워드프레스 플러그인 보안 침해: 해커가 플러그인 30개를 구매하고 8개월 동안 은닉했으며 도메인 차단을 우회하기 위해 이더리움 스마트 계약을 사용함
워드프레스 플러그인 보안이 도마에 올랐습니다. 해커가 워드프레스 플러그인 포트폴리오를 구매해 30개 이상의 플러그인에 백도어를 심었다는 보도가 있습니다. 공격자는 페이로드를 약 8개월간 숨겼으며, 첫 악성 업데이트는 2025-08-08에 게시되었고(변경 로그에는 단지 “compatibility update”라고만 표기) 오랜 기간 동안 발견되지 않았습니다.
백도어 코드는 2026년 4월 초 단계적 활성화 창 이후 wp-config.php에 주입되었고(첫 콜백은 2026-04-05/06경, wp-config.php 전체 쓰기는 2026-04-06 11:06 UTC), 이후 Googlebot을 대상으로 한 스팸 링크를 생성하고 원격 코드 실행을 가능하게 할 수 있는 보호되지 않은 REST API 경로를 노출했습니다.
워드프레스 플러그인 보안 방어 측면에서 특히 주목되는 점은 명령·제어(C2) 인프라가 전통적인 차단을 회피했다는 것입니다. 고정 도메인에 의존하는 대신 공격자는 C2 해석 로직을 이더리움 스마트 컨트랙트에 내장하고 퍼블릭 RPC 노드를 통해 업데이트된 포인터를 조회했습니다. 이로 인해 스마트 컨트랙트 자체가 변경될 때까지 DNS 차단 목록과 도메인 차단 조치가 무력화될 수 있습니다.
대응으로 WordPress.org는 영향을 받은 Essential Plugin 저자 계정을 폐쇄하고 하루 만에 30개 이상의 플러그인을 비활성화한 것으로 보도되었으며(2026-04-07), 이는 보안 연구원 Austin Ginder가 확인했습니다.
제로데이가 주장되지는 않았지만, 핵심 문제는 공급망 신뢰입니다. 워드프레스 생태계는 소유권 변경 시 강력한 심사나 사용자 알림 없이 구매자가 플러그인 업데이트 권한을 넘겨받도록 허용합니다.
Neutral
본 사건은 본질적으로 웹 쪽 공급망 공격과 악의적 인프라의 대립이며, 암호화폐 자산의 현금 흐름이나 프로토콜 레벨의 변화와 직접적으로 관련되지는 않습니다(온체인 채굴, 토큰 이코노미 또는 거래소의 대형 장애에 대한 언급 없음). 따라서 시장 거래 심리에 대한 직접적인 영향력은 제한적이며, 관련 산업 및 서비스(웹사이트 생태계, 호스팅, 보안업체)에서의 단기적인 '사이버보안 리스크 프리미엄' 변동으로 더 잘 나타날 가능성이 큽니다.
단기적으로: 트레이더들이 이를 과거의 '공급망 오염/플러그인 백도어' 사건들(예: 소프트웨어 업데이트 악용)과 유사하다고 본다면, 일반적으로 Web3 관련 사이트나 데이터 서비스, 마케팅 유입 트래픽에 대한 신뢰가 떨어지고 보안 이슈에 대한 경미한 관심이 증가할 수 있지만 BTC/ETH의 거시적 흐름에 체계적으로 영향을 미칠 가능성은 낮습니다.
장기적으로: 보고서는 이더리움 스마트컨트랙트를 이용해 C2를 동적으로 파싱하는 아이디어를 강조하고 있어, 보안 커뮤니티와 컴플라이언스/인프라 운영자들이 '온체인 업데이트 가능한 명령 도메인' 위협 모델에 더 주목하게 만들 수 있습니다. 암호화폐 시장에 대한 장기적 영향은 보다 중립적입니다: 보안 및 규제 논의는 촉진되지만 주류 자산의 수요·공급 펀더멘털을 바꾸지는 않습니다.
결론: 가격에 대한 영향은 방향성 있는 강한 상승·하락 촉매보다는 주변적이고 주제적이며 심리적(감정 기반)인 영향일 가능성이 높습니다.