레이디언트 캐피탈(Radiant Capital)은 자사의 탈중앙 금융(DeFi) 플랫폼에서 5천만 달러가 해킹당한 사건이 북한과 연관된 해커가 전직 계약자 역할을 하며 텔레그램을 통해 발송한 악성 소프트웨어를 이용해 발생했다는 발표를 했다. 12월 6일에 진행된 조사 업데이트에서, 레이디언트는 자사의 사이버 보안 계약업체인 Mandiant가 "고도 확신을 가지고 이 공격이 조선민주주의인민공화국(DPRK)과 연결된 위협 행위자에 의해 수행된 것"으로 평가했다고 밝혔다.

사건의 전개는 9월 11일 레이디언트의 개발자가 "신뢰할 수 있는 전직 계약자"로부터 새로운 계획에 대한 피드백 요청 메시지를 받으며 시작되었다. 해당 메시지에는 ZIP 파일이 첨부되어 있었고, 후에 이 파일이 동일한 회사의 실제 웹사이트 도메인을 사칭한 것으로 확인되었다. 이 ZIP 파일은 개발자들 사이에서 피드백을 위해 공유되었고, 결국 악성 소프트웨어를 통해 시스템에 침입할 수 있는 계기가 되었다.

해커는 10월 16일, 여러 서명자의 개인 키 및 스마트 계약을 통제하게 되었고, 이로 인해 DeFi 플랫폼은 대출 시장을 중단해야 했다. 해킹 이후, 해커는 10월 24일에 약 5200만 달러의 탈취된 자금을 이동시키며 사건의 규모를 부각시켰다. 레이디언트는 개발자들이 수시로 PDF 문서를 공유하는 업무 환경에서 이러한 요청이 별다른 의심을 불러일으키지 않았다고 덧붙였다.

이 공격은 정상적인 프로세스 점검 및 시뮬레이션 단계에서 그 정체를 숨길 수 있는 방식으로 이루어졌다. 여러 레이디언트 개발자의 기기가 감염되었고, 전면 인터페이스는 무해한 거래 데이터를 표시했지만, 배경에서는 악성 거래가 서명되고 있었다. 레이디언트는 "이러한 속임수 때문이었습니다. 표준 절차를 준수하며도 공격자들이 여러 개발자 기기를 쉽게 감염시킬 수 있었습니다"라고 설명했다.

레이디언트는 이번 공격의 주체가 "UNC4736" 또는 "Citrine Sleet"으로 알려진 해커 집단이라고 믿고 있으며, 이들은 북한의 주요 정보 기관인 리콘나상스 제너럴 뷰로(RGB)와 연결되어 있으며, 해킹 집단인 라자루스 그룹의 하위 클러스터로 추측된다. 이 사건은 철저한 SOP(표준 운영 절차), 하드웨어 지갑 및 시뮬레이션 도구 같은 방법들이 고급 위협 행위자들에 의해 우회될 수 있다는 교훈을 남겼다.

올해 레이디언트는 이미 두 번의 해킹 사건을 겪었다. 1월에는 450만 달러 규모의 플래시 론 공격으로 인해 대출 시장을 중단해야 했으며, 이로 인해 레이디언트의 총 잠금값은 지난해 말 3억 달러 이상에서 12월 9일 현재 약 581만 달러로 급감했다. 이러한 연이은 해킹 사건은 DeFi 플랫폼의 보안 개선 필요성을 다시 한번 일깨워주고 있다.


crossorigin="anonymous">