암호화폐 해커들이 이더리움 스마트 계약을 사용하여 악성코드를 숨기는 방법

ReversingLabs의 보안 연구원들은 이더리움 스마트 계약을 활용하여 악성코드 배포를 은폐하는 새로운 공급망 공격을 확인했습니다. 'colortoolsv2' 및 'mimelib2'라는 무해한 유틸리티로 위장한 두 개의 악성 NPM 패키지는 숨겨진 URL을 가져오기 위해 스마트 계약 호출을 통합하여 감염된 시스템에 2단계 페이로드를 전달했습니다. 이 기술은 블록체인 트랜잭션 내에 검색 로직을 삽입하여 기존의 정적 및 동적 코드 검사 방식을 우회하고 악성 활동을 정상 네트워크 트래픽에 혼합했습니다.

공격자들은 가짜 커밋으로 채워진 가공의 GitHub 리포지토리를 등록하고 별 개수를 부풀리며 위조된 사용자 기여를 통해 신뢰성을 높였습니다. 피해자 환경에서 이 패키지를 실행하면 이더리움 노드에 접속하여 계약 기능을 호출하고 숨겨진 다운로드 링크를 반환 받았습니다. 이 방식은 표준 소프트웨어 레지스트리에서 거의 흔적을 남기지 않는 블록체인 기반 콜백으로 인해 탐지의 복잡성을 높였습니다. 분석가들은 이것이 GitHub Gists나 클라우드 스토리지 같은 공개 호스팅 서비스를 이용한 구형 전술의 진화된 형태라고 지적합니다.

ReversingLabs는 공격 샘플이 암호화된 페이로드 메타데이터 배포를 제어하는 두 개의 스마트 계약 주소를 악용한다고 보고합니다. 패키지 실행 시 NPM 레지스트리의 배포 메커니즘은 계약에 마스킹된 엔드포인트를 질의하는 스텁 모듈을 로드합니다. 해당 엔드포인트는 AES로 암호화된 바이너리 로더를 제공하며, 이 로더는 자격 증명 수집 및 원격 코드 실행을 목적으로 설계된 고급 악성코드를 해독하고 실행합니다. 표적은 개발자 워크스테이션과 빌드 서버로 보이며 CI/CD 파이프라인을 통한 추가 전파가 우려됩니다.

이번 캠페인은 블록체인 기술과 사이버 보안 위협의 교차점이 점점 커지고 있음을 강조합니다. 스마트 계약 작업 내에 검색 로직을 삽입함으로써 공격자는 기존 방어를 회피하는 은밀한 채널을 확보합니다. 보안 팀은 블록체인 인식 필터링을 구현하고, 비정상적인 아웃바운드 RPC 호출을 모니터링하며, 모든 의존성에 대해 엄격한 공급망 감사를 시행할 것을 권장합니다. 주요 패키지 레지스트리와 개발 플랫폼은 패키지 다운로드와 연관된 온체인 데이터 상호작용 모니터링을 강화해야 합니다.

이 발견에 대응하여 오픈 소스 도구 공급업체들은 스마트 계약 호출 패턴을 탐지하기 위해 스캐닝 엔진을 업데이트하고 있습니다. 네트워크 방화벽 규칙과 개발자 교육 프로그램은 블록체인 엔드포인트와 상호작용하는 코드를 면밀히 검토할 필요성을 강조합니다. 공격자들이 온체인 회피 전략을 개선함에 따라 암호화폐 커뮤니티, 보안 업체, 레지스트리 운영자 간의 협력 노력이 신흥 위협을 완화하고 개발자 생태계를 보호하는 데 필수적입니다.