바이낸스 63억 달러 해킹, 북한 해커는 어떻게 몇 달간 들키지 않았나

바이낸스가 자사 지갑에서 63.4억 달러 규모의 암호화폐를 노린 해킹 사건의 조사 결과를 공개했습니다. FBI와 보안업체 TRM이 북한 연계 행위자로 지목한 이 공격은 단발성 침해가 아니라 몇 달에 걸친 다단계 작전이었다는 점이 핵심입니다.

바이낸스, 63.4억 달러 규모 암호화폐 도난 경위 공개

핵심: 바이낸스 지갑을 노린 이번 공격은 역대 최대 규모의 암호화폐 도난 시도로, 회사는 이 중 28.5억 달러를 동결·차단했다고 밝혔습니다.

바이낸스는 암호화폐를 사고팔 수 있는 거래소입니다. 이번 사건에서 공격자들은 바이낸스 지갑에서 63.4억 달러를 노렸으며, 이는 암호화폐 도난 사건 중 역대 최대 규모로 집계됐습니다. FBI와 보안업체 TRM Security는 이 공격을 북한 연계 행위자의 소행으로 귀속했습니다. 바이낸스는 손실에 대응할 자금을 확보해 두었다며 자체 보유자산증명(Proof of Reserves) 페이지 링크도 공개했습니다.

바이낸스 발표에 따르면 공격자들은 최소 지난 6월부터 작전을 시작해 지난주 목요일까지 활동을 이어갔으며, 그날 한 엔지니어의 노트북을 장악해 여러 지갑에서 자산을 인출하는 데 성공했습니다. 바이낸스는 조사 결과를 두고 “정교한 다단계 작전이었다”며 “단일 침해나 단순한 피싱 사건이 아니었다”고 밝혔습니다. 회사는 가짜 채용 면접을 이용한 사회공학 기법, 악성 소프트웨어 다운로드, 내부 AI 도구 손상, 엔드포인트 침해, 그리고 고도화된 거래 승인 방식(advanced transaction-authorisation method) 등 여러 기법이 결합됐다고 설명했습니다.

바이낸스가 공개한 세부 경위를 보면, 첫 침해는 6월경으로 추정됩니다. 한 엔지니어가 변조된 버전의 Homebrew(오픈소스 소프트웨어 설치 관리 도구)를 다운로드한 것이 출발점이었습니다. 바이낸스는 이 사건을 5월에 보도된 사례와 연결했으며, 보안팀이 감염된 노트북을 탐지했지만 이미 악성코드 운영자들이 해당 엔지니어와 동료들이 바이낸스 지갑 인프라 팀에서 맡은 역할 정보를 확보한 뒤였다고 밝혔습니다.

9월에는 다른 엔지니어가 본인이 사용 중이던 구직 플랫폼을 통해 메시지를 받았습니다. 발신자는 신규 채용을 진행한다는 프로젝트 디렉터를 사칭했고, 가짜 인사담당자와의 1차 면접, 가짜 CEO와의 2차 면접까지 이어졌습니다. 1차 면접에서 가짜 인사담당자는 개인 사진과 영상이 담긴 소셜미디어 계정을 공유했습니다. 2차 면접은 소셜 채팅 앱을 통해 진행됐으며, 이 과정에서 엔지니어는 코드 저장소 링크가 포함된 “과제”를 다운로드하도록 지시받았고, 설정 과정에서 악성코드가 실행됐습니다. 바이낸스는 이 악성코드가 정교한 은폐·회피 기법을 사용했으며, 정상적인 개발 도구 구성요소를 악성 버전으로 교체하는 방식이 포함됐다고 설명했습니다.

출처: Ars Technica | 원문 보기 ↗

정리: 오늘의 시사점

이번 사건은 거래소 보안이 기술적 방어뿐 아니라 직원을 겨냥한 사회공학 공격까지 막아야 한다는 점을 보여줍니다. 바이낸스 사례에서는 소프트웨어 설치 파일 변조와 가짜 채용 면접이라는 서로 다른 두 경로가 결합돼 수개월간 발각되지 않았다는 점이 특징입니다.