---
title: "북한 연계 조직, 인기 오픈소스 라이브러리 4개 공격…공급망 보안 또 터졌다"
published: 2026-07-31T04:05:03.367Z
canonical: https://jeff.news/article/5296
---
# 북한 연계 조직, 인기 오픈소스 라이브러리 4개 공격…공급망 보안 또 터졌다

아마존 위협정보팀 보고서에 따르면 북한 연계 해킹 조직이 액시오스, 디버그, 초크, 타이포-크립토 등 유명 오픈소스 라이브러리 4개를 공격한 것으로 분석됐음. 이 라이브러리들은 주당 수억 회 다운로드되는 개발 구성요소라, 소수 패키지 침해만으로 수많은 클라우드 환경과 서비스가 동시에 위험해질 수 있음.

- 북한 연계 해킹 조직이 전 세계 개발자들이 많이 쓰는 오픈소스 라이브러리 4개를 공격한 것으로 확인됐음
  - 아마존 위협정보팀이 공식 보안 보고서를 통해 공개한 내용임
  - 대상은 액시오스(axios), 디버그(debug), 초크(chalk), 타이포-크립토(typo-crypto) 등 유명 라이브러리임

- 이 조직은 보안업계에서 여러 이름으로 불려왔음
  - 사파이어 슬릿, 스타더스트 천리마, 블루 노로프, 케이지 카멜리온 같은 이름이 언급됨
  - 액시오스 공격은 기존에도 알려져 있었지만, 디버그·초크·타이포-크립토 공격까지 같은 조직으로 연결한 분석은 이번이 처음 공개됐다고 함

- 왜 이게 큰일이냐면, 이 라이브러리들이 그냥 ‘어딘가의 작은 패키지’가 아니기 때문임
  - 기사에 따르면 해당 라이브러리들은 주당 수억 회 다운로드되는 개발 구성요소임
  - 개발자들은 이런 오픈소스 라이브러리를 부품처럼 가져와 소프트웨어를 만들기 때문에, 여기에 악성코드가 들어가면 수많은 서비스가 동시에 위험해짐

> [!WARNING]
> 인기 라이브러리 하나가 뚫리면 그걸 직접 쓰는 프로젝트뿐 아니라 하위 의존성으로 끌고 들어온 서비스까지 같이 흔들릴 수 있음. 공급망 공격이 무서운 이유가 딱 이거임.

- 실제 영향 규모도 꽤 세게 나왔음
  - 보안업체 위즈리서치에 따르면 디버그와 초크를 대상으로 한 공격은 단 두 시간 만에 전체 클라우드 환경의 약 10%에 영향을 줬음
  - 아마존은 “소수의 인기 라이브러리를 해킹하면 수천 개의 하위 환경에 동시에 접근할 수 있다”고 분석함

- 공격자 입장에서는 조직을 하나씩 뚫는 것보다 인기 패키지 하나를 노리는 게 훨씬 효율적임
  - 회사별 방화벽이나 계정 보안을 뚫지 않아도, 모두가 믿고 가져다 쓰는 의존성 경로를 타면 됨
  - 특히 자바스크립트 생태계처럼 하위 의존성이 깊고 배포 속도가 빠른 환경에서는 피해 전파도 빨라짐

```mermaid
sequenceDiagram
    participant 공격조직 as 북한 연계 조직
    participant 패키지 as 인기 오픈소스 라이브러리
    participant 개발자 as 개발자 프로젝트
    participant 배포 as 빌드·배포 환경
    participant 클라우드 as 클라우드 서비스
    공격조직->>패키지: 악성 코드 삽입 시도
    패키지->>개발자: 의존성 업데이트로 전파
    개발자->>배포: 빌드와 배포 파이프라인 실행
    배포->>클라우드: 서비스 환경에 반영
    클라우드-->>공격조직: 접근 경로와 피해 확대
```

- 가상자산 해킹 쪽에서도 북한 연계 조직 비중이 컸음
  - 블록에이드의 2026년 상반기 온체인 보안 보고서에 따르면 1월부터 6월까지 전 세계 가상자산 해킹 피해액은 총 11억 달러였음
  - 이 중 라자루스 그룹 산하 트레이더트레이터가 6억9천만 달러를 탈취해 전체 피해액의 55%를 차지한 것으로 분석됨

> [!IMPORTANT]
> 수치가 좀 세다. 상반기 가상자산 해킹 피해 11억 달러 중 6억9천만 달러가 북한 라자루스 산하 조직과 연결됐다는 분석임.

- 한국 개발팀도 이 이슈를 남 얘기로 보기 어려움
  - axios, debug, chalk 같은 패키지는 국내 서비스 개발 환경에서도 흔하게 쓰임
  - 의존성 잠금 파일, 패키지 서명, 배포 권한, CI 비밀값 관리, 이상 버전 탐지 같은 기본기가 실제 방어선이 됨

---

## 기술 맥락

- 이번 사건의 핵심은 공격 대상이 서비스 서버가 아니라 개발자가 믿고 가져다 쓰는 오픈소스 의존성이라는 점이에요. 공격자는 개별 회사를 하나씩 뚫는 대신, 주당 수억 회 다운로드되는 인기 패키지를 노려서 훨씬 넓은 범위로 퍼질 수 있는 길을 택한 거예요.

- axios, debug, chalk 같은 패키지가 위험한 이유는 직접 의존성뿐 아니라 하위 의존성으로도 들어올 수 있기 때문이에요. 개발자가 package.json에서 못 봤더라도 다른 패키지가 끌고 들어오면 빌드 과정에 포함될 수 있거든요.

- 클라우드 환경 10%가 두 시간 만에 영향을 받았다는 분석은 배포 자동화의 양면성을 보여줘요. CI/CD가 빠르게 퍼뜨리는 건 정상 코드만이 아니라 오염된 의존성도 마찬가지라서, 속도가 곧 리스크가 될 수 있어요.

- 그래서 방어는 런타임 보안만으로 끝나지 않아요. 잠금 파일 검토, 의존성 업데이트 정책, 패키지 출처 확인, 빌드 환경의 비밀값 제한처럼 개발 파이프라인 전체를 같이 봐야 해요.

## 핵심 포인트

- 액시오스, 디버그, 초크, 타이포-크립토 공격이 동일한 북한 연계 조직의 소행으로 분석됨
- 해당 라이브러리들은 주당 수억 회 다운로드되는 인기 개발 구성요소임
- 디버그와 초크 공격은 단 두 시간 만에 전체 클라우드 환경의 약 10%에 영향을 준 사례로 언급됨
- 아마존은 인기 라이브러리 몇 개를 해킹하는 방식이 조직을 하나씩 공격하는 것보다 훨씬 효율적이라고 분석함
- 2026년 상반기 전 세계 가상자산 해킹 피해액 11억 달러 중 6억9천만 달러, 즉 55%가 북한 라자루스 산하 조직과 연결된 것으로 분석됨

## 인사이트

이건 ‘오픈소스 쓰지 말자’가 아니라 ‘오픈소스 의존성을 그냥 npm install 하고 끝내는 시대는 끝났다’에 가까움. 한국 개발팀도 자바스크립트 패키지, CI, 클라우드 배포 파이프라인을 같이 쓰는 이상 남의 나라 보안 뉴스로 넘기기 어렵다.