바이낸스 “9조원 탈취, 가짜 채용 면접·AI 도구로 침투”

세계 최대 가상자산거래소 바이낸스에서 발생한 약 63억4000만달러(약 9조원) 규모의 가상자산 탈취 사고가 개발자를 겨냥한 가짜 채용 면접과 악성 소프트웨어를 통해 시작된 것으로 확인됐다. 바이낸스에 따르면, 공격자는 수개월에 걸쳐 개발자 PC와 내부 시스템에 침투한 뒤 인공지능(AI) 도구까지 악용해 가상자산 지갑의 거래 승인 시스템에 접근했다.

바이낸스는 3일(현지시간) 공개한 초기 사고 분석 보고서에서 지난달 29일 발생한 해킹 사고의 침투 경로와 공격 과정을 공개했다. 보고서에 따르면, 공격자는 소프트웨어 공급망 공격과 사회공학적 기법, 악성코드, 내부 AI 도구 등을 결합해 단계적으로 접근 권한을 확보했다.

공격은 지난 6월 시작됐다. 바이낸스의 지갑 운영·개발(DevOps) 엔지니어 A는 인기 AI 코딩 도구를 설치하기 위해 검색엔진에서 관련 소프트웨어를 찾던 중 변조된 홈브루(Homebrew) 설치 프로그램을 내려받았다. 홈브루는 개발자가 소프트웨어와 개발 도구를 설치·관리하는 데 사용하는 패키지 관리자다.

바이낸스 보안팀은 당시 이상 징후를 탐지하고 감염된 기기를 교체했으며 관련 인증정보도 변경했다. 그러나 이 과정에서 공격자에게 해당 엔지니어의 업무와 지갑 인프라를 담당하는 동료들의 정보가 노출됐다.

공격자는 이후 다른 개발자를 표적으로 삼았다. 지난 9월 정상적인 구직 플랫폼을 통해 소프트웨어 엔지니어 B에게 접근한 뒤 가상의 회사 프로젝트 책임자로 위장해 채용 절차를 진행했다.

첫 면접은 인사 담당자를 사칭한 인물이 실시간 화상회의로 진행했다. 면접관은 개인 사진과 동영상이 게시된 소셜미디어 계정을 공유하며 신뢰를 쌓았다. 이후 가짜 최고경영자(CEO)와의 두 번째 면접까지 진행했다.

공격자는 두 번째 면접이 끝날 무렵 코딩 과제라며 악성코드가 포함된 소스코드 저장소를 업무용 PC에 내려받도록 유도했다. 개발자가 해당 과제를 설치하는 과정에서 악성코드가 실행됐다.

악성코드는 정상 개발 도구의 구성요소를 악성 파일로 교체하고 공격자가 제어하는 외부 서버와 통신하도록 설계됐다. 바이낸스에 따르면 해당 악성코드는 당시 엔드포인트 보안 솔루션에서 탐지되지 않았으며, 공격자는 침해 흔적을 숨기기 위한 조치도 수행했다,

개발자 PC 침해는 내부 지갑 시스템으로 공격을 확대하는 발판이 됐다. 바이낸스에 따르면 공격자는 10월 20일 엔지니어 B의 감염된 PC와 내부 AI 도구를 활용해 지갑 운영 엔지니어 A와 또 다른 지갑 소프트웨어 엔지니어 C의 PC를 장악했다.

이후 엔지니어 A의 PC에서 컨테이너 배포 권한이 있는 인증 토큰을 발견했다. 컨테이너는 애플리케이션과 실행 환경을 묶어 배포하는 기술로, 해당 토큰은 관련 시스템에 소프트웨어를 배포하는 데 필요한 권한을 제공한다.

공격자는 10월 29일 엔지니어 C의 PC에 접속한 뒤 엔지니어 A에게서 탈취한 인증정보를 이용해 컨테이너를 배포하고 악성 스크립트를 실행했다. 이를 통해 가상자산 지갑의 거래 승인에 사용되는 내부 서명 서비스에 비인가 접근했다.

다만 바이낸스는 공격자가 내부 AI 도구를 어떤 기술적 방식으로 악용했는지 구체적으로 공개하지 않았다. AI 모델 자체의 취약점을 이용했는지, 도구에 연결된 접근 권한을 악용했는지는 확인되지 않았다.

공격자는 확보한 권한으로 정상적인 출금 절차를 거치지 않고 가상자산을 외부 지갑으로 이동시켰다. 10월 29일 오후 8시 5분부터 9분까지(UTC) 바이낸스의 핫월렛 5개에서 리플(XRP) 약 2억3346만개가 공격자 주소로 전송됐다. 이후 솔라나(SOL) 약 97만500개와 옵티미즘(OP) 약 4420만개, 비트코인(BTC) 1만8270개 등도 유출됐다.

특히 공격자는 이더리움의 EIP-7702 기능을 악용해 핫월렛의 일부 실행 권한을 공격자가 제어하는 스마트계약에 위임했다. EIP-7702는 개인키를 직접 노출하지 않고 계정의 특정 실행 권한을 스마트계약에 위임할 수 있도록 하는 기능이다.

이 때문에 바이낸스가 출금을 중단한 이후에도 비인가 자산 이동이 이어졌다. 블록체인상에 설정된 위임 권한은 거래소의 일반적인 출금 시스템과 별도로 작동했기 때문이다.

바이낸스는 악성 위임 권한을 해제하기 위한 별도 절차를 진행했고, 10월 30일 오전 0시 10분(UTC)에 관련 권한을 제거했다. 바이낸스가 집계한 이번 사고의 피해 규모는 약 63억4000만달러다. 이 가운데 약 28억5000만달러 상당의 자산은 동결하거나 이동을 차단했다. 회사는 10월 31일 기준 영향을 받은 토큰 자산의 98%를 보충했다고 밝혔다.

바이낸스는 침해된 지갑 시스템과 내부 AI 도구를 새로운 환경에서 재구축하고 관련 개발자의 기기와 인증정보를 교체했다. 또한 외부 보안 전문기관을 통한 독립적인 사고 검증을 진행할 예정이다.

공격 배후로는 북한이 지목됐다. 바이낸스는 미국 연방수사국(FBI)의 발표를 인용해 북한이 이번 공격에 관여했다고 밝혔다. 바이낸스 보안팀은 올해 북한 연계가 의심되는 사이버 위협 57건을 탐지·차단했다고 설명했다.

바이낸스는 이번 조사 결과가 초기 분석에 해당하며, 향후 독립적인 검증을 통해 추가 사실관계를 확인하겠다고 밝혔다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network