▲

GN⁺: 2조원 규모 Bybit 해킹: 운영 보안 실패의 시대가 도래하다

 (blog.trailofbits.com)
3P by neo 6일전 | ★ favorite | 댓글 1개
  • 2025년 2월 21일, Bybit 거래소에서 멀티시그 콜드월렛이 해킹되어 약 15억 달러 상당의 암호화폐가 유출
  • 해커들은 다중 서명자의 기기를 해킹하여, 지갑 인터페이스에서 서명자들이 보게 되는 내용을 조작
  • 서명자들은 일반적인 거래를 수행하는 것으로 착각한 채 해커가 원하는 서명 데이터를 제공
  • 이는 최근 중앙화 거래소 해킹 방식이 코드 취약점이 아닌 운영 및 인적 보안 취약점을 공략하는 방향으로 변화하고 있음을 시사함

최근 유사 해킹 사례

  • WazirX 거래소(2024년 7월): 2억 3천만 달러 손실
  • Radiant Capital(2024년 10월): 5천만 달러 손실
  • Bybit 거래소(2025년 2월): 15억 달러 손실

북한 해킹 조직 연관성

  • Arkham Intelligence 및 ZachXBT의 분석에 따르면, 이번 공격은 북한 해커 조직과 연관된 것으로 확인
  • 북한의 정찰총국(RGB) 산하 TraderTraitor, Jade Sleet, UNC4899, Slow Pisces 등의 국가 지원 해킹 그룹이 연루됨
  • RGB 해커 조직의 공격 방식
    • 소셜 엔지니어링 캠페인을 통해 시스템 관리자, 개발자, 재무팀 직원을 표적으로 삼음
    • 맞춤형 채용 사기 및 피싱 공격으로 주요 인력을 감염시킴
    • 다중 플랫폼 악성코드를 활용해 Windows, MacOS, 다양한 암호화폐 지갑을 감염
    • 사용자가 보는 거래 화면을 조작하여 서명을 유도

기존 보안 시스템이 무력화되는 이유

  • 공격자들은 반복적인 공격을 통해 도구와 기법을 지속적으로 개선
  • 일반적인 보안 조치로는 방어가 어려운 이유:
    • 운영 보안이 미흡한 조직은 큰 위험에 노출됨
    • 다중 서명 시스템조차 조작 가능
    • 기존의 전통적인 보안 솔루션(EDR, 방화벽 등)으로 탐지하기 어려운 형태의 공격 기법 사용

암호화폐 보안의 새로운 현실

  • 기존의 스마트 컨트랙트 보안 강화만으로는 충분하지 않음
  • 운영 보안 실패가 가장 큰 위협 요소가 됨
  • 기업들은 해킹 가능성을 전제로 한 보안 전략을 구축해야 함

기업이 반드시 도입해야 할 보안 전략

  • 인프라 분리
    • 거래 서명 시스템은 일반 운영 네트워크와 물리적/논리적으로 분리해야 함
    • 전용 하드웨어 및 네트워크, 엄격한 접근 통제 적용
  • 다층 방어(Defense-in-Depth)
    • 하드웨어 지갑, 다중 서명, 거래 검증 도구를 결합하여 복합적인 보안 시스템 구축
    • 단일 보안 조치가 아닌 중첩된 보안 전략이 필수
  • 조직 차원의 대비책
    • 운영 및 기술적 위협 모델링 수행
    • 외부 보안 감사 및 평가 정기적으로 실시
    • 보안 훈련 및 해킹 대응 시뮬레이션 주기적으로 진행
    • 구체적인 사고 대응 계획 수립 및 정기 테스트

Trail of Bits의 보안 가이드

결론: 더 이상 기존 보안으로는 방어 불가능

  • Bybit 해킹 사건은 암호화폐 보안이 새로운 국면으로 진입했음을 보여줌

  • 운영 보안 강화 없이는 대형 해킹을 피할 수 없음

  • 보안 연구자 Tayvano의 강경한 발언이 현재 상황을 단적으로 설명함:

    "한 번 기기가 감염되면 끝장이다. 만약 키가 핫월렛이나 AWS에 있다면 즉시 해킹당한다. 키가 콜드월렛에 있어도 해커는 단지 조금 더 노력할 뿐이다. 어쨌든 결국 해킹당할 것이다."

