다음과 같이 번역합니다: <비트코인(BTC)> 근 15억 달러가 도난당한 바이비트(Bybit) 해킹 사건의 배경과 의문점 저자: 슬로우 미스트(慢雾) 보안팀, 슬로우 미스트(慢雾) 기술 목차 - 배경 - 온체인 추적 분석 - 공격 기법 분석 - 시장 영향 - 마무리 배경 2025년 2월 21일 밤, 체인 탐정 ZachXBT에 따르면 바이비트(Bybit) 플랫폼에서 대규모 자금 유출 사건이 발생했습니다. 이번 사건으로 약 14.6억 달러가 도난당하면서 최근 몇 년 간 가장 큰 규모의 암호화폐 도난 사건이 되었습니다. 온체인 추적 분석 사건 발생 후 슬로우 미스트(慢雾) 보안팀은 즉시 보안 경고를 발표하고 도난당한 자산에 대한 추적 분석에 착수했습니다. 슬로우 미스트(慢雾) 보안팀의 분석에 따르면 도난당한 자산은 주로 다음과 같습니다: - 401,347 이더리움(ETH)(약 10.68억 달러 가치) - 8,000 mETH(약 2,600만 달러 가치) - 90,375.5479 스테이킹 이더리움(stETH)(약 2.6억 달러 가치) - 15,000 cmETH(약 4,300만 달러 가치) 우리는 온체인 추적 및 자금 세탁 방지 도구 MistTrack을 사용하여 초기 해커 주소 0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2에 대한 분석을 진행했습니다. 그 결과 이더리움(ETH)이 분산 전송되고 있으며, 초기 해커 주소에서 40개의 주소로 10,000 이더리움(ETH)씩 전송되고 있는 것으로 확인되었습니다.

그 중 205 비트코인(BTC)이 Chainflip을 통해 이더리움(ETH)에서 비트코인(BTC)으로 교환되어 주소 bc1qlu4a33zjspefa3tnq566xszcr0fvwz05ewhqfq로 크로스체인 되었습니다.

cmETH 흐름: 15,000 cmETH가 주소 0x1542368a03ad1f03d96D51B414f4738961Cf4443로 이체되었습니다. mETH Protocol이 X에 게시한 바와 같이, Bybit 보안 사고와 관련하여 팀은 신속하게 cmETH 출금을 중단하여 무단 출금을 막았고, mETH Protocol은 해커 주소에서 15,000 cmETH를 성공적으로 회수했습니다.

mETH와 stETH 이체: 8,000 mETH와 90,375.5479 stETH가 주소 0xA4B2Fd68593B6F34E51cB9eDB66E71c1B4Ab449e로 이체되었고, 이후 Uniswap과 ParaSwap을 통해 98,048 이더리움(ETH)으로 교환되어 주소 0xdd90071d52f20e85c89802e5dc1ec0a7b6475f92로 이체되었습니다. 주소 0xdd9는 10,000 이더리움(ETH) 단위로 9개의 주소로 분산 이체했지만, 아직 출금되지 않았습니다.

또한 공격 기법 분석 섹션에서 제시된 초기 공격 주소 0x0fa09C3A328792253f8dee7116848723b72a6d2e를 추적한 결과, 해당 주소의 초기 자금이 Binance에서 온 것으로 확인되었습니다.

현재 초기 해커 주소 0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2의 잔액은 1,346 이더리움(ETH)이며, 관련 주소들을 계속 모니터링할 것입니다.

사건 발생 후 슬로우 미스트(慢雾)는 공격자가 Safe 다중 서명 방식을 활용하고 자금 세탁 기법을 사용한 것으로 보아 북한 해커일 것으로 추정했습니다:

사회 공학적 공격 수단으로 활용했을 것으로 보입니다:

MistTrack 분석 결과, 이번 사건의 해커 주소와 BingX Hacker, Phemex Hacker 주소가 연관되어 있는 것으로 확인되었습니다:

ZachXBT 또한 이번 공격이 북한 해커 조직 Lazarus Group과 관련이 있다고 실증했습니다. Lazarus Group은 국제 사이버 공격과 암호화폐 절도를 주요 활동으로 해왔습니다. ZachXBT가 제공한 증거에는 테스트 거래, 관련 지갑, 포렌식 차트, 시간 분석 등이 포함되어 있으며, 이를 통해 공격자가 Lazarus Group의 일반적인 기술 수단을 사용했음이 드러났습니다. 아크함(Arkham)은 모든 관련 데이터를 Bybit에 공유하여 플랫폼의 추가 조사를 돕고 있습니다.

공격 기법 분석

사건 발생 당일 밤 23:44에 Bybit CEO Ben Zhou가 X에 성명을 발표하여 이번 공격의 기술적 세부 사항을 자세히 설명했습니다:

체인 상의 서명 분석을 통해 다음과 같은 흔적을 발견했습니다:

1. 공격자가 악성 계약을 배포했습니다: UTC 2025-02-19 07:15:23에 악성 구현 계약 0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516을 배포했습니다.

2. Safe 계약 로직을 변조했습니다: UTC 2025-02-21 14:13:35에 3명의 Owner가 서명한 거래를 통해 Safe 계약을 악성 버전 0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882로 교체했습니다. 이를 통해 초기 공격 주소 0x0fa09C3A328792253f8dee7116848723b72a6d2e를 확인했습니다.

