바이낸스 "북한 해커, 5개월 다단계 공격"…가짜 면접·사내 AI 도구로 63억달러 탈취
[디지털데일리 이상일기자] 가상자산 거래소 바이낸스가 10월29일 발생한 대규모 해킹 사고의 초기 조사 보고서를 3일(현지시간) 공개했다. 보고서는 이번 사고를 공급망 공격, 가짜 채용 면접을 이용한 사회공학, 사내 인공지능(AI) 도구 침해가 결합된 다단계 공격으로 규정했다. 피해 디지털 자산은 약 63억4000만달러(약 8조5000억원) 규모다.
바이낸스는 미국 연방수사국(FBI)이 이번 사건의 배후로 북한을 지목했다고 전했다. 바이낸스는 "도난 자금으로 인한 재정적 손실은 사용자가 아닌 바이낸스가 전액 부담할 것"이라고 밝혔다.
공격 준비는 6월 시작됐다. 지갑 데브옵스(DevOps) 엔지니어 A가 AI 코딩 도구를 설치하려다 검색엔진에서 변조된 홈브루(Homebrew) 설치 파일을 내려받았다. 보안팀은 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신했다. 그러나 A와 지갑 인프라팀 동료들의 역할 정보가 공격자에게 노출됐다.
9월에는 사회공학 공격이 이어졌다. 공격자는 구직 플랫폼에 바이낸스 경력을 올린 소프트웨어 엔지니어 B에게 프로젝트 디렉터를 사칭해 접근했다. 1차 화상 면접에서 인사 담당자를 사칭한 인물은 개인 사진과 동영상이 담긴 소셜미디어 계정을 보여주며 신뢰를 쌓았다. 2차 면접은 채팅 앱으로 진행됐다. 가상 회사의 최고경영자(CEO)를 자처한 인물은 과제 명목으로 악성코드가 담긴 저장소를 B의 업무용 컴퓨터에 내려받게 했다.
10월20일 공격자는 B의 컴퓨터에서 사