국내 금융기관 침해 서버에서 가상자산 출금·지갑 탐색 스크립트 발견

사이버보안업체 헌트아이오가 공개한 'ARTEX의 실체: 한국 금융기관 침해 사고 배후 인프라 추적' 보고서를 디지털애셋이 5일 전했다. 지난 9월 말부터 10월 초까지 국내 금융기관 7곳에서 발생한 정보 유출 사건의 공격 인프라를 추적하다가, 기존에 알려진 공격 서버에서 홍콩에 위치한 추가 서버를 찾아냈고 외부로 노출된 저장 공간에서 스크립트와 실행 파일, 설정 자료를 확보했다는 내용이다. 당시 공격에는 AI로 대상의 취약점을 찾고 침투를 자동화하는 도구 'ARTEX'가 쓰인 것으로 분석됐다.

가상자산과 직접 닿는 것은 두 개의 스크립트다. x.js는 채굴풀 운영 등에 쓰이는 소프트웨어 YIIMP의 관리자 로그인 상태를 확인하고 기본 인증정보를 시험하는 기능, 그리고 출금 실행과 관련된 기능을 담고 있었다. 즉 관리자 인증정보가 털리거나 로그인이 뚫릴 경우 출금 기능까지 손이 닿을 수 있는 구조다. x.sh는 원격 셸을 지원하면서 설정 파일과 키 파일을 모으고, 지갑의 RPC 서비스와 관련된 네트워크 포트를 훑도록 설계됐다. RPC는 외부 프로그램이 서버에 명령을 보내고 결과를 받아오는 통신 방식으로, 지갑과 블록체인 노드 운영에도 쓰인다. 이 밖에 가상자산 플랫폼 '블록팔엑스(BlocPalX)' 관련 파일도 나왔다.

이 사건의 표적은 개인 지갑이 아니라 서버 쪽이다. 공격 경로가 '관리자 계정 기본 인증정보'와 '외부에 열린 관리·RPC 포트'였다는 점이 핵심이다. 노드나 지갑 서버를 직접 운영한다면 관리자 계정의 기본값 비밀번호를 그대로 두지 않았는지, RPC 포트가 외부에 열려 있지 않은지, 키 파일과 설정 파일이 접근 가능한 위치에 놓여 있지 않은지가 점검 항목이다. 보고서 자체가 침해 사건과의 직접 연관성은 확인되지 않았다고 밝혔으므로, 특정 플랫폼에서 실제 출금 피해가 났다는 뜻으로 읽을 근거는 없다.