가장 큰 암호화폐 도난 사건 중 하나로, 세이셸에 본사를 둔 거래소 Bybit는 2025년 2월 21일에 북한과 연계된 해커들의 정교한 해킹으로 인해 이더리움(ETH) 약 15억 달러를 잃었다.

해킹은 Bybit의 CEO 벤 저우에 의해 확인되었으며, 암호화폐 산업을 대상으로 한 사이버 범죄의 중대한 확대로, 디지털 자산의 보안에 관한 중요한 질문을 제기합니다.

본 내용에서는 해킹에 대한 심층 분석, 사용된 기술적 방법, 블록체인 분석의 역할, 라자루스 그룹의 개입, 그리고 암호화폐 생태계에 미치는 광범위한 영향을 살펴보겠습니다.

Bybit: 암호화폐 시장의 주요 플레이어

Bybit는 2018년에 설립되어 세이셸에 본사를 두고 있으며, 현재 시장 가격으로 암호화폐를 사고팔고, 레버리지를 통한 미래 가격 변동 예측, 블록체인 운영 지원을 위해 자금을 잠금으로써 보상을 얻는 등 다양한 서비스를 제공하며 주요 암호화폐 거래소로 자리 잡았습니다.

사용하기 쉬운 인터페이스와 다중 서명 콜드 월렛과 같은 강력한 보안 조치들, 정기적인 보안 감사를 통해 글로벌 유저층을 끌어모았습니다. 이로 인해 믿을 수 있는 플랫폼에서도 취약점이 발생했다는 것이 이번 해킹 사건을 특히 충격적으로 만들었습니다.

해킹의 발견

이 해킹은 체인 상의 분석가 ZachXBT에 의해 처음 탐지되었으며, 2025년 2월 21일 오전 10:20 ET에 Bybit의 월렛에서 총 14억 6천만 달러의 의심스러운 자금 유출을 표시하였습니다.

이 유출은 401,347 ETH를 포함하여 잠재적 보안 침해에 대한 즉각적인 우려를 불러일으켰고, 30분 내에 Bybit CEO 벤 저우가 이를 확인하며, 교환 중의 다중 서명 콜드 월렛이 묵시적인 거래 기술에 의해 공격당했음을 X (구 트위터)에서 게시했습니다.

다중 서명 콜드 월렛과 보안 이해

다중 서명 콜드 월렛이란 무엇인가?

다중 서명(멀티 시그) 콜드 월렛은 거래를 승인하기 위해 여러 개인 키가 필요한 방식으로 보안을 향상시키기 위한 암호화폐 저장 유형입니다.

단일 키 월렛과 달리, 다중 서명 월렛은 여러 당사자 또는 기기에 통제를 분배하여, 도난에 대한 취약성이 줄어듭니다. 예를 들어, 2-of-3 다중 서명 월렛은 지정된 3명의 서명자 중 2명이 거래 승인을 요구합니다.

콜드 월렛은 오프라인 상태로 보관되어 있어 해킹이나 피싱 등의 온라인 공격 위험을 줄입니다.

Bybit의 다중 서명 콜드 월렛 설정은 여러 명의 서명자가 승인하는 것을 요구하였으며, 이는 대량의 암호화폐를 안전하게 보호하기 위한 표준적인 관행입니다.

Bybit의 다중 서명 콜드 월렛 이용은 상당한 양의 ETH를 보호하기 위한 것이었으며, 이번 해킹은 특히 놀라웠으며, 공격의 정교함을 강조했습니다.

해킹이 실행된 방법: 기술적 세부 사항

공격자들은 소셜 엔지니어링과 고급 기술 조작의 조합을 통해 Bybit의 다중 서명 보안을 우회하였습니다.

다음은 공격에 대한 세부 분석입니다.

1. 소셜 엔지니어링을 통한 초기 접근

해커들은 북한의 라자루스 그룹의 일부로 추정되며, 고급 피싱 기법을 사용하여 초기 접근을 얻었을 가능성이 있습니다. 이러한 기술들은:

• 스피어 피싱 이메일: 직원이나 서명자를 속여 자격 증명 또는 악성 링크를 클릭하도록 하는 타겟 이메일.
• 가짜 웹사이트: 개인 키나 시드 구문을 포획하기 위해 합법적인 Bybit 인터페이스를 모방한 피싱 사이트.
• 악성코드 감염: 서명자가 사용하는 시스템이나 장치를 손상시키기 위해 악성코드를 배포.

