최근 미국 연방 수사국(FBI)은 일본 기반의 암호화폐 거래소인 Bitcoin.DMM.com을 겨냥한 대규모 해킹 사건에 대한 상세한 내용을 공개했다. 이 사건은 북한 사이버 행위자들에 의해 발생했으며, 그 결과 3억 8천만 달러 상당의 비트코인이 도난당했다. FBI는 국방부 사이버 범죄 센터(DC3) 및 일본 국가 경찰청(NPA)과 협력하여 이 사건을 조사하고 있으며, 공격의 배후에는 'TraderTraitor'라는 위협 그룹이 있음을 확인했다. 이 그룹은 Jade Sleet, UNC4899, Slow Pisces 등 여러 개의 가명으로도 알려져 있다.

사건의 시작은 2024년 3월 말에 이루어진 정교한 소셜 엔지니어링 공격으로, 북한 해커들은 일본의 암호화폐 지갑 소프트웨어 회사인 Ginco의 직원 한 명을 겨냥했다. 이 해커들은 링크드인에서 전문 채용자인 척하며 접근하여, 회사의 월렛 관리 시스템에 대한 접근 권한이 있는 직원을 선택했다. 이들의 접근 방식은 전문 네트워킹 플랫폼을 통해 신뢰할 수 있는 첫 연락을 수립하려는 점에서 점점 더 증가하는 사이버 공격 경향을 보여준다.

공격의 결정적인 순간은 해커들이 GitHub에 호스팅된 악성 파이썬 스크립트를 코딩 테스트로 위장하여 대상에게 URL을 전송한 때 발생했다. 피해자는 표준 기술 면접 절차에 따라 해당 파이썬 코드를 개인 GitHub 페이지에 복사하여 렌더링하게 되었고, 이로 인해 악성 스크립트가 실행되었다. 2024년 5월 중순, 해커들은 이 compromised GitHub 코드를 통해 침투에 성공한 후, 기술적 공격 단계로 넘어갔다.

해커들은 세션 쿠키 정보를 이용해 피해자인 Ginco의 직원을 사칭했고, 회사의 통신 시스템에 접근할 수 있게 되었다. 이를 통해 그들은 합법적인 거래 요청을 모니터링하고 조작할 수 있는 기회를 얻었다. 공격은 5월 말 시작되어, 해커들은 DMM 직원의 합법적인 거래 요청을 식별하고 이를 가로채어 거래 매개변수를 조작, 결국 4,502.9 BTC가 무단으로 이체되는 결과를 초래했다.

도난당한 자금은 TraderTraitor 그룹이 통제하는 여러 지갑으로 체계적으로 이동되었으며, 이로 인해 당국의 회수 과정이 매우 어려워졌다. 이 사건은 국제적인 법 집행 기관 간의 협력의 중요성을 잘 보여준다. FBI는 일본의 국가 경찰청 및 국방부 사이버 범죄 센터와 긴밀히 협력하여 이 사건을 조사하고 있으며, 사이버 위협이 글로벌 대응을 필요로 한다는 점을 강조하고 있다.

이번 사건은 북한이 암호화폐 도난을 통해 수익을 창출하려는 지속적인 노력을 강조하며, 이는 국제 보안 기관들에게 우려되는 패턴으로 자리잡고 있다. 법 집행 기관들은 이러한 공격이 단순한 일회성 사건이 아니라는 점을 지적하며, 이는 국제 제재를 우회하기 위한 광범위한 캠페인의 일환이라고 입을 모은다.