바이낸스 해킹, 가짜 채용 면접서 시작…北 해커 수개월간 침투

악성코드로 직원 PC 감염시켜 내부 시스템 접근

글로벌 가상자산 거래소 바이낸스에서 발생한 63억 달러 규모 해킹 사고가 가짜 채용 면접에서 시작된 것으로 확인됐다. 북한 해커조직은 수개월에 걸쳐 바이낸스 직원과 내부 시스템에 침투한 뒤 핫월렛 서명 인프라를 공격한 것으로 파악됐다.

바이낸스는 3일(현지시간) 언론 브리핑과 공식 보고서를 통해 지난달 29일 발생한 해킹 사고 초기 조사 결과와 대응 현황을 공개했다.

바이낸스에 따르면, 공격은 지난 6월부터 시작됐다. 당시 월렛 개발·운영팀 소속 엔지니어 한 명이 인터넷에서 인공지능(AI) 코딩 도구를 찾던 중 해커가 만든 소프트웨어 설치 프로그램을 다운로드했다.

바이낸스 로고

바이낸스 보안팀은 이상 징후를 탐지해 해당 기기를 교체하고 관련 인증정보를 변경했다. 그러나 이미 해당 엔지니어 업무와 월렛 인프라팀 정보가 해커에게 노출된 상태였다.

이후 9월에는 가짜 채용 면접을 가장한 추가 공격이 이뤄졌다.

해커는 구직 플랫폼에서 프로젝트 디렉터를 사칭해 바이낸스 소속 소프트웨어 엔지니어에게 접근했다. 해커는 인사담당자와 최고경영자(CEO)를 사칭한 인물을 내세워 두 차례 면접을 진행했다. 

첫 번째 화상 면접에서 해커는 가짜 사진과 소셜미디어 계정을 공유하며 엔지니어와 신뢰를 쌓았다.

이후 두 번째 면접에서는 가상 회사 CEO를 사칭해 엔지니어에게 악성코드를 심은 코딩 과제 프로그램을 업무용 컴퓨터에 다운로드하도록 유도했다.

설치 과정에서 실행된 악성코드는 코드 난독화와 탐지 회피 기술을 활용해 보안 시스템을 우회했다. 당시 바이낸스 엔드포인트 보안 시스템은 해당 제로데이 악성코드를 탐지하지 못한 것으로 나타났다.

해커는 이를 기반으로 내부 시스템 침투를 확대했으며, 지난달 20일에는 AI 도구를 활용해 두 개발자 컴퓨터 통제권을 확보했다. 이어 29일에는 탈취 인증정보를 이용해 악성 스크립트를 실행하면서 본격적인 가상자산 탈취에 나섰다.

특히 해커는 바이낸스 내부 월렛 서명 서비스에 무단으로 접근해 정상적인 출금 절차를 우회했다. 이더리움 스마트컨트랙트 기능(EIP-7702) 권한 위임을 악용해 핫월렛 자산을 이동할 수 있는 권한을 확보한 것으로 조사됐다.

바이낸스는 즉시 출금을 중단하고 추가 피해 차단에 나섰지만, 이미 블록체인에 설정된 악성 권한 위임이 정상적인 출금 시스템과 독립적으로 작동하면서 대응에 어려움을 겪은 것으로 확인됐다. 

바이낸스는 “이번 사고는 발생해서는 안 되는 일이었다”며 “이용자와 파트너, 업계 전반에 우려와 혼란, 불확실성을 초래한 점에 대해 사과드린다”고 밝혔다.

한편 바이낸스는 이번 해킹 사고로 발생한 손실을 전액 자체 부담할 방침이다. 지난달 31일 기준 피해 토큰 자산 98%를 회사 자금으로 보충했으며, 나머지 자산도 매입하고 있다고 설명했다.