가짜 면접 과제로 직원 PC 감염…바이낸스, 5개월 침투 경로 공개

공격자는 가짜 채용 면접 과제로 바이낸스 직원 컴퓨터에 처음 발을 들였다. 바이낸스는 한국시간 3일 밤 공식 X 계정에 올린 첫 조사 보고서에서 10월 29일(UTC) 사고로 약 63억4천만 달러어치 가상자산이 빠져나갔고, 공격자는 다섯 달에 걸쳐 직원 컴퓨터와 내부 AI 도구를 차례로 장악한 뒤 지갑 서명 서비스에 들어왔다고 밝혔다. 이 가운데 약 28억5천만 달러는 동결하거나 가로막았다.

"This should not have happened, and we apologise for the concern, disruption and uncertainty it caused"

바이낸스 첫 조사 보고서

바이낸스는 손실을 이용자가 아니라 회사가 떠안는다며, 10월 31일 기준 피해 토큰 자산의 98%를 다시 채웠고 유동성이 낮은 나머지 코인은 사들이는 중이라고 했다. 보고서는 미국 연방수사국(FBI)의 최근 발표를 들어 북한을 배후로 적었다. 공격 경로는 다음과 같다(시각은 한국시간).

1. 6월지갑 데브옵스 엔지니어 A가 검색으로 찾은 변조된 홈브루(맥용 프로그램 설치 도구)를 내려받아 AI 코딩 도구를 설치. 보안팀이 이상을 잡아 기기를 바꾸고 인증 정보를 교체했지만, A와 지갑 인프라팀 동료들의 신원은 이미 드러난 상태
2. 9월엔지니어 B, 구직 플랫폼에서 가짜 '프로젝트 디렉터'의 연락을 받고 두 차례 면접. 2차 면접 끝에 받은 과제 파일로 업무용 컴퓨터 감염
3. 10월 20일공격자, B의 컴퓨터와 내부 AI 도구를 발판 삼아 A와 지갑 엔지니어 C의 기기 장악. A의 컴퓨터에서 컨테이너 배포 권한 토큰 발견
4. 10월 30일 02:15~04:56C의 컴퓨터에 접속해 A의 인증 정보로 컨테이너를 배포하고 악성 스크립트 실행
5. 10월 30일 05:05~05:09핫월렛 5곳에서 XRP 2억3,346만 개 유출. 이어 솔라나 약 97만500개, OP 4,420만 개, 비트코인 1만8,270개가 빠져나감
6. 10월 30일 08:56마지막 무단 이체(ETH 2,961.9개) 확정
7. 10월 30일 09:10바이낸스, 악성 위임을 지우는 새 승인 실행. 이후 추가 유출 없음

2차 면접관은 존재하지 않는 회사의 CEO였다

B는 바이낸스 경력이 적힌 프로필을 정상적인 구직 플랫폼에 올려 두고 있었다. 프로젝트 디렉터를 자처한 인물은 인사 담당자와의 1차 화상 면접, 가상의 회사 CEO라는 인물과의 2차 면접을 잡았다. 1차 면접관은 개인 사진과 영상이 올라간 소셜미디어 계정까지 보여 주며 신뢰를 쌓았다. 바이낸스는 이를 "이전에 본 사회공학 수법보다 더 정교했다"고 평가했다.

2차 면접은 메신저 앱에서 진행됐고, 끝무렵 B는 '과제'로 받은 코드 저장소를 업무용 컴퓨터에 내려받았다. 설치 과정에서 실행된 악성 코드는 정상 개발 도구인 pyenv 파일을 지우고 같은 이름의 악성 파일로 바꿔치기해 외부 서버와 통신했다. 이 코드는 아직 알려지지 않은 제로데이 악성코드여서 당시 보안 프로그램이 잡아내지 못했고, 공격자는 흔적까지 지웠다.

출금을 막아도 코인이 계속 빠져나간 이유

공격자는 지갑 서명 서비스로 정상 출금 절차 밖의 거래를 만들었다. 이어 이더리움의 EIP-7702 기능을 악용했다. EIP-7702는 지갑이 개인키를 드러내지 않고 스마트계약에 일부 실행 권한을 맡길 수 있게 한 기능인데, 공격자는 서명 거래 50건을 보내 자기 스마트계약이 바이낸스 핫월렛 하나에 대해 일부 실행 권한을 갖게 했다.

이 권한은 블록체인 위에 기록돼 있어 바이낸스가 출금을 멈추고 핫월렛 서비스를 꺼도 사라지지 않았다. 핫월렛은 여러 조각으로 나눈 키를 함께 써야 서명되는 다자간 연산(MPC) 방식이라 권한을 바로 취소할 단일 개인키도 없었다. 바이낸스는 별도 절차를 만들어 권한을 지우느라 시간이 더 걸렸고, 첫 유출부터 위임 삭제까지 4시간 넘게 걸렸다.

올해만 57번, 북한 추정 공격을 막았다

바이낸스는 올해 북한 연계로 의심되는 공격 57건을 탐지해 막았다고 밝혔다. 가짜 채용 면접, 인기 개발 도구로 위장한 악성 프로그램, 오염된 소프트웨어 패키지와 브라우저 확장 프로그램, 가짜 화상회의 앱 등이 쓰였다. 이번 사고 뒤에는 피해 지갑 시스템과 내부 AI 도구를 새 환경에서 다시 만들고, 관련 기기를 바꾸고, 해당 엔지니어들의 인증 정보와 토큰을 폐기했다. 외부 보안업체의 독립 검토를 받고, AI 기업·보안업체와 블록체인 AI 보안 연구 기금도 꾸릴 계획이다.

북한은 반발했다. VOA에 따르면 김여정은 3일 조선중앙통신 담화에서 FBI 발표를 "터무니없는 궤변", "엄중한 정치적 도발"이라고 했다. 시장은 차분했다. 4일 오전 8시 30분께 업비트에서 비트코인은 1억497만8천 원으로 하루 새 1.3% 올랐고, 바이낸스에서는 7만7,914달러였다. 두 거래소 가격 차이(김치 프리미엄)는 약 0.2%였다.