가상 코인 전환 서비스 방코르, 2천 3백 5십만 달러 잃어
마이이더월렛, “VPN 서비스 통해 사용자 크리덴셜 훔쳐간 듯”

[보안뉴스 문가용 기자] 암호화폐 토큰 변환 서비스인 방코르(Bancor)에서 수백만 달러가 사라지는 일이 발생했다. 이더리움 지갑 서비스인 마이이더월렛(MyEtherWallet)도 해커가 고객 중 일부의 계정을 침해했을 가능성이 있다는 경고를 고객들에게 내보내기도 했다.


[이미지 = iclickart]

암호화폐 산업이 빠르게 성장하고 있긴 하지만, 그 성장이 알차지는 않다는 소식들이다. 보안까지 내실있게 다져지지 않은 채 급성장만 이뤄내고 있기 때문에 해커들이 계속해서 노리고, 엄청난 돈을 훔쳐가는 데 성공한다.

방코르는 스스로를 “탈중앙화 된 환금성 네트워크”라고 설명한다. 사용자들이 가지고 있는 토큰을 지갑에서 꺼낼 필요 없이, 곧바로 다른 코인으로 전환시켜주는 서비스다. 그러나 7월 9일, 트위터를 통해 보안 침해 사고가 발생했으며, 한 개 지갑에 불법적인 접근이 있었다고 발표했다. 이 지갑은 특정 스마트 계약서들을 업그레이드할 때 사용하던 것이었다.

그렇기에 방코르 고객의 지갑들은 안전한 것으로 알려졌다. 그러나 해커는 고객의 지갑에 직접 접근하지만 못했을 뿐 필요한 것들은 충분히 가져갔다. 24,984개의 이더리움 토큰과 2억 2천 9백만개의 퓨니드 X(Punid X, NPXS) 토큰, 32억 개의 방코르 코인(Bancor Coin, BNT)를 탈취한 것이다. 이는 총 2천 3백 5십만 달러 정도에 해당하는 돈이다.

방코르는 먼저 방코르 코인에 대한 동결 조치를 취하는 데에는 성공했다. 도난당한 돈 중 약 1천만 불에 해당하는 분량이다. 하지만 이더리움이나 퓨니드 X 코인에 대해서는 아무런 조치를 취할 수가 없었다. “하지만 다른 암호화폐 거래소들과 협업하며 해커들이 훔쳐간 돈을 추적하고 있습니다. 도둑들이 이를 환전하기 어렵게 만들기 위함입니다.”

보안 업체 프루프포인트(Proofpoint)의 보안 전문가인 셰로드 드그리포(Sherrod DeGrippo)는 “방코르에서 발생한 보안 사고를 통해 사이버 범죄자들이 암호화폐에 얼마나 큰 관심을 가지고 있는지 알 수 있다”고 말한다. “지난 9개월 동안 암호화폐 관련 사이트를 겨냥한 공격이 크게 증가했습니다.”

공격자들의 공격 절대 수치가 늘어나기도 하지만 전략도 점점 더 다채로워지고 있다. “예를 들어 구글 광고 공간을 하나 구매해서 가짜 지갑이나 암호화폐 거래 사이트 광고를 합니다. 여기에 혹해서 들어온 사용자들은 지갑 주소와 크리덴셜을 빼앗기게 되죠. 아주 간단한 방법으로도 사용자들에게서 돈을 빼앗아오는 게 요즘 암호화폐를 노리는 해커들의 상황입니다.”

한편 마이이더월렛은 현지 시각으로 7월 10일, 역시 트위터를 통해 “홀라(Hola)라는 크롬 확장 프로그램이 약 5시간 동안 해킹을 당했다는 보고를 받았다”며 “누군가 이를 통해 마이이더월렛 고객들의 행동들을 로깅하고 있는 것 같다”고 발표해다. 홀라는 VPN 기능을 제공하는 크롬용 확장 프로그램이다. “그러므로 홀라 크롬 확장 프로그램을 사용하는 마이이더월렛 고객들은, 지갑 속 예금을 다른 곳으로 즉시 옮기시길 바랍니다.”

홀라는 이스라엘의 홀라 네트웍스(Hola Networks)라는 회사에서 개발한 제품으로 이번 사태에 대해 설명하는 글을 블로그에 올렸다. “공격자들이 홀라 VPN 앱에 악성 코드를 주입해 크롬 스토어에 업로드시켰습니다. 홀라에서 개발한 원래 프로그램은 해커들이 삭제한 상태였습니다. 추적을 해보니 해커들이 저희의 구글 크롬 스토어 계정을 침해했던 것이었음을 알게 되었습니다.”

홀라 측은 이 사실을 알게 되자마자 계정의 설정을 변경했으며 원래 프로그램을 다시 스토어에 업로드시켰다. 해커들은 홀라 앱에 어떤 악성 코드를 주입한 것일까? “자바스크립트 태그를 마이이더월렛 사이트에 주입시키도록 공격자들이 설정해 두었더군요. 이 자바스크립트 태그는 마이이더월렛 계정들과 관련된 정보를 피싱하는 기능을 가지고 있었고요.”

홀라는 마이이더월렛에 이러한 사실을 곧바로 알렸다. 구글에도 똑같은 소식을 알려 공격자들이 침해한 웹 페이지가 폐쇄되도록 만들었다. “현재 저희 홀라는 침해 규모와 범위를 더 상세하게 파악하고 있는 중이며, 이러한 일이 다시는 발생하지 않을 수 있도록 보안을 강화하고 있습니다.”

이 공격은 러시아에 위치한 IP 주소에서부터 발생한 것으로 보인다고 IT 매체 테크크런치(TechCrunch)는 보도했다. 마이이더월렛 측 역시 러시아의 IP로부터 공격이 왔다고 밝혔다.

지난 해 4월, 한 해킹 단체가 아마존 DNS 서버에 중간자 공격을 가해 마이이더월렛으로부터 15만 2천 달러에 해당하는 이더리움을 훔쳐낸 바 있다. 당시 고객들을 피싱 사이트로 우회시켜 로그인 크리덴셜을 탈취한 후 벌인 일이다. 그런데 이 때도 홀라의 VPN 서비스가 문제가 된 바 있다.

VPN 서비스를 평가하는 웹사이트인 TheBestVPN.com에 의하면 홀라는 “문제가 많고 위험한 VPN 서비스”로 “사용자들의 인터넷 연결을 조작해 위험에 노출시키다가 걸린 바 있다”고 설명하고 있다. 또한 홀라 앱이 “사용자 정보를 과도하게 로깅하고, 이를 공유하기까지 한다”며 “기본적인 통신 암호화도 되어 있지 않다”고 덧붙였다.

TheBestVPN의 수석 연구원인 로버트 마디살루(Robert Madisalu)는 “평소 홀라 앱의 상태를 봤을 때 공격은 언젠가 일어날 일이었다”며 “한 회사의 보안 및 프라이버시 관리 소홀 때문에 누군가 큰 돈을 잃었다는 것이 안타까울 따름”이라고 외신과의 인터뷰를 통해 말하기도 했다. 그러면서 “VPN 서비스를 선택할 때 로깅, 프라이버시, 암호화와 관련된 정책을 꼼꼼하게 살피라”고 권고했다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>