메모리 內 가상자산 복원정보 획득 방안

국문 초록 (Abstract)

가상자산을 사용하는 대표적 범죄인 랜섬웨어는 개인에서 정부기관과 기업을 대상으로 공격 범위를 확대하여 주요 데이터를 암호화하고 복구비용으로 가상자산을 요구한다. 랜섬웨어로 인한 피해금액은 지난 5년간 4조7,423억 원에 달하는 등 갈수록 증가하고 있으나 범죄수익을 압수하는 성과는 부족한 실정이다. 가상자산 범죄는 익명거래가 가능하고 초국가적 특성을 가져 전통적인 수사기법으로는 대응에 한계가 존재한다. 따라서 본 연구에서는 가상자산 지갑 6종(Monero, BitPay, Coinomi, MetaMask, Phantom, Kaikas)을 대상으로 복원정보를 획득하는 실험과 사용자 행위, 초과시간에 따른 메모리 내 복원정보 잔존 여부를 알아낼 수 있는 실험을 하였다. 실험 결과, 모든 가상자산 지갑은 메모리에 복원정보가 잔존되었고 가상자산 압수를 위해 메모리를 중점적으로 분석해야하는 것을 알게되었다. 또한 지갑이 동작중인 상태에서는 Coinomi를 제외한 모든 지갑에서 복원정보를 획득할 수 있었다. 실험 결과를 바탕으로 메모리 내 잔존되어 있는 복원정보를 획득할 수 있는 도구를 제안하고 검증하였다. Monero, BitPay, Coinomi는 사용자가 지갑을 생성하고 복원정보를 저장·복원 등 행위를 하게되면 도구를 통한 복원정보 획득 가능성이 높은 결과가 나왔다. 이번 연구가 우리나라의 주요 정보통신기반시설이나 민간기업에서 랜섬웨어 공격을 당했을 때 가상자산을 압수할 수 있는 방안이 되기 기대한다. 가상자산 압수를 위한 방안으로 온라인수색 도입·활용 논의의 시작을 촉구하는 데에 기여할 수 있을 것이다.

다국어 초록 (Multilingual Abstract)

Ransomware, a representative crime that uses virtual assets, encrypts key data by expanding the scope of attacks from individuals to government agencies and companies and requires virtual assets as recovery costs. The amount of damage caused by ransomware has been increasing over the past five years, reaching KRW 4.742 trillion, but the results of seizing criminal profits are insufficient. Virtual asset crimes can be traded anonymously and have transnational characteristics, so traditional investigative techniques have limitations in responding. Therefore, this study conducted an experiment to acquire restoration information for six virtual asset wallets (Monero, BitPay, Coinomi, MetaMask, Phantom, and Kaikas) and an experiment to find out whether virtual asset restoration information remains in memory according to user behavior and excess time. As a result of the experiment, it was found that restoration information remained in memory for all virtual asset wallets, and memory analysis should be prioritized to confiscate virtual assets. In addition, while the wallet was in operation, restoration information could be obtained from all wallets except Coinomi. Based on the experimental results, a tool capable of obtaining restoration information remaining in memory was proposed and verified. Monero, BitPay, and Coinomi have a high possibility of obtaining restoration information through tools if users create wallets and store and restore restoration information. It is hoped that this study will be a way to confiscate virtual assets in the event of ransomware attacks on major information and communication infrastructure or private companies in Korea. As a way to seize virtual assets, it can contribute to urging the start of discussions on the introduction and utilization of online search.

목차 (Table of Contents)

• 제1장 서 론
• 제1절 연구 배경 및 필요성
• 1. 연구 배경
• 2. 연구 필요성
• 제2절 연구 방법
• 1. 연구 범위
• 2. 연구 방법
• 제2장 가상자산 범죄 실태 및 압수 법제·기술
• 제1절 가상자산 범죄 실태
• 제2절 가상자산 압수 법제
• 제3절 가상자산 압수 기술
• 제3장 가상자산 복원정보 획득 실험
• 제1절 실험 설계
• 제2절 실험 결과
• 1. Monero
• 2. BitPay
• 3. Coinomi
• 4. MetaMask
• 5. Phantom
• 6. Kaikas
• 제3절 시사점 및 한계
• 제4장 메모리 內 가상자산 복원정보 잔존 실험
• 제1절 실험 설계
• 제2절 실험 결과
• 1. Monero
• 2. BitPay
• 3. Coinomi
• 4. MetaMask
• 5. Phantom
• 6. Kaikas
• 제3절 시사점 및 한계
• 제5장 가상자산 압수 도구 개발 및 검증
• 제1절 도구개발 및 검증 방법
• 1. 복원정보 데이터셋 구성 방안
• 2. 검증환경 및 지표
• 제2절 정규표현식 설계
• 1. Monero
• 2. BitPay
• 3. Coinomi
• 4. MetaMask
• 5. Phantom
• 6. Kaikas
• 제3절 도구 개발 및 검증 결과
• 1. Monero
• 2. BitPay
• 3. Coinomi
• 4. MetaMask
• 5. Phantom
• 6. Kaikas
• 제4절 시사점
• 제6장 결 론
• 참 고 문 헌
• ABSTRACT