기업이 당장 해야 할 조치

  • 운영 보안 리스크 평가 실시
  • Air-Gapped 서명 인프라 도입
  • 국가 지원 해킹 조직 대응 경험이 있는 보안팀과 협력
  • 사고 대응 계획 수립 및 정기 테스트

"다음 10억 달러 해킹은 시간 문제, 대비하지 않으면 피해는 불가피함"

▲
neo 6일전  [-]
Hacker News 의견

  • 최근 관련 사건: Bybit가 해킹으로 15억 달러 손실을 입음

    • 공격자들이 다중 서명 콜드 스토리지 지갑에서 약 15억 달러를 탈취했음
    • 공격자들이 여러 서명자의 기기를 손상시키고, 서명자들이 지갑 인터페이스에서 보는 것을 조작하여 서명자들이 일상적인 거래를 수행한다고 믿는 동안 필요한 서명을 수집했음

  • 해커들이 원격 접근을 통해 '서명자들이 지갑 인터페이스에서 보는 것을 조작'할 수 있다면, 이는 콜드 스토리지로 보이지 않음

  • 다중 서명 상호작용에서 해킹당할 수 있는 세 가지 방법:

    • 다중 서명 스마트 계약이 소유됨
    • 서명하는 컴퓨터가 소유됨
    • 사용하는 하드웨어 지갑(ledger, trezor)이 소유됨

  • Gnosis Safe라는 다중 서명 계약은 매우 견고한 것으로 나타났고, 하드웨어 지갑은 공격하기 매우 어려움. 현재 약점은 컴퓨터임

  • 암호화폐 회사들은 서명을 위한 더 잠긴 전용 기기로 이동하고, 하드웨어 지갑 화면에 표시되는 것을 실제로 확인하는 방식으로 문제를 해결해야 함

  • 온라인 보안 세계는 매우 혼란스러움. 다른 공학 분야에서는 외국 국가가 만든 것을 명시적으로 목표로 삼는 경우가 거의 없음

    • 예를 들어, 고층 건물은 지속적인 포격을 견디도록 설계되지 않음
    • 자동차도 탱크 포탄을 견디도록 설계되지 않음
    • 북한이 미사일로 사람을 죽이거나 작은 건물을 파괴하면 대중의 분노와 신속한 군사적 대응이 있을 것임

  • 그러나 온라인에서는 상황이 다름. 북한은 원하는 대로 시스템에 공격을 가할 수 있고, 주된 반응은 "더 안전한 시스템을 구축했어야 했다"는 것임

    • Bybit 사람들이 더 조심할 수 있었겠지만, 온라인 환경이 얼마나 혼란스러운지 인식할 필요가 있음

  • 이 게시물은 해킹이 어떻게 발생했는지에 대한 세부 정보가 부족함

    • 도구에 대해 이야기하는 것을 보면, 사람들이 악성 소프트웨어를 다운로드하고 실행하도록 속았다는 것을 이해하는 것이 맞는지 궁금함

  • 공격자들이 여러 서명자의 기기를 손상시키고, 서명자들이 지갑 인터페이스에서 보는 것을 조작하여 서명자들이 일상적인 거래를 수행한다고 믿는 동안 필요한 서명을 수집했음

    • 서명자가 몇 명인지 아는 사람이 있는지 궁금함

  • 암호화폐에 대해 거의 모르는 상태에서 진지한 질문: 이 공격에서 실제로 돈을 잃은 사람은 누구인지? 많은 개인들인지?

  • 9년 전 5천만 달러가 도난당했을 때 ETH가 하드 포크했던 것을 기억함

  • 내 이해로는 이 다중 서명이 실패한 이유는 대부분의 보안처럼 모두가 '예'를 누르고 소통하거나 조사하거나 질문하지 않았기 때문임. 다중 서명의 목적을 무의미하게 만듦

  • 왜 이들을 여러 개의 별도 지갑으로 분리하지 않는지 정말 이해할 수 없음

답변달기