3. 악성 로직을 삽입했습니다: DELEGATECALL을 통해 악성 로직 계약을 STORAGE 0에 작성했습니다: 0x96221423681A6d52E184D440a8eFCEbB105C7242.

4. 백도어 함수를 호출하여 자금을 이체했습니다: 공격자는 계약의 sweepETH와 sweepERC20 함수를 사용하여 콜드 월렛의 40만 이더리움(ETH)과 stETH(총 가치 약 15억 달러)를 전부 알 수 없는 주소로 이체했습니다.

공격 기법 측면에서 볼 때, WazirX 해킹 사건과 Radiant Capital 해킹 사건은 이번 공격과 유사한 점이 있습니다. 이 세 사건의 공격 대상은 모두 Safe 다중 서명 지갑이었습니다. WazirX 해킹 사건의 경우에도 공격자가 사전에 악성 구현 계약을 배포하고, 3명의 Owner가 서명한 거래를 통해 Safe 계약을 악성 버전으로 교체했으며, DELEGATECALL을 사용하여 악성 로직 계약을 STORAGE 0에 작성했습니다.

Radiant Capital 해킹 사건의 경우, 공식 발표에 따르면 공격자가 복잡한 방법을 사용하여 서명 검증자들이 표면적으로는 합법적인 거래로 보이게 했다는 점이 Ben Zhou의 트윗 내용과 유사합니다.

또한 이 세 사건에 관련된 악성 계약의 권한 검사 방식이 동일했는데, 계약 내에 하드코딩된 owner 주소로 계약 호출자를 검사했습니다. Bybit 해킹 사건과 WazirX 해킹 사건에서 권한 검사 오류 메시지도 유사했습니다.

이번 사건에서 Safe 계약 자체에는 문제가 없었고, 문제는 비계약 부분, 즉 전면부가 조작되어 기만 효과를 달성한 것으로 보입니다. 이는 특별한 경우가 아닙니다. 북한 해커들은 지난해 WazirX(230M 달러 손실, Safe 다중 서명), Radiant Capital(50M 달러 손실, Safe 다중 서명), DMM Bitcoin(305M 달러 손실, Gonco 다중 서명) 등 여러 플랫폼을 이와 유사한 방식으로 공격했습니다. 이러한 공격 기법은 이미 체계화되어 있으므로 각별한 주의가 필요합니다.

Bybit 공식 발표와 Ben Zhou의 트윗을 종합해 보면 다음과 같은 의문점이 생깁니다:

1. 정기적인 이더리움(ETH) 이체

• 공격자가 Bybit 내부 재무팀의 운영 정보를 사전에 확보하여 이더리움(ETH) 다중 서명 콜드 월렛 이체 시점을 알고 있었을 수 있습니까?
• Safe 시스템을 통해 서명자들을 속여 악성 거래에 서명하게 했을 수 있습니까? Safe 전면부 시스템이 침해되어 장악당했을 수 있습니까?

2. Safe 계약 UI 조작

• 서명자들이 Safe 화면에서 보던 주소와 URL은 정확했지만, 실제 서명한 거래 데이터가 변조되었을 수 있습니까?
• 핵심 문제는 누가 먼저 서명 요청을 시작했는지, 그 장치의 보안 상태는 어떠했는지 입니다.

이러한 의문점들에 대해 공식 측의 추가 조사 결과를 기대해 봅니다.

시장 영향

Bybit는 사건 발생 후 신속하게 공지를 내어 모든 고객 자산이 1:1로 보유되어 있으며, 플랫폼이 이번 손실을 부담할 것이라고 밝혔습니다. 고객 출금은 영향을 받지 않습니다.

2025년 2월 22일

마지막 말씀

이번 도난 사건은 암호화폐 산업이 직면한 엄중한 보안 과제를 다시 한번 부각시켰습니다. 암호화폐 산업의 급속한 발전에 따라 해커 조직, 특히 Lazarus Group과 같은 국가 수준의 해커들이 지속적으로 공격 수단을 업그레이드하고 있습니다. 이번 사건은 암호화폐 거래소에 경종을 울렸으며, 플랫폼은 다중 인증, 암호화 지갑 관리, 자산 모니터링 및 리스크 평가 등 더 발전된 방어 메커니즘을 도입하여 사용자 자산 안전을 보장해야 합니다. 개인 사용자의 경우에도 보안 의식 제고가 매우 중요하며, 하드웨어 지갑과 같은 더 안전한 저장 방식을 우선적으로 선택하고 거래소에 장기간 대량의 자금을 보관하는 것을 피해야 합니다. 이 끊임없이 발전하는 분야에서 기술 방어선을 지속적으로 업그레이드해야만 디지털 자산의 안전을 보장하고 산업의 건강한 발전을 추진할 수 있습니다.

면책 조항: 본 사이트는 블록체인 정보 플랫폼으로, 게시된 기사는 저자 및 초청 연사의 개인 견해를 나타내며 Web3Caff의 입장과 무관합니다. 기사 내용은 참고용으로만 사용되며, 어떠한 투자 조언 또는 제안도 구성하지 않습니다. 귀하는 거주 국가 또는 지역의 관련 법규를 준수해야 합니다.