공공 클라우드에서의 암호화폐 채굴 측정 및 분석

1. 서론

Cryptocurrencies, as a premier application of blockchain technology, have witnessed exponential growth and mainstream adoption. A fundamental component of this ecosystem is the mining pool—블록 보상 획득 확률을 높이기 위해 계산 자원을 결합하는 채굴자들의 집단으로, 획득한 보상은 비례적으로 분배됩니다. 암호화폐는 수많은 이점을 제공하지만, 그 가명성과 분산된 특성은 랜섬웨어 지급 및 은밀한 명령 및 제어(C2) 작전과 같은 악성 활동을 용이하게 합니다. 본 논문은 암호화폐 채굴 풀과 공용 클라우드 인프라 간의 중요한 접점을 조사하여, 그들의 연관성을 프로파일링하고, 보안 노출을 측정하며, 그 이면의 역학 관계를 모델링하는 것을 목표로 합니다.

핵심 가설은 공격자들이 확장성, 유연성 및 남용 가능성(예: 손상된 인스턴스를 통해)으로 인해 암호화폐 채굴을 위해 공용 클라우드 자원을 점점 더 많이 활용한다는 것입니다. 이 변화는 추적 가능한 개인 서버에서 일시적인 클라우드 기반 공격 전선으로 이동함으로써, 현대 컴퓨팅 트렌드와 공격자 유인 간의 융합을 나타냅니다.

2. Methodology & Data Collection

본 연구는 네트워크 인텔리전스 데이터에 기반한 수동적 관찰 접근법을 채택합니다.

3. Key Findings & Statistical Analysis

4. Technical Framework & Mathematical Modeling

관찰된 선호적 연결(Preferential Attachment)은 수학적으로 모델링될 수 있습니다. $G(t)$를 시간 $t$에서의 네트워크 그래프라고 하며, 여기서 노드는 클라우드 제공자와 채굴 풀을 나타내고, 에지는 관찰된 연관 관계를 나타냅니다. 노드 $i$에 새로운 연결이 생성될 확률 $\Pi(k_i)$는 해당 노드의 현재 차수 $k_i$에 비례합니다:

$$

더 나아가, 클라우드 제공자 $c$에 대한 보안 위험 $R_c$는 그 연결 규모 $V_c$와 해당 연결들의 악성 비율 $M_c$의 함수로 개념화될 수 있다:

$$

5. Experimental Results & Charts

차트 1: Cloud Provider Association Share. 파이 차트나 막대 그래프는 분석을 시각적으로 압도하며, AWS와 GCP가 협회 점유율의 약 48%를 공동으로 보유하고 있음을 보여주고, 나머지 52%를 구성하는 다른 공급자들(Microsoft Azure, Alibaba Cloud, DigitalOcean 등)의 긴 꼬리가 뒤따르는 모습을 나타낼 것입니다.

차트 2: Degree Distribution Log-Log Plot. 핵심 실험 결과는 노드 차수 분포의 로그-로그 플롯입니다. 이 차트는 음의 기울기를 가진 직선을 보여주며, 멱법칙을 따르는 무거운 꼬리 분포 $P(k) \sim k^{-\gamma}$를 확인시켜 줍니다. 이 플롯은 작동 중인 선호적 연결 메커니즘의 직접적인 증거입니다.

차트 3: Malicious Endpoint Ratio per Top Provider. AWS와 GCP를 비교한 그룹 막대 그래프로, AWS 관련 엔드포인트의 약 35%, GCP 관련 엔드포인트의 약 30%가 악성으로 분류되어 보안 위험에 대한 정량적 측정치를 제공합니다.

6. 분석 프레임워크: 사례 연구

사례: 의심되는 Cryptojacking 작업 추적

1단계 - 시드(Seed) 식별: 위협 인텔리전스 피드(예: `malicious-miner-pool[.]xyz`)에서 알려진 악성 코인 채굴기 바이너리나 도메인으로 시작합니다.

Step 2 - pDNS 확장: 시드 도메인과 지난 6개월 동안 연관된 모든 IP 주소(`A` 레코드)에 대한 pDNS 데이터를 조회합니다.

Step 3 - 클라우드 속성 파악: 해결된 각 IP에 대해 WHOIS 조회 및 ASN 매핑을 수행합니다. 주요 CSP(예: AWS `us-east-1`)에 속하는 IP 범위를 필터링합니다.

4단계 - 그래프 구성: 데이터를 이분 그래프로 모델링합니다: 한 노드 집합은 마이닝 풀 도메인이고, 다른 집합은 CSP IP 블록입니다. 도메인이 해당 블록 내 IP로 확인된 경우 간선이 존재합니다.

