IL-0069 Unnamed cryptocurrency exchange · 2026-04-06 (게시일)kubernetessecurity
Unit 42 는 2025년 중반 한 암호화폐 거래소에서 일어난 침입을 관찰했다. Unit 42 는 이 침입을 북한 국가 지원 위협 그룹 Slow Pisces 의 최근 암호화폐 탈취 캠페인과 연결했다. 이 그룹은 Lazarus, TraderTraitor 로도 불린다.
공격자는 스피어피싱으로 개발자 워크스테이션에 계속 머물 수 있는 발판을 마련했다. 그 개발자의 열려 있는 특권 클라우드 세션으로 운영 쿠버네티스 클러스터에 악성 파드를 배포했다. 이 파드는 마운트된 서비스 어카운트 토큰을 빼내도록 만들어져 있었다.
빼낸 토큰은 널리 쓰이는 CI/CD 자동화와 클러스터 오케스트레이션 시스템이 쓰는 관리용 서비스 어카운트의 것이었고, RBAC 권한이 넓었다. 공격자는 이 토큰으로 쿠버네티스 API 서버에 직접 인증했다. 시크릿을 나열하고, 여러 네임스페이스의 워크로드를 건드리고, 운영 파드에 백도어를 심어 클러스터 안에 계속 머물렀다.
공격자는 같은 토큰의 권한으로 쿠버네티스에서 클라우드 플랫폼 전체로 옮겨 갔다. 거래소의 클라우드 백엔드 시스템에 들어가 민감한 자격 증명을 가져갔고, 마지막에 금융 인프라에 닿았다. 거래소는 수백만 규모의 암호화폐 자금을 도난당했다. Unit 42 는 공격자가 특정 공격 도구를 썼다는 증거는 없지만, 관찰된 행동이 Peirates 같은 침투 테스트 프레임워크가 보여 주는 기법과 맞아떨어진다고 적었다.
운영 쿠버네티스 클러스터에 공격자가 배포한 악성 파드가 올라왔다. 이 파드는 마운트된 서비스 어카운트 토큰을 밖으로 빼내도록 만들어져 있었다.
빼앗긴 토큰은 CI/CD 자동화와 클러스터 오케스트레이션에 쓰는 관리용 서비스 어카운트의 것이었다. 공격자는 이 토큰으로 쿠버네티스 API 서버에 직접 인증해 시크릿을 나열하고, 여러 네임스페이스의 워크로드를 건드리고, 운영 파드에 백도어를 심었다.
공격자는 이어서 거래소의 클라우드 백엔드 시스템에 들어가 민감한 자격 증명을 가져갔다. 마지막에는 금융 인프라에 닿아 수백만 규모의 암호화폐 자금을 훔쳤다.
증상 ? 무단 접근과 낯선 워크로드
원인 ? 자격 증명 유출
–
–
–
RBAC 가 잘못됐거나 너무 넓으면 쿠버네티스 신원 하나가 클라우드 전체로 옮겨 가는 발판이 된다. Unit 42 는 RBAC 역할을 좁게 잡고 Restricted Pod Security 프로필을 쓰라고 권한다. 서비스 어카운트 토큰은 파드 수명에 묶이고 유효 기간이 짧은 projected 토큰으로 바꿔서, 빼앗기더라도 금방 쓸 수 없게 해야 한다. 쿠버네티스 감사 로그와 런타임 모니터링으로 ClusterRoleBinding 수정 시도, 낯선 IP 에서 쓰인 서비스 어카운트 토큰, 민감한 네임스페이스에 나타난 파드를 지켜봐야 한다.
–