가짜 면접관은 北해커…바이낸스 뚫은 5개월 작전

개발 도구·가짜 채용으로 직원 PC 침투

사내 AI 악용해 프로그램 배포 권한 탈취

피해 자산 3조8000억원 동결·손실 98% 충당

북한 해커들이 5개월간 직원과 사내 AI 도구를 차례로 침해해 배포 권한까지 탈취한 바이낸스 ‘8조원대 해킹’의 전말이 드러났다. ⓒ로이터/연합뉴스

바이낸스가 약 63억4000만 달러(약 8조4000억원) 규모의 가상자산에 영향을 미친 해킹 사고의 초기 조사 결과를 공개했다.

공격자들은 개발 도구와 직원 업무용 컴퓨터, 사내 인공지능(AI) 도구를 차례로 침해한 뒤 프로그램 배포 권한까지 확보한 것으로 나타났다.

바이낸스가 3일(현지시간) 발표한 초기 조사 보고서에 따르면 이번 공격은 지난 6월부터 약 5개월에 걸쳐 진행됐다.

악성 소프트웨어를 이용한 공급망 공격에 가짜 채용 절차를 통한 사회공학 기법, 사내 AI 도구 악용 등이 복합적으로 동원됐다.

첫 침투는 가상자산 지갑 개발·운영 담당 엔지니어 A를 겨냥했다.

공격자들은 A가 변조된 개발 도구를 내려받도록 유도했다.

바이낸스 보안팀은 당시 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신했지만, 이 과정에서 지갑 인프라팀 담당자들의 인적 정보가 공격자에게 노출됐다.

약 3개월 뒤인 9월에는 구직 플랫폼을 통해 다른 엔지니어 B에게 접근했다.

공격자들은 가짜 채용 절차를 진행하면서 1차 화상 면접에서 사생활 사진이 담긴 사회관계망서비스(SNS) 계정을 공유하는 방식으로 신뢰를 쌓았다.

이어 2차 면접에서는 최고경영자(CEO)로 위장한 인물이 과제 수행을 명목으로 악성코드가 포함된 소프트웨어를 B의 업무용 컴퓨터에 설치하도록 했다.

보고서에 따르면 해당 악성코드는 당시 보안 도구에 탐지되지 않는 ‘제로데이’ 취약점을 이용해 정상적인 개발 도구를 악성 버전으로 바꿨다.

공격자들은 지난달 20일 감염된 B의 컴퓨터에서 사내 AI 도구를 악용했다.

이를 통해 A와 또 다른 엔지니어 C의 기기에 대한 제어권을 단계적으로 확보하고, A가 보유한 프로그램 배포 인증키인 ‘컨테이너 배포 권한 토큰’까지 탈취했다.

실제 자산 탈취가 이뤄진 지난달 29일에는 C의 컴퓨터에 로그인한 뒤 A의 인증키로 자신들이 만든 프로그램을 배포했다.

직원 기기 침해가 다른 직원의 접근 권한과 프로그램 배포 권한 탈취로 이어진 것이다.

무단 인출은 협정세계시(UTC) 기준 29일 오후 8시5분, 한국시간으로는 지난달 30일 오전 5시5분부터 시작됐다.

공격자들은 우선 4분에 걸쳐 리플(XRP) 2억3346만개를 빼낸 뒤 솔라나(SOL) 97만500개와 옵티미즘(OP) 4420만개를 송금했다. 이어 비트코인 1만8270개와 이더리움 2961.9개를 이체했다.

이더리움 네트워크에서는 ‘EIP-7702’의 승인 권한을 악용했다.

미리 준비한 사전 서명 50개로 자산 인출에 대한 위임 인증을 받아 정상적인 출금 인프라를 우회하는 수법이었다.

바이낸스는 공격이 시작된 지 약 4시간 뒤인 UTC 기준 30일 0시10분, 한국시간 오전 9시10분에 EIP-7702 위임 코드를 초기화해 추가 유출을 차단했다.

다만 이때는 이미 상당량의 가상자산이 탈취된 뒤였다.

이번 사건으로 영향을 받은 자산은 총 63억4000만 달러다.

이 가운데 28억5000만 달러(약 3조8000억원)는 거래소와 발행사 간 공조를 통해 동결되거나 차단된 상태다.

바이낸스는 자체 보유 자금과 이용자자산보호기금(SAFU), 선물 보험기금 등을 동원해 이번 사건에 따른 손실분을 98% 이상 충당했다고 밝혔다.

침해된 지갑과 사내 AI 도구도 재건했으며, 외부 독립기관과 보안 감사를 진행하고 있다.

재발 방지를 위해서는 AI 기반 감지 기술 투자를 확대하고, 주요 AI 기업과 함께 가상자산 환경의 AI 보안 연구기금 조성을 추진할 계획이다.

바이낸스는 이번 공격을 북한 해커들의 소행으로 지목했다.

아울러 올해 들어 북한과 연계된 것으로 의심되는 사이버 위협 사례 57건을 탐지하고 차단했다고 덧붙였다.