체이널리시스 “북한 해커, 바이낸스 공격 전 가짜 면접 수법 반복 활용”

바이낸스에서 약 8조원(약 64억달러)를 탈취한 북한 해커들이 가짜 채용 면접을 악용한 사이버 공격을 반복하면서 침투 수법을 고도화했을 가능성이 제기됐다.

블록체인 분석기업 체이널리시스는 지난 18개월간 북한 연계 가짜 면접과 악성코드를 활용한 공격으로 발생한 피해액이 1430만달러를 넘는다고 3일(현지시간) 밝혔다.

체이널리시스는 북한 해커들이 상대적으로 규모가 작은 표적을 공격하면서 수법을 정교하게 다듬었을 가능성에 주목했다. 공격 대상은 개인 가상자산 보유자와 개인 지갑부터 기업, 탈중앙화자율조직(DAO) 등으로 다양했다.

톰 맥라우스(Tom McLouth) 체이널리시스 선임 인텔리전스 애널리스트는 “개인 차원에서 지갑 침해로 이어진 다른 채용 면접 관련 침해 사례를 수십 건 확인했다”고 말했다.

이들 사건의 피해액은 수만달러에서 수백만달러에 달했다. 체이널리시스는 북한 해커들이 반복적인 공격 과정에서 침투 방식을 개선하고 더 높은 권한을 가진 표적을 공격하는 역량을 확보했을 가능성이 있다고 분석했다.

최근 바이낸스 해킹 사고에서도 가짜 채용 면접이 최초 침입 경로로 활용됐다. 바이낸스의 초기 조사에 따르면 공격은 지난 9월 직원 한 명이 채용 면접 제안을 받으면서 시작됐다.

공격자들은 정상적인 구인 플랫폼을 이용해 바이낸스 엔지니어에게 접근했다. 이후 가상의 회사를 내세워 수주에 걸쳐 신뢰를 쌓았다. 해당 직원은 두 차례 면접을 진행한 뒤 코딩 과제를 다운로드하라는 요청을 받았다. 그러나 과제에는 악성코드가 포함돼 있었다.

공격자들은 이를 통해 직원의 컴퓨터를 감염시키고 최초 침입 거점을 확보했다. 이후 악성코드를 추가로 배포하고 내부 인공지능(AI) 도구에 대한 접근 권한을 악용해 바이낸스 시스템 깊숙이 침투했다.

체이널리시스는 이러한 공격을 ‘전염성 면접(Contagious Interviews)’ 수법으로 분류했다. 정상적인 채용 절차로 위장해 악성 파일을 실행하도록 유도하는 방식이다.

유사한 공격에서는 피해자의 클라우드 저장소에 보관된 가상자산 지갑 개인키가 탈취된 사례도 확인됐다. 일부 피해자는 가상자산 지갑을 복구하는 데 사용하는 시드 구문을 감염된 기기에 다운로드한 적이 없다고 진술했다. 체이널리시스는 공격자가 클라우드 계정의 인증 정보나 브라우저 세션까지 확보했을 가능성이 있다고 분석했다.

북한 해커들이 블록체인을 악성코드의 명령 전달 수단으로 활용하는 움직임도 관찰됐다. 체이널리시스는 북한 공격자들이 지난해 초부터 ‘이더하이딩(Etherhiding)’ 등의 수법을 사용했다고 설명했다. 공개 블록체인에 악성코드가 참조할 정보를 저장하고 감염된 기기가 이를 읽도록 하는 방식이다.

실제 분석 사례에서는 트론과 앱토스 블록체인을 통해 명령 전달 경로를 이중화하고 바이낸스 스마트 체인(BSC)에 저장된 악성 데이터로 감염된 기기를 유도했다. 체이널리시스는 이러한 구조가 기존 명령·제어(C2) 서버를 이용하는 방식보다 차단하기 어려울 수 있다고 분석했다.

북한의 사이버 범죄는 허위 채용 면접뿐 아니라 불법 IT 인력 취업과도 연결돼 있다. 북한 공작원들은 도용한 신원과 가상사설망(VPN) 등을 이용해 해외 기업에 원격으로 취업한다. 이후 급여를 가상자산으로 받고 중개자를 거쳐 자금을 이동시키는 사례도 확인됐다.

체이널리시스가 인용한 유엔 추산에 따르면, 북한의 불법 IT 인력 활동은 연간 6억달러 이상의 수익을 창출한다. 체이널리시스는 바이낸스 사건과 관련한 탈취 자금의 이동 경로를 계속 추적하고 있다고 밝혔다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network