믹서 서비스 통해 아주 적은 돈을 입금...그리고 거래를 추적
공짜 돈 생겼다고 좋아하다가 돈세탁 방지법에 걸려 조사를 받을 수도

[보안뉴스 문가용 기자] 적은 양의 비트코인이 당신의 사이버 지갑에 들어왔다고 하자. 당신은 어떻게 생각할까? 이게 웬 떡이냐? 그러나 이 때문에 당신이 어떤 사이버 범죄의 주요 용의자가 된다면 어떨까? 아마 가슴이 콩닥콩닥 뛰기 시작할 것이다. 그런데 실제로 이런 일들이 일어나고 있다.


[이미지 = iclickart]

이는 크립토 더스팅(crypto-dusting)이라고 하는 새로운 사이버 범죄 수법에 관한 이야기다. 암호화폐와 관련된 사이버 범죄의 일종인데, 현재 많은 기업과 개인들이 피해를 입고 있다고 한다. 참고로 ‘더스트’란 ‘0.001 BTC’처럼 아주 작은 단위의 암호화폐 거래액을 말한다.

지갑으로 갑자기 들어오는 비트코인의 출처는 베스트믹서(BestMixer.io)라는 곳으로, 사이버 화폐를 가지고 하는 거래에서 익명성을 보장해주는 서비스다. 프라이버시를 강화하기 위해서나 범죄 행위를 더 은밀하게 하기 위해서 믹서 서비스를 사용하는 것이 보통이다. 보안 회사 사이퍼트레이스(CipherTrace)의 CEO인 데이브 제반스(Dave Jevans)는 “거래 기록에는 베스트믹서가 만든 환영 메시지만 평문으로 저장되어 있다”고 설명한다.

앞서 말했지만 이 무료 비트코인은 결코 선의의 선물이 아니다. “오히려 범죄자들의 사이버 머니 세탁에 관여하게 된 것입니다. 돈세탁 금지와 관련된 규정을 뜻하지 않게 위반했을 수도 있는 입장에 처하게 되는 겁니다.”

무슨 말일까? 암호화폐 지갑 서비스인 사무라이 월렛(Samourai Wallet)의 설명에 의하면 “더스팅 공격이란 악성 행위자가 아주 적은 단위의 암호화폐를 여러 지갑 주소로 보내는 것”이라고 설명한다. “이 때 송금되는 금액이 너무나 작아서 ‘더스트’라고 부르고, 그래서 이런 공격을 더스팅 공격이라고 하는 겁니다.”

사무라이 월렛의 설명이 이어진다. “더스트가 지갑들로 전송이 되고 나면, 해당 지갑 주인이 지갑을 통해 거래를 할 때 공격자들이 블록체인 내에서 돈의 흐름을 관찰할 수 있게 됩니다. 거래와 관련된 데이터를 여러 곳에서 수집하면 관련성이 있는 주소들을 서로 연결할 수 있게 됩니다. 그런 과정 속에서 특정 주소와 특정 인물 혹은 회사를 서로 매칭시키는 게 가능하게 됩니다. 따라서 더스팅 공격은 암호화폐의 익명성을 심각하게 초래할 수 있습니다.”

보안 업체 주니퍼 네트웍스(Juniper Networks)의 위협 연구 책임자인 무니르 하하드(Mounir Hahad)는 “암호화폐 지갑과 지갑의 주인을 연결시키는 데 성공하면 결국 공격자들은 돈 몇 푼에 피해자의 명성과 신뢰를 빌려오게 되는 것”이라고 정리한다. “그리고 주인은 범죄에 연루되어 있지 않은가 의심을 사게 되겠죠.”

다행히 이런 더스팅 공격에 대비해 할 수 있는 일이 있다. “개인 소비자의 경우라면, 예기치 않게 아주 적은 돈이 지갑에 들어왔을 때 그 돈을 사용하지 말아야 합니다. 돈을 사용해 거래를 하는 순간 당신에 대한 추적이 들어갈 것이기 때문입니다. 이는 곧 프라이버시와 익명성의 침해로 이어질 것이고요.”

좀 더 큰 조직이라면 이야기가 달라진다. “대기업이나 그에 준하는 조직이라면, 지갑 서비스 제공 업체와 함께 돈세탁 방지를 위한 조치를 취하고, 더스팅 공격자로부터 오는 것으로 보이는 믹서 코인을 정확히 계산할 수 있어야 합니다. 단순히 쓰지 않고 있는 것보다 일이 복잡해집니다.”

하하드는 “다행히 이런 류의 공격은 그리 수명이 길지 않을 것”이라고 예상한다. “사법 기관이나 유관 기관이 사용하는 돈세탁 방지 알고리즘만 바꾸면 됩니다. 대부분 아주 적은 단위의 거래는 무시하도록 되어 있는데요, 그러지 않게 바꾸면 더스팅 공격도 막을 수 있게 될 겁니다.”

그러면서 하하드는 “일반 암호화폐 사용자가 그리 크게 걱정할 만한 일은 아니”라고 안심시킨다. “대기업이나 정책 관련 기관들의 머리는 많이 아플 겁니다. 그러나 알고리즘만 고치면 다시 모든 게 정상적으로 돌아가지 않을까 합니다.”

3줄 요약
1. 갑자기 내 비트코인 지갑에 소량의 돈이 입금되었다면? 당신의 신뢰도 사가려는 시도.
2. 푼돈 주고 당신의 지갑 프라이버시와 신뢰를 훔쳐가는 공격, 크립토 더스팅.
3. 개인 소비자라면 그 돈 절대 사용하지 말고, 조직이라면 지갑 벤더와 함께 공동 방어전선 펼쳐야 함.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>