암호화폐 거래소 비트겟에서 3억8750만달러가 빠져나간 사건의 원인이 밝혀졌습니다. 공격자는 비트겟이 사용하던 외부 보안 업체의 보안 장비에 있던 제로데이(아직 패치가 없는 미공개 취약점)를 뚫고 들어왔습니다. 실제 자산이 빠져나가기 25일 전인 8월 31일부터 이미 침입 흔적이 남아 있었던 것으로 조사됐습니다. 공격자는 보안 장비에 웹셸을 심고 비트겟의 지갑 운영 서버까지 접근해 자체 제작한 출금 도구로 여러 블록체인에서 자금을 빼갔습니다. 비트겟 CEO는 북한 해커를 배후로 지목했으며, 두 보안 제품의 패치 여부는 아직 알려지지 않았습니다.
암호화폐 거래소 비트겟이 운영하던 지갑에서 3억8750만달러가 도난당했으며, 조사 결과 공격자가 외부 보안 업체의 보안 장비 제로데이 취약점을 통해 25일 전부터 침입해 있었던 것으로 확인됐다.
7개 블록체인(이더리움, XRP 레저, 아비트럼, 아발란체, 옵티미즘, BSC, 베이스)에서 약 3시간에 걸쳐 거액의 자산이 빠져나갔다.
비트겟이 쓰던 보안 제품(제품 A)의 제로데이 취약점이 최초 침입 경로였고, 이후 보안 장비 두 대가 장악되어 웹셸과 명령제어(C2) 서버 연결을 통해 지갑 운영 서버까지 접근이 확대됐다.
비트겟은 슬로우미스트와 맨디언트에 조사를 맡겨 침해 경로를 공개했고, 탈취 자금 회수나 동결에 협조하는 이에게 5%를 지급하는 포상 프로그램을 운영 중이다.
기업이 도입한 보안 장비 자체가 공격자의 침입 통로가 될 수 있으므로, 외부 보안 솔루션의 패치 관리와 이상 행위 모니터링을 소홀히 해서는 안 된다.
본문
암호화폐 거래소 비트겟에서 3억8750만달러가 빠져나간 사건은 비트겟이 쓰던 외부 업체 보안 제품의 제로데이 취약점에서 시작됐다. 공격자의 첫 흔적은 탈취 25일 전부터 남아 있었다.
비트겟은 블록체인 보안 기업 슬로우미스트(SlowMist)와 구글클라우드 산하 맨디언트의 조사 결과를 공개했다. 두 조사 모두 공격자가 외부 보안 장비 두 대를 장악해 비트겟 지갑 환경에 들어왔다고 판단했다.
회사를 지키려 들여놓은 보안 장비가 침입 통로가 된 셈이다. 두 조사는 제품 이름 대신 제품 A, 보안 장비 A와 B라고만 표기했다.
슬로우미스트에 따르면 가장 이른 악성 활동은 8월 31일 로그에 남아 있었다. 제품 A의 한 노드에서 돌던 서비스가 제로데이 공격을 받았다. 공격자는 이 서비스 프로세스 아래서 숨긴 스크립트를 실행하고, 데이터베이스 비밀번호가 담긴 환경 변수를 읽어 데이터베이스에 접속했다. 9월 23일과 25일엔 다른 노드 두 곳에서도 비슷한 활동이 나왔다.
맨디언트는 9월 24일 공격자가 보안 장비 A와 B에 높은 권한으로 무단 접근했다고 밝혔다. 공격자는 장비 B에 웹셸을 심고 명령제어(C2) 서버와 연결했다. 이 발판을 이용해 비트겟 운영 지갑 서버로 옮겨가 악성 패키지를 설치했다. 탈취에는 직접 만든 출금 도구가 쓰였다.
자산은 9월 25일 자정을 넘겨 빠져나갔다. 슬로우미스트 기록상 첫 이체는 새벽 2시31분(UTC+8), 마지막은 5시23분으로 약 3시간이 걸렸다. 이더리움과 XRP 레저, 아비트럼, 아발란체, 옵티미즘, BSC, 베이스 등 블록체인 7곳에서 자산이 옮겨졌다.
그레이시 천 비트겟 최고경영자(CEO)는 IP 주소 행태 패턴과 블록체인 분석을 근거로 북한 해커를 배후로 지목했다. 비트겟은 도난 자금을 되찾거나 동결하는 데 도움을 준 이에게 5%를 주는 회수 포상 프로그램을 내걸었다.
두 보안 제품에 패치가 나왔는지, 취약점이 공개됐는지는 알려지지 않았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