Step 5 - Anomaly Detection & Risk Scoring:

• 볼륨 급증: 특정 CSP IP 블록이 수백 개의 새로운 일시적(ephemeral) 마이너 도메인을 갑자기 해석하는지 탐지합니다. 이는 대규모 자동화 배포의 신호입니다.
• 악성 상관관계: 발견된 모든 도메인을 VirusTotal API와 교차 참조합니다. 위험 점수를 계산합니다: $\text{점수} = \frac{\text{악성 도메인 수}}{\text{총 도메인 수}} \times \log(\text{고유 IP 총수})$.
• 시간적 분석: 제거 통보 후 채굴 활동이 하나의 CSP에서 다른 CSP로 이동하는지 관찰하여, 공격자의 회복 탄력성을 나타냅니다.

결과: 이 프레임워크는 단순히 개별적인 악성 인스턴스를 식별하는 것을 넘어, 클라우드 인프라 전반에 걸친 남용 패턴을 파악할 수 있어, CSP 보안 팀에게 특정 고위험 IP 블록에 대한 표적 경고를 가능하게 합니다.

7. Future Applications & Research Directions

CSP를 위한 사전 위협 헌팅: 클라우드 제공업체는 유사한 pDNS 분석을 내부 보안 운영 센터(SOC)에 통합하여 불법 채굴에 사용되는 리소스를 사전에 식별 및 정지시켜, 남용을 줄이고 합법적 고객을 위한 인프라를 보존할 수 있습니다.

2. 블록체인 분석 통합: 향후 연구는 온체인 거래 데이터와 클라우드 외부 IP 인텔리전스를 융합해야 합니다. 채굴 보상 주소와 클라우드 호스팅 풀 엔드포인트를 연관시킴으로써, 연구자들은 Chainalysis와 Elliptic에서 사용되는 기법과 유사하게, 크립토재킹 수익의 자금 흐름을 추적할 수 있을 것입니다.

3. AI 기반 행위 탐지: 머신 러닝 모델은 클라우드 인스턴스의 네트워크 및 자원 소비 패턴(CPU/GPU 부하, 알려진 풀에 대한 네트워크 트래픽)을 학습하여 하이퍼바이저 수준에서, 엔드포인트 탐지 및 대응(EDR) 도구가 작동하는 방식과 유사하게 실시간으로 채굴 멀웨어를 탐지하도록 훈련될 수 있습니다.

4. Policy & Regulatory Implications: 본 연구는 데이터 격차를 지적합니다. 금융행동특별작업반(FATF)의 프레임워크에서 제안된 바와 같이, 규제 기관은 불법 금융을 차단하고 생태계의 투명성을 개선하기 위해 클라우드 서비스 공급자(CSP)에게 암호화폐 채굴 트래픽에 대한 집계 지표를 재무 거래 보고서와 유사하게 보고하도록 요구하는 것을 고려할 수 있습니다.

5. 차세대 자산 연구: 언급된 바와 같이, 메타버스 통화로의 전환이 진행 중입니다. 향후 연구는 프라이버시 코인(예: Monero, Zcash) 및 가상 세계와 분산형 물리 인프라 네트워크(DePIN)와 연결된 새로운 작업 증명(PoW) 자산에 대한 채굴 풀 분석으로 확대되어야 합니다.

8. References

1. Nakamoto, S. (2008). Bitcoin: A Peer-to-Peer Electronic Cash System.
2. Barabási, A. L., & Albert, R. (1999). Emergence of scaling in random networks. 과학, 286(5439), 509-512.
3. Möser, M., et al. (2018). An Empirical Analysis of Traceability in the Monero Blockchain. Proceedings on Privacy Enhancing Technologies.
4. Vasek, M., & Moore, T. (2015). There's no free lunch, even using Bitcoin: Tracking the popularity and profits of virtual currency scams. In Financial Cryptography and Data Security.
5. Financial Action Task Force (FATF). (2021). 가상자산 및 가상자산 서비스 제공자에 대한 리스크 기반 접근법 업데이트 지침.
6. Zhu, J. Y., et al. (2017). 사이클 일관적 적대 신경망을 이용한 비대응 이미지 간 변환. Proceedings of the IEEE International Conference on Computer Vision (ICCV). (도메인 간 매핑을 위한 방법론적 유사성에 대한 CycleGAN 참조).
7. Cloud Security Alliance (CSA). (2022). Top Threats to Cloud Computing: The Egregious 11.
8. VirusTotal. (n.d.). Google's VirusTotal API Documentation. Retrieved from https://developers.virustotal.com/

9. Original Analysis & Expert Commentary