북한 해커, 빈 이더리움 거래로 C2 서버 은폐…npm 공급망 공격의 진화

네 개의 손상된 패키지와 발생 시점은 다음과 같습니다 :

• typo-crypto (2025년 3월): 본격적인 캠페인을 위한 테스트 성격의 공격으로 추정됩니다. ATI는 이 초기 침해가 이후 주요 공격 전술을 정교화하는 데 사용되었다고 평가했습니다 .
• debug 및 chalk (2025년 9월): npm 생태계에서 가장 많이 다운로드되는 라이브러리 중 하나입니다. debug 패키지만 주간 다운로드 수가 수십억에 달합니다. 공격자는 npm 공식 도메인과 유사한 피싱 사이트를 이용해 패키지 관리자를 속여 자격 증명을 탈취했고, 이후 18개 이상의 악성 버전에 지갑 탈취 스크립트를 주입했습니다 . 이 공격은 게시 후 불과 2시간 만에 전체 클라우드 환경의 약 10%에 영향을 미친 것으로 추정됩니다 .
• axios (2026년 3월): JavaScript 생태계에서 가장 인기 있는 HTTP 클라이언트 라이브러리 중 하나로, 당시 주간 다운로드가 7,000만 건을 넘었습니다 . 두 개의 악성 버전(v1.14.1 및 v0.30.4)이 배포되었고, 이는 원격 접속 트로이 목마(RAT)를 배포하는 악성 의존성을 포함하고 있었습니다 .

공격자들은 소셜 엔지니어링을 통해 관리자와 친분을 쌓고 자격 증명을 탈취하는 한편, 탐지를 피하기 위해 AI 생성 코드를 사용한 것으로 드러났습니다 . 패키지의 실제 실행 코드를 직접 수정하는 대신, 설치 과정에서 개발자 컴퓨터의 암호화폐 지갑을 탈취하거나 자격 증명을 빼내는 스크립트가 실행되도록 트로이 목마화된 업데이트를 배포했습니다 .

한편, 마이크로소프트 위협 인텔리전스는 2026년 6월 17일 발생한 마스트라 AI(Mastra AI) npm 공급망 공격도 동일한 사파이어 슬리트 그룹의 소행이며, 45분 만에 140개 이상의 패키지를 감염시켰다고 높은 신뢰도로 평가했습니다 .

NullReceiver 기술: 이더리움 거래 안에 C2 서버 숨기기

2026년 8월 2일부터 4일까지 보안 분석 업체인 OpenSource Malware는 NullReceiver라는 새로운 블록체인 기반 명령 및 제어(C2) 기술을 문서화했습니다. 이 기술은 북한과 연계된 두 개의 트로이 목마화된 npm 패키지(bianira-ui@1.27.0 및 fluid-type-ui@2.0.8)에서 발견되었으며, 이 패키지들은 정상적인 Tailwind CSS 플러그인을 사칭하고 '전염성 면접(Contagious Interview)' 캠페인과 연결되어 있습니다 .

NullReceiver의 작동 방식 :

기존의 '이더하이딩(EtherHiding)'과 같은 기술은 악성코드 코드 내에 C2 서버 주소를 하드코딩하거나, 스마트 계약 트랜잭션 데이터 필드에 숨겼습니다. 반면, NullReceiver는 훨씬 더 교묘한 접근법을 사용합니다.

1. 악성코드는 특정 이더리움 지갑 주소(0xa322e5f3d311d3080e6f0121063e9adc2490ef1a)를 하드코딩하고 있습니다 .
2. 실행 시, 이 악성코드는 이더리움 블록체인을 직접 조회해 해당 지갑의 가장 최근 발신(outbound) 거래를 찾습니다.
3. 그리고 해당 거래의 수신자 주소(destination address) 를 읽습니다. 이 거래는 전송된 ETH 금액과 데이터가 모두 0인 '빈(blank)' 전송입니다.
4. 이 수신자 주소의 바이트(byte)를 디코딩하면, 실제 2차 C2 서버의 IP 주소가 드러납니다.

즉, 누군가 한 지갑에서 다른 지갑으로 0 ETH를 전송하는 평범한 거래처럼 보이지만, 그 '수신자 주소' 자체가 C2 서버의 위치를 암호화하고 있는 것입니다. 악성코드 내에 고정된 도메인이나 IP가 없고, 블록체인 트랜잭션 데이터 필드에 의심스러운 내용이 없기 때문에 기존 탐지 방법으로는 찾아내기 거의 불가능합니다. OpenSource Malware는 NullReceiver가 기존 EtherHiding의 탐지 문제를 해결하기 위해 '비밀'을 트랜잭션 데이터가 아닌 수신자 주소 자체로 옮긴 진화된 기술이라고 설명했습니다 .

국제사회의 대응과 배후 추적

여러 주요 보안 업체들이 동일한 배후를 지목했습니다:

• 아마존 위협 인텔리전스: 공유된 C2 지표, 코드 재사용, 설치 후 후킹(post-install hooks) 및 기타 전술적 증거를 바탕으로, 4개 패키지 침해 모두 사파이어 슬리트의 소행이라고 중간 신뢰도로 평가했습니다 .
• 마이크로소프트 위협 인텔리전스: 마스트라 AI 공격과 axios 침해가 사파이어 슬리트의 소행이라고 높은 신뢰도로 독립 평가했으며 , 동일 그룹이 Teams를 사칭한 macOS 표적 캠페인도 벌이고 있다고 문서화했습니다 .
• 구글 위협 인텔리전스: axios 공격의 배후를 같은 행위자(UNC1069로 추적)로 지목했습니다 .
• 미국 정부 및 동맹국 사이버 보안 기관: 북한의 국가 주도 암호화폐 탈취와 관련된 오픈소스 소프트웨어 공급망 침해 위협에 대해 지속적으로 경고를 강화해 왔습니다 . (TRM Labs에 따르면 2026년 북한은 전체 암호화폐 해킹 피해액의 76%를 탈취한 것으로 추정되지만, 이 수치가 위 npm 공격만으로 인한 것은 아닙니다 .)

한편, 공개된 자료에 따르면 북한 정부가 사파이어 슬리트 또는 NullReceiver 기술에 대한 구체적인 부인 성명을 발표했다는 증거는 찾을 수 없었습니다. 북한은 일반적으로 표준 외교 채널을 통해 국가 주도 사이버 공격 의혹을 부인하지만, 이번 특정 캠페인에 대한 직접적인 부정은 이번 증거 세트에서 확인되지 않았습니다.

개발자와 보안팀을 위한 교훈과 권고 사항

이번 사태는 소셜 엔지니어링, AI 생성 코드, 그리고 블록체인 기반 C2 기술을 결합한 새로운 차원의 위협을 보여줍니다. NullReceiver와 같은 기술은 악성코드 코드 자체에 의심스러운 도메인이나 IP가 전혀 나타나지 않기 때문에, 전통적인 정적 분석이나 도메인 차단만으로는 탐지가 사실상 불가능합니다. 여러 보안 기관이 제시하는 핵심 방어 권고 사항은 다음과 같습니다 :

• 소프트웨어 자재 명세서(SBOM) 유지 및 예상치 못한 의존성 변경 사항 모니터링
• 격리 기간(Quarantine Window) 도입: 지난 24~72시간 이내에 게시된 모든 패키지 버전의 설치를 거부하여 빠른 속도의 오염 공격을 차단합니다.
• 라이프사이클 스크립트 비활성화 및 결정론적 패키지 설치
• 의존성 침해 의심 시 광범위한 자격 증명 및 환경 위험으로 간주: 영향을 받은 시스템을 격리하고 비밀을 교체하며 후속 활동을 모니터링해야 합니다.