블록체인 데이터 플랫폼 체이널리시스(Chainalysis)는 18일 북한과 이란 등 국가 연계 해킹 조직을 중심으로 퍼블릭 블록체인을 사이버 공격에 악용하는 ‘블록체인 데드 드롭(BDD)’이 확산하고 있다고 밝혔다.
BDD는 공격자가 퍼블릭 블록체인에 악성코드나 공격에 필요한 명령·접속 정보를 기록해 공격을 장기간 이어가는 방식이다. 감염된 기기는 블록체인에 기록된 정보를 확인해 추가 명령을 수행한다.
퍼블릭 블록체인은 특정 주체가 임의로 기록을 삭제하거나 중단하기 어려워서 기존 공격 서버나 도메인이 차단되더라도 공격자가 새로운 접속 정보를 블록체인에 기록하면 공격을 계속할 수 있다.
북한 연계 조직의 활용 사례도 확인됐다. 구글 위협 인텔리전스 그룹이 ‘UNC5342’로 추적 중인 조직은 지난해 2월부터 구직 중인 가상자산 개발자를 대상으로 가짜 채용 면접을 가장해 악성코드 설치를 유도했다.
감염된 기기는 블록체인에 기록된 명령과 접속 정보를 확인한 뒤 공격자 서버에 접속해 추가 명령을 받았다. 체이널리시스는 온체인 분석을 통해 기존에 배후가 확인되지 않았던 BDD 활동을 UNC5342와 연결했다고 설명했다.
해당 공격은 트론, 앱토스, BNB 스마트 체인 등 여러 블록체인에 경로를 분산한 것이 특징이다. 감염된 기기는 우선 트론에서 정보를 확인하고 작동하지 않으면 앱토스를 이용하며, 두 경로 모두 최종적으로 BSC에 기록된 암호화된 악성코드 명령으로 연결된다.
BDD 활용은 국가 연계 조직을 중심으로 확대되고 있다. 올해 2분기 기준 국가 연계 조직은 신규 BDD 활동의 약 3분의 2를 차지했다. 북한과 이란 연계 조직뿐 아니라 러시아어권 사이버 범죄 생태계에서는 BDD 툴킷을 판매하거나 구독 형태로 제공하는 서비스형 악성코드 사례도 확인됐다.
AI 확산도 BDD 활용 장벽을 낮추는 요인으로 꼽혔다. 체이널리시스에 따르면 2025년 중반 악성코드 생성 제한이 없는 고성능 중국산 오픈 웨이트 대규모언어모델이 등장한 이후 블록체인 내 악성 정보 기록 건수는 하루 평균 2.06건에서 11.1건으로 늘었다.
권준혁 체이널리시스코리아 지사장은 “북한 등 국가 연계 조직의 블록체인 악용이 고도화되고 있지만 공격자가 남긴 온체인 기록은 오히려 이들을 추적할 수 있는 중요한 단서가 되기도 한다”며 “블록체인 인텔리전스를 통해 흔적을 추적하고 공격자와 관련 인프라를 파악하는 것이 새로운 사이버 위협 대응에 더욱 중요해질 것”이라고 말했다.
