"돈이 아니라 경고다"…해커들, 이란 암호화폐 1,150억 원 불태웠다

"혁명수비대 자금줄 차단"...이란 거래소 노린 초정밀 사이버공격

이번 공격은 곤제슈케 다란데가 이틀 연속 벌인 사이버 작전 중 두 번째로, 앞선 17일에는 이란 국영은행 세파(Bank Sepah)를 대상으로 한 해킹 공격을 통해 내부 데이터를 파괴했다고 밝힌 바 있다. AI 생성 이미지.

이란과 이스라엘 간 사이버 전쟁이 격화되는 가운데, 이스라엘 연계설이 제기되어 온 해킹 단체 '곤제슈케 다란데(Gonjeshke Darande, 페르시아어로 '포식하는 참새')'가 18일(현지시간) 이란 최대 암호화폐 거래소 중 하나인 노비텍스(Nobitex)를 공격해 약 9천만 달러(한화 약 1,150억 원) 규모의 암호화폐를 파괴했다고 주장했다. 이들은 플랫폼의 소스코드까지 공개하겠다고 위협한 상태다.

이번 공격은 곤제슈케 다란데가 이틀 연속 벌인 사이버 작전 중 두 번째로, 앞선 17일에는 이란 국영은행 세파(Bank Sepah)를 대상으로 한 해킹 공격을 통해 내부 데이터를 파괴했다고 밝힌 바 있다.

이란 암호화폐 산업의 핵심 축으로 알려진 노비텍스는 이란 당국의 제재 회피와 해외 불법 금융 활동에 이용돼 왔다고 해커 측은 주장했다. 해킹 단체는 SNS에 올린 메시지를 통해 "노비텍스는 이란 혁명수비대(IRGC)와 연계된 자금 세탁 통로"라며 공격 배경을 설명했다.

노비텍스는 18일 새벽 공식 계정을 통해 "시스템에 대한 무단 접근을 감지해 현재 웹사이트와 앱 서비스를 중단하고 점검에 착수했다"고 밝혔다. 현재 노비텍스의 웹사이트는 접속이 불가능하며, 텔레그램 고객지원 채널에도 문의가 응답되지 않는 상태다.

사이버 보안 분석 기업 트림 랩스(TRM Labs)는 이번 공격이 18일 새벽 시작됐으며, 복수의 암호화폐 종류로 구성된 총 9천만 달러 상당의 자산이 해커가 통제하는 지갑으로 이체됐다고 밝혔다. 해당 지갑에는 '이슬람 혁명수비대 반대' 메시지가 삽입돼 있었던 것으로 분석됐다.

블록체인 분석기관 엘립틱(Elliptic)은 공격에 사용된 암호화폐 지갑의 구조상 해커가 해당 자산을 인출하거나 실제로 사용할 수 없도록 설계됐다고 전하며 "이번 공격은 경제적 이득보다 정치적 메시지 전달이 목적이었다"고 평가했다. 즉, 해커는 탈취한 자금을 소각하며 노비텍스와 이란 당국에 명확한 경고를 보낸 셈이다.

엘립틱은 또한 노비텍스가 하마스, 팔레스타인 이슬라믹 지하드, 예멘 후티 반군 등 이스라엘에 적대적인 무장 조직과 연계된 지갑으로 자금을 주고받은 정황이 있다고 밝혔다. 이와 관련해 미국 상원의 엘리자베스 워런과 앵거스 킹 의원은 지난 5월, 노비텍스가 이란의 제재 회피에 핵심적인 역할을 하고 있다며 바이든 행정부에 조치를 촉구하는 서한을 보낸 바 있다.

암호화폐 보안 분석업체 체이널리시스(Chainalysis)의 국가안보 정보 책임자인 앤드류 피어먼은 로이터와의 이메일 인터뷰에서 "노비텍스는 IRGC 연계 랜섬웨어 단체들이 수익을 현금화할 때 사용해온 플랫폼"이라며 "이번 공격은 지정학적 목적이 분명하다"고 밝혔다.

곤제슈케 다란데는 과거에도 이란 내 대형 사이버 공격의 배후로 지목된 바 있다. 2021년에는 이란 전국의 주유소 시스템을 마비시켰고, 2022년에는 이란 철강공장에 대한 해킹으로 대형 화재를 유발했다. 이스라엘 정부는 해당 단체와의 공식 연계를 인정한 적은 없으나, 이스라엘 언론들은 일관되게 이 단체가 이스라엘과 연계된 것으로 보도하고 있다.