이러한 소셜 엔지니어링 전술은 가장 안전한 시스템에서도 주요 취약점으로 작용한 인간의 오류를 악용했습니다.

2. 인터페이스 변경을 통한 거래 조작

Bybit의 ETH 다중 서명 콜드 월렛에서 웜 월렛(빠른 거래를 위한 온라인 월렛)으로의 루틴 전송 중에 공격자들은 자신들의 익스플로잇을 실행했습니다. 해커들은 서명자들이 거래를 승인하는 사용자 인터페이스를 조작하였습니다. 이 인터페이스는 합법적인 거래 주소를 표시하도록 변경되었지만, 기본적인 스마트 계약 논리에 악성 코드를 내장했습니다.

서명자들은 조작을 인지하지 못한 채 일상적인 전송으로 보이는 것을 승인했으나, 승인된 거래는 월렛의 통제 메커니즘을 변경하는 악성 코드를 포함하고 있었습니다.

3. 스마트 계약 논리 변경

승인된 거래는 스마트 계약 논리를 변경하고, 해커들에게 월렛에 대한 통제권을 부여했습니다. 이것은 그들이 401,347 ETH를 자신들이 통제하는 식별되지 않은 주소로 이전할 수 있게 했습니다.

이번 공격은 이더리움 블록체인이나 그 스마트 계약을 손상시키지 않고, Bybit의 내부 거래 승인 및 검증 과정의 취약점을 이용했습니다.

4. 자금 세탁과 분산

해커들이 자금 통제에 성공한 후, 도난당한 ETH를 빠르게 여러 월렛에 분산시켜 추적을 혼란시켰습니다.

이더리움은 1,000 ETH의 단위로 나누어져 40개 이상의 다른 월렛으로 전송되었습니다.

공격자들은 다른 암호화폐 또는 현금으로 변환하여 중앙화 거래소의 신원확인(KYC) 요구가 없는 탈중앙화 거래소(DEX)를 통해, 자금을 동결하거나 회복하기 더욱 어렵게 만들었습니다.

블록체인 분석과 자금 추적

블록체인 분석 회사들은 공격자들의 움직임을 가리기 위한 노력에도 불구하고 도난당한 자금 추적에 중요한 역할을 했습니다.

주요 회사와 도구들은 다음과 같습니다:

• Elliptic: 분산 및 청산되는 도난당한 ETH를 추적한 블록체인 분석 회사. Elliptic의 소프트웨어는 거래 패턴과 월렛 주소를 분석하여 수상한 활동을 식별합니다.
• Arkham Intelligence: 자금의 실시간 추적을 제공하고 관련 월렛과 거래 흐름을 식별한 또 다른 분석 회사.
• MistTrack by Slow Mist: 이더리움 네트워크를 통해 이동하는 도난당한 ETH를 지도화하기 위해 사용된 블록체인을 이용한 법의학 도구. MistTrack은 라자루스 그룹의 전술을 시사하는 테스트 거래 및 월렛 패턴을 파악했습니다.

이러한 노력에도 불구하고, 청산의 속도와 규모는 회복을 어렵게 만들었습니다.

공격자들이 사용한 DEX와 믹서(암호화폐의 출처를 숨기기 위해 암호화폐를 뒤섞는 도구)가 과정을 더욱 복잡하게 했습니다.

해킹 주범: 라자루스 그룹

라자루스 그룹은 누구인가?

라자루스 그룹은 고위 사이버 범죄, 암호화폐 강탈, 랜섬웨어 공격 및 스파이 활동을 주도한 것으로 알려진 북한의 정부 후원 해킹 집단입니다.

이 그룹은 주로 북한 정부의 자금원이 되는 것을 목표로 하는 것으로 알려진 북한의 정찰총국(RGB) 지휘 하에 작전이 수행되는 것으로 추측됩니다.

