북한과 이란 등 국가 연계 해커들이 악성코드 명령과 인프라 정보를 퍼블릭 블록체인에 저장하는 사례가 빠르게 증가하고 있는 것으로 나타났습니다.
체이널리시스에 따르면 이러한 블록체인 기반 악성 활동은 최근 12개월 동안 420% 증가했으며, 분기별로 새롭게 포착된 활동의 약 3분의 2를 국가 연계 해커들이 차지했습니다. 체이널리시스는 북한과 이란 연계 운영자들이 이 기술을 활용하고 있다고 분석했습니다.
특히 트론과 앱토스, BNB 스마트 체인에서 발견된 활동은 구글 위협 인텔리전스가 북한 연계 그룹으로 추적하는 UNC5342와 연결됐습니다. 트론과 앱토스 거래에 저장된 포인터가 감염된 기기를 동일한 BSC 거래로 안내하며, 해당 거래에는 원격 제어와 데이터 탈취용 오프체인 인프라에 연결하기 위한 암호화된 서버 주소와 설정 정보가 담겨 있었습니다.
체이널리시스는 퍼블릭 블록체인을 활용하면 기존 도메인이나 서버, 코드 저장소가 차단되더라도 저장된 정보에 계속 접근할 수 있어 악성코드 캠페인의 지속성이 높아진다고 설명했습니다. 북한 해커들은 2025년에도 ‘에더하이딩(EtherHiding)’ 기술을 이용해 스마트컨트랙트와 블록체인 거래에 악성 코드를 저장한 바 있습니다.