북한 해커가 스마트컨트랙트 안에 코인을 빼가는 코드를 넣어 둔 사례로 알려졌어요. 지금은 거래 자체에 적어 두거나 여러 체인을 섞어 쓰는 형태까지 넓어졌고, 그래서 데드 드롭이라는 더 넓은 이름을 쓰게 됐어요.

누가 어떤 체인을 쓰고 있나

보고서는 주요 블록체인 5곳과 12종이 넘는 악성코드 계열에서 이 활동을 추적하고 있다고 밝혔어요. 확인된 사례는 이래요.

조직	쓴 체인	방식
UNC5342 (북한 연계)	BSC · 트론 · 앱토스	가짜 채용 담당자 수법으로 악성코드를 심고, BSC 스마트컨트랙트에 명령을 둠
이란 정보부 연계 조직	비트코인	거래의 OP_RETURN 칸에 명령 데이터를 적음
러시아어권 범죄 조직	폴리곤	스마트컨트랙트를 저장소처럼 쓰고, 러시아 포럼에서 구독으로 판매

UNC5342는 구글 위협 인텔리전스가 추적하는 북한 연계 조직이에요. 트론을 주 통로로 쓰고 앱토스를 예비 통로로 둬서, 한쪽이 막혀도 결국 BSC에 있는 명령을 가리키게 만들어 놨어요.

이란 쪽은 사토시 나카모토 시절 주소로 소액을 보내는 방식을 조회 지점으로 썼어요. 감염된 기기는 그 주소에 붙은 거래를 보고 갱신된 명령을 받아 가요.

러시아어권 조직은 아예 이걸 서비스로 팔았어요. 스마트컨트랙트를 "프로그래밍할 수 있는 저장소"로 쓰면서 구독 모델로 다른 범죄자에게 빌려주는 구조예요.

AI 코딩 도구와 겹친 시점

수치가 하나 더 있어요. 체이널리시스는 악의적인 온체인 쓰기 건수가 하루 2.06건에서 11.1건으로 늘었다고 밝혔어요. 440% 증가예요.

기준점은 2025년 7월이에요. 안전장치가 거의 없는 오픈소스 중국 AI 코딩 모델이 나오면서 악성코드를 만들기 쉬워진 시점이에요.

다만 체이널리시스는 인과관계를 증명했다고 말하지 않았어요. "시점상 명확한 연관"이 보인다는 표현까지만 썼어요. AI가 원인이라고 단정한 게 아니라는 뜻이에요.

왜 하필 블록체인일까

이유는 단순해요. 체이널리시스는 블록체인이 "쓰기 싸고, 끊기 어렵고, 전 세계 어디서나 접근된다"고 정리했어요.

도메인을 압수하고 호스팅을 내리고 코드 저장소를 지워도, 체인에 한 번 적힌 데이터는 그대로 남아 있어요. 캠페인이 살아남는 거예요.

막는 쪽도 곤란해요. 회사에서 블록체인으로 나가는 통신을 통째로 막으면 정상적인 서비스까지 같이 죽어요. 그래서 보고서는 다른 방법을 권해요. 공격자 지갑, 명령을 가리키는 컨트랙트, 자금이 흘러온 경로, 갱신 이력을 지도처럼 이어 붙여서 흩어진 캠페인을 같은 조직으로 묶는 방식이에요. 회사 보안팀이라면 외부 블록체인 노드로 나가는 JSON-RPC 호출을 이상 징후로 지켜보라고 했어요.

지갑이 털린다는 얘기는 아니에요

오해하기 쉬운 부분을 짚을게요. 이건 내 지갑이나 내 코인이 온체인에서 직접 털리는 얘기가 아니에요. 블록체인은 악성코드가 명령을 받아 가는 게시판으로 쓰이고 있어요. 감염은 여전히 내 컴퓨터에서 시작돼요.

그래서 실제로 조심할 지점은 감염 경로예요. 북한 연계 조직이 쓴 건 가짜 채용 담당자 수법이에요. 좋은 자리를 제안하면서 과제 파일이나 코드를 보내고, 그걸 실행하게 만드는 방식이에요. 개발자를 노린 수법으로 오래 쓰여 왔어요.

링크드인이나 텔레그램으로 온 채용 제안에 붙은 파일, 압축 파일, 깃 저장소를 회사 노트북이나 지갑이 깔린 컴퓨터에서 바로 돌리지 않는 게 안전해요. 실행할 일이 있으면 지갑이 없는 별도 환경에서 해 보세요.

정리

• 체이널리시스가 9월 17일 낸 보고서에서 악성코드 명령을 온체인에 숨기는 블록체인 데드 드롭이 최근 12개월간 420% 늘었다고 밝혔어요. 분기마다 새 활동의 약 3분의 2가 국가 연계 조직이에요.
• 북한 연계 UNC5342는 BSC·트론·앱토스를, 이란 연계 조직은 비트코인 OP_RETURN을, 러시아어권 조직은 폴리곤을 썼어요. 악의적인 온체인 쓰기는 하루 2.06건에서 11.1건으로 늘었어요.
• 내 지갑이 온체인에서 직접 털리는 구조는 아니에요. 감염은 컴퓨터에서 시작돼요.

다음에 할 일 하나만 고르면, 모르는 사람이 채용이나 협업을 빌미로 보낸 파일을 지갑이 깔린 컴퓨터에서 실행하지 않는 습관을 들여 보세요. 원문 보고서는 체이널리시스 블로그에서 볼 수 있어요.