라자루스와 Bybit 해킹의 연계 증거

블록체인 분석가들, 특히 ZachXBT는 이전의 라자루스 그룹의 해킹과 특정 지표를 기반으로 Bybit 해킹을 연결했습니다.

• 테스트 거래: 주요 공격 이전에 월렛 기능을 테스트하기 위해 소량의 전송을 보낸 것, 이는 라자루스 전술의 특징입니다.
• 관련 월렛: Bybit 해킹에 사용된 월렛은 페멕스 해킹과 유사한 기법과 패턴으로 연결되었습니다.
• 법의학 차트 및 타이밍 분석: 거래 타이밍과 월렛 활동의 패턴이 라자루스 그룹의 알려진 행동과 일치하였습니다.

라자루스 그룹의 전적

라자루스 그룹은 암호화폐 절도에 관한 오랜 역사를 가지고 있으며, 그 중 주목할 만한 사례들은:

• Ronin 네트워크 해킹(2022): 액시 인피니티 게임 플랫폼에서 ETH와 USDC 약 6억 달러를 훔쳤습니다.
• 페멕스 해킹(2024): Bybit 해킹과 유사한 기술 및 월렛 패턴과 연결되었습니다.
• 2024년 총계: 47회의 해킹을 통해 13억 4천만 달러를 도난당했으며, 해당 연도의 불법 암호화폐 활동의 61%를 차지했습니다.

그룹의 고급 기술, 제로 데이 익스플로잇(이전에 알려지지 않은 취약점) 및 정교한 소셜 엔지니어링은 암호화폐 산업에 상당한 위협이 되고 있습니다.

이더리움 및 암호화폐 생태계에 대한 영향

이더리움의 보안

해킹의 규모에도 불구하고, 이더리움 자체는 손상되지 않았습니다.

취약성은 Bybit의 내부 프로세스에 있었으며, 이더리움 블록체인이나 스마트 계약에는 없었습니다.

여기 이유가 있습니다.

이더리움 블록체인은 거래의 분산 원장으로, 안전하게 유지되었습니다. 공격은 블록체인의 합의 메커니즘(지분 증명)이나 스마트 계약 시스템의 결함을 이용하지 않았습니다.

브리치는 거래 승인 조작에서 비롯됨으로써 암호화폐 관리에서 인간 주도 프로세스의 위험성을 강조했습니다.

스마트 계약 코드 자체는 해킹되지 않았지만, 승인 과정에서 사용자 인터페이스와 거래 서명 메커니즘의 보안에 대한 우려가 제기되었습니다.

넓은 시장에 미치는 영향

해킹 사건은 암호화폐 시장에 즉각적이고 광범위한 여파를 미쳤습니다.

해킹 확인 이후 ETH 가격은 3% 이상 하락하여 변동성을 드러냈습니다.

이 사건은 보통 ETH에 대해 긍정적인 평가를 받는 이더리움 생태계에서 가장 큰 컨퍼런스인 ETHDenver와 맞물려 약세 그림자를 드리고 있었습니다.

이 사건은 중앙화 거래소에 대한 신뢰를 침식시켰고, 사용자가 자산의 안전성을 의문시하게 만들었으며, 탈중앙화 금융(DeFi) 솔루션에 대한 관심을 증가시켰습니다.

그리고 물론, 가장 큰 해킹 사건이 강세장에서 발생했다는 사실도 무시할 수 없습니다.

Bybit의 대응 및 복구 노력

Bybit의 신속한 대응은 공황을 완화하고 운영적 회복력을 잘 보여주었습니다. Content: 해킹 후 거래소는 58만 건 이상의 출금 요청을 처리하여 사용자들이 자신의 자금에 접근할 수 있도록 보장했습니다.

Bybit은 또한 손실을 보상하기 위해 브릿지 론을 확보하여 사용자들에게 그 가용성을 안심시켰습니다. 거래소는 도난당한 ETH를 회수하는 데 도움을 주는 윤리 해커들에게 회수된 자금의 최대 10%를 제공하는 프로그램을 시작했습니다.

이러한 조치들은 적극적이지만, 특히 공격자의 자금 세탁 기법을 고려할 때 대규모 해킹에서 자금을 회수하는 어려움을 강조합니다.

