마이크로소프트 위협 인텔리전스(Microsoft Threat Intelligence)는 2026년 8월 6일, 공격 명령을 방어팀이 차단할 수 있는 서버가 아니라 BNB 스마트체인(BNB Smart Chain)상의 스마트컨트랙트에서 받아오는 '이더하이딩(EtherHiding)' 기법을 사용하는 해킹된 웹사이트 무리를 확인했다고 공개했다. 이 기법은 클리어페이크(ClearFake) 캠페인과 연관돼 있으며, 마이크로소프트에 따르면 공격자들은 해킹한 웹사이트에 Base64로 인코딩된 자바스크립트를 심어 BNB 스마트체인 RPC 게이트웨이에 다음 명령을 조회하도록 만든다.
이 수법이 끈질기게 살아남는 이유는 블록체인 자체의 작동 방식에 있다. 컨트랙트를 최초로 배포한 지갑만이 그 내용을 수정할 수 있기 때문에, 기존 명령제어(C2) 서버를 겨냥한 전통적인 테이크다운이나 싱크홀링 방식은 영구적으로 온체인에 남아 있는 스마트컨트랙트에는 통하지 않는다.
가짜 캡차가 감염의 시작점
피해자들은 대개 가짜 캡차(CAPTCHA) 인증 페이지를 통해 이 캠페인과 마주친다. 페이지는 "사람임을 증명하라"며 윈도우 도구에 특정 명령어를 붙여넣도록 유도한다. 실제로는 어떤 인증도 이뤄지지 않고, 붙여넣은 명령어가 조용히 악성코드를 실행시킨다. 이는 '클릭픽스(ClickFix)'라고 불리는 사회공학 수법으로, 피해자 스스로 악성 코드를 실행하게 만들어 무단 다운로드를 감시하는 여러 엔드포인트 방어 체계를 우회한다는 점에서 점점 더 흔해지고 있다.
같이 보면 좋은 기사: 전직 SEC 관료 "양자 컴퓨팅, 크립토 업계의 '똑딱거리는 시한폭탄'"
감염이 성공하면 벌어지는 일
마이크로소프트에 따르면 감염에 성공할 경우 자격증명 탈취, 피해자 기기에 대한 지속적 접근권 확보, 네트워크 내 측면 이동, 그리고 최종적으로는 랜섬웨어 배포로까지 이어질 수 있다. 가짜 캡차 클릭 한 번이 기업 전체 침해로까지 번지는 완전한 공격 사슬인 셈이다. 마이크로소프트는 조직들에게 불필요한 명령줄 도구 사용을 제한하고, 파워셸 로깅을 활성화하며, 승인되지 않은 스크립트 실행을 차단하는 애플리케이션 제어 체계를 도입할 것을 권고했다.
양날의 검이 된 블록체인의 내구성
이더하이딩은 공개 블록체인을 정당한 금융 활동에 매력적으로 만드는 바로 그 속성들 — 영속성, 검열 저항성, 단일 장애점의 부재 — 이 공격자가 이를 악용하는 방법을 찾아내는 순간 악성 인프라를 위한 견고한 호스팅 계층으로도 작동할 수 있음을 보여준다. BNB 스마트체인 자체가 침해된 것이 아니라 견고한 메시지 게시판처럼 이용됐을 뿐이기 때문에, BNB 체인 측에서 캠페인을 종료시킬 패치를 내놓을 방법은 없다. 해결책은 결국 브라우저 업체와 엔드포인트 보안 도구, 그리고 해킹당한 웹사이트의 진입 지점을 막는 웹사이트 운영자 쪽에서 나와야 한다.
