전파와 열, 소리 등 7가지 기법을 통해 비밀 키 전송 가능
비트코인 지갑 탈취할 수 있다면 해커들이 망분리 해킹 시도할 수 있어

[보안뉴스 문가용 기자] 암호화폐 지갑 소유자들 중 특히나 조심성이 많은 이들은 지갑이 있는 시스템을 오프라인으로 보호한다. 인터넷에 연결되어 있지 않으니 해커들이 틈탈 수 없으니 이는 정말로 안전한 조치로 보이기도 한다. 그러나 최근 이스라엘 벤구리온대학의 모르데카이 구리(Mordechai Guri) 박사가 발견한 바로, 오프라인 지갑들도 안전치 않다고 한다. 망분리 조치를 뛰어넘어 지갑의 비밀 키를 해커들이 가져갈 수 있다는 것이다.


[이미지 = iclickart]

최근 암호화폐 보유자들 중 많은 수가 지갑을 오프라인 PC에 저장해놓고 있다. 필요할 때만 인터넷에 연결시켜 놓고, 대다수 시간은 오프라인으로 유지해 해커들이 원격에서 침투하는 것을 막고자 함이다. 심지어 와이파이와 블루투스 연결도 비활성화시키는 경우가 많다고 한다.

하지만 최근 이러한 PC와 지갑을 공격하는 방법에 대한 백서를, 구리 박사가 발간했다. 스스로 제작한 브리지웨어(bridgeware)라는 멀웨어를 사용해 공격 성공률이 나쁘지 않다는 것 또한 증명해냈다. 이 멀웨어는 망분리 시스템에 침투하여 비밀 키를 초음파 시그널로 공격자에게 전송하는 기능을 가지고 있다. 공격에 걸리는 시간은 단 3초.

물론 에어갭 혹은 망분리 네트워크를 해킹하는 방법이 완전히 새롭게 등장한 것은 아니다. 전자파나 음파 등 표준적이지 않은 통신 방법을 통해 분리된 시스템에 침투하거나 데이터를 빼내는 수법은 꾸준히 발견되어 왔다. 다만 이번 연구는 그렇게 빼낼 수 있는 데이터에 ‘암호화폐 지갑의 비밀 키도 포함된다’는 걸 시사한다.

먼저 구리 박사의 브리지웨어를 사용하려면 멀웨어를 표적이 된 시스템에 심어야 한다. 이는 여러 방법으로 가능한데, 지갑을 최초로 설치할 때 같이 설치하거나 USB와 같은 휴대용 드라이브를 통해서도 가능하다. 일단 설치가 되고 나서는 여러 가지 방법을 동원해 비밀 키 데이터를 외부로 송출하는 게 가능하다. 구리 박사가 실험을 통해 확인해본 방법은 1) 물리적인 접근, 2) 전자기파, 3) 전기파, 4) 자기파, 5) 어쿠스틱 사운드, 6) 광학, 7) 열을 활용한 것이 있다고 한다.

구리 박사는 “물론 망분리를 통해 PC와 지갑을 보호하는 건 굉장히 좋은 방법”이라고 말한다. “그러나 100% 안전하지는 않다는 것을 증명하고 싶었습니다. 무작위 해킹 공격에 망분리 시스템이 당하기는 힘들지만, 요즘은 표적 공격이 유행하죠. 동기를 충분히 가진 해커들이라면 망을 분리시켜도 공격 가능성이 없어지지 않는다는 겁니다. 저희 연구 팀만 해도 멀웨어 설치 후 3초만에 비트코인 지갑의 비밀 키를 획득해냈습니다.”

게다가 구리 박사의 연구 팀은 또 다른 공격 방법도 제시했다. 바로 래드아이오티(RadIoT)라고 불리는 방법으로, PC와 키보드가 없는 상태에서도 정보를 탈취하는 게 가능해진다고 한다. 이 공격법은 성공까지 약 15초가 걸린다. 구리 박사는 라즈베리파이로부터 비밀 키를 훔쳐 근처의 스마트폰으로 전송하는 데 성공했다. 전자기파가 여기에 사용됐고, 이는 유튜브 영상으로도 공개됐다. 영상의 주소는 https://youtu.be/ddmHOvT866o이다.

구리 박사는 “사실 망분리 시스템을 겨냥한 공격 방법에 대해서는 수많은 이론들이 나왔다”며 “그럼에도 보안 업계는 이것이 굉장히 특이한 경우에만 발생하는 위협이고, 그러므로 크게 개의치 않아왔다”고 말한다. “하지만 수백만 달러가 들어있는 지갑이 공격으로 얻을 수 있는 성과라면, 아무리 어려운 망분리 시스템 공격이라도 지금보다 더 보편화될 수 있을 것으로 봅니다. 그 점을 경고하고 싶었습니다.”

또한 기술 관련 매체 아스테크니카(Ars Technica)와의 인터뷰를 통해 구리 박사는 “망분리가 된 시스템에서 대용량 정보를 빼내기는 어렵겠지만 비밀 키 정도의 작은 정보라면 충분히 가능하니, 해커들이 노려봄직 하다”고 밝혔다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>