미래를 위한 예방 조치

유사한 해킹을 피하기 위해 전문가들은 Bybit 사건에서 얻은 통찰력과 산업의 최고 관행을 기반으로 한 포괄적인 보안 조치를 권장합니다.

1. 다중 요소 인증 (MFA)

거래 승인에 여러 검증 레이어를 요구합니다. 예를 들어:

• 생체 인증: 지문 또는 얼굴 인식.
• 하드웨어 토큰: 일회용 코드를 생성하는 물리적 장치.
• 시간 기반 일회용 비밀번호 (TOTP): 구글 인증 앱과 같은 임시 코드.

2. 안전한 통신 채널

거래 관련 모든 통신을 위해 암호화되고 검증된 채널을 사용합니다. 예를 들어:

• 종단간 암호화 이메일: ProtonMail이나 Signal과 같은 도구를 통한 안전한 메시징.
• 전용 안전 포털: 외부 위협으로부터 격리된 거래 승인 내부 시스템.

3. 정기적인 보안 감사

취약점을 식별하기 위해 빈번한 평가와 침투 테스트를 실시합니다. 예를 들어:

• 타사 감사: 보안 프로토콜을 검토하기 위해 평판 높은 회사와의 협력.
• 시뮬레이션 공격: 피싱, 악성 소프트웨어, 사회 공학 시나리오에 대한 시스템 테스트.

4. 직원 교육

사회 공학 위협을 인식하도록 직원을 교육합니다. 예를 들어:

• 스피어 피싱 인식: 의심스러운 이메일이나 링크를 식별하도록 직원 훈련.
• 신원 정보 보안: 비밀번호를 재사용하지 않거나 키를 안전하게 저장하지 않을 것.

5. 다양화된 자산 관리

노출을 제한하기 위해 여러 지갑에 자금을 분배합니다. 예를 들어:

• 콜드 및 핫 월렛 균형: 대부분의 자금을 콜드 스토리지에 보관하고 일일 운영을 위한 최소 금액만 핫 월렛에.
• 다중 서명 배포: 다양한 자산 풀에 대해 다른 다중 서명 구성을 사용.

6. 이상 탐지 시스템

비정상 거래 패턴을 탐지하고 경고하는 도구를 구현합니다. 예를 들어:

• 머신 러닝 모델: 이례적인 시간에 큰 이체와 같은 정상 활동에서의 편차 식별.
• 실시간 경고: 의심스러운 유출에 대해 보안 팀에 알림 제공.

7. 위협에 대한 최신 정보 유지

신규 사이버 위협에 맞서 보안 조치를 지속적으로 업데이트합니다. 예를 들어:

• 위협 인텔리전스 피드: 새로운 공격 벡터를 추적하는 서비스 구독.
• 제로데이 익스플로잇 방어: 새로 발견된 취약점을 해결하기 위해 패치와 업데이트를 신속하게 배포합니다.

이러한 조치들은 특히 제로데이 익스플로잇, 정교한 사회 공학, 빠른 자금 세탁을 포함한 Lazarus Group의 고급 기법을 고려할 때 매우 중요합니다.

결론: 암호화폐 산업에 주는 교훈

역사상 가장 큰 암호화폐 강탈 사건인 Bybit 해킹은 Lazarus Group와 같은 국가 후원 행위자들로 인해 산업이 직면하고 있는 지속적인 보안 문제를 강조합니다.

Ethereum은 안전하지만, 이 사건은 디지털 자산을 보호하기 위한 강력한 내부 프로세스, 고급 사이버 보안 조치, 지속적인 경계의 필요성을 강조합니다.

암호화폐 생태계가 진화함에 따라, 거래소는 사용자 신뢰와 운영 회복성을 우선하여 이러한 위기를 효과적으로 극복할 수 있어야 합니다.

Bybit 침해 사건은 가장 안전한 플랫폼조차 인간의 실수와 정교한 공격에 취약할 수 있음을 상기시켜 주며, 사이버범죄와 싸우기 위해 보안의 겹침과 산업 전반의 협력이 중요함을 강조합니다.