이란 최대 암호화폐 거래소도 털렸다

6월 18일 이란 최대의 암호화폐 거래소인 노비텍스(Nobitex)가 대규모 해킹 공격을 받았다. 블록체인 분석회사 엘립틱(Elliptic)에 따르면 해킹 공격을 가한 건 해커 집단 곤제쉬케 다란데(Gonjeshke Darande. Predatory Sparrow)로 이 조직은 노비텍스가 관리하는 암호화폐 지갑에서 9,000만 달러 이상 암호화폐를 훔쳐냈다고 한다.

곤제쉬케 다란데는 6월 18일 공식 엑스 계정에서 노비텍스에 대해 해킹 공격을 가했다고 밝혔다. 노비텍스에 대한 범행성명 내용을 보면 24시간 이내에 노비텍스 소스코드와 내부 정보를 사내 네트워크에서 공개한다며 그 시점에서 남아있는 자산은 모두 위험에 노출될 것이라고 밝혔다. 이어 노비텍스는 전세계에서 테러 자금을 조달하려는 이란 정권 노력의 중심에 있으며 정권이 선호하는 제재 위반 수단이기도 하다고 밝혔다. 곤제쉬케 다란데는 노비텍스에 대해 사이버 공격을 가했다며 노비텍스는 제재를 준수하는 척조차 하지 않으며 그 뿐 아니라 제재를 회피하기 위해 자사 인프라를 이용하는 방법을 사용자에게 공개하고 있다고 밝혔다. 정권이 노비텍스에 의존하고 있다는 건 노비텍스에서의 근무가 정권 활동에 필수적인 것으로 여겨져 유효한 병역으로 간주되고 있다는 사실에서도 명백하다고 지적했다. 이어 이번 사이버 공격은 노비텍스가 테러 자금 공급이나 제재 위반을 위한 중요한 정권 도구 역할을 하고 있는 것에 기인한다며 정권 테러 자금 공급이나 제재 위반 인프라에 관여하는 건 자산을 위험에 빠뜨리는 일이라고 밝혔다.

노비텍스에서 훔쳐낸 암호화폐 대부분은 공개키에 FuckIRGCterrorists(망할 이슬람혁명수비대 테러리스트들) 같은 단어를 포함한 배니티 주소를 이용하는 암호화폐 지갑으로 송금된 게 확인됐다고 엘립틱은 지적했다. 한편 IRGC는 이란군과는 별개 군사조직으로 미국·캐나다·영국·EU를 포함한 다양한 지역에서 테러 조직으로 지정되어 제재를 받고 있다.

엘립틱은 곤제쉬케 다란데는 금전 목적으로 노비텍스를 해킹한 게 아니기 때문에 훔친 암호화폐 송금 대상 지갑의 비밀키를 보유하고 있지 않다고 지적했다. 따라서 노비텍스에서 훔쳐낸 자금은 사실상 불태워진 것과 같다고 엘립틱은 표현했다. 엘립틱 공동창업자인 톰 로빈슨은 배니티 주소에 일치하는 암호화 키 쌍을 생성하려면 현행 컴퓨터 기술로는 수십억 년이 걸린다고 언급했다.

700만 명 이상 사용자를 보유한 이란 주요 암호화폐 거래소인 노비텍스는 과거 IRGC나 이란 정부 관계자와의 연관성이 지적되어 왔다. 지금까지의 조사에 의해 이란 최고지도자인 알리 하메네이 친족이나 IRGC와 관계가 있는 비즈니스 파트너가 노비텍스와 관계하고 있는 게 밝혀졌다고 한다.

엘립틱도 IRGC 제재 대상 공작원이 과거에 노비텍스를 이용하고 있는 걸 특정했다. 이 공작원은 미국 해외자산통제청(OFAC)이 2022년 9월 제재를 가한 대상으로 혐의는 랜섬웨어 비트로커(BitLocker) 배포 및 사이버 위협을 조장하는 곳(Afkar System Yazd Company)에의 관여다.

IRGC는 이란 대통령이 아닌 최고지도자에게만 복종하며 석유 거래를 포함한 자국 경제 다양한 분야에 큰 지배력을 행사하고 있다. 이 지배력을 배경으로 IRGC는 제재를 회피하고 다른 지역에서 활동하는 이란 관련 조직에 자금을 제공하고 있다고 한다.

IRGC 관여가 의심되는 노비텍스는 하마스나 이슬람성전, 후티반군 등 반정부 무장집단과 관련된 암호화폐 지갑에 자금을 제공하고 있는 게 확인됐다.

곤제쉬케 다란데는 친이스라엘 해킹 집단으로 6월 17일 이란 국영은행인 세파은행을 표적으로 한 해킹 공격을 행했다는 범행성명을 발표했다. 곤제쉬케 다란데는 세파은행이 이란 정부 군사자금을 지원하고 있다고 비난하고 있으며 이 범행성명은 이스라엘이 이란 복수 군사시설 및 각 시설을 공격한 뒤 나온 것이다.

보도에 따르면 세파은행에 대한 해킹 공격에 대해 조사를 진행하고 있지만 즉시 공격 여부를 확인할 수는 없었다고 한다. 그래도 세파은행 웹사이트는 6월 17일에 오프라인 상태였던 것으로 보인다. 또 이스라엘 매체가 같은 시기에 세파은행 고객이 자신의 계좌에 접근할 수 없게 됐다고 보도했다.

곤제쉬케 다란데가 이스라엘과 관계가 있는 해킹 집단이라고 이스라엘 매체는 광범위하게 보도하고 있지만 곤제쉬케 다란데가 이스라엘 지원을 받고 있다는 걸 공식적으로 인정한 적은 없다. 관련 내용은 이곳에서 확인할 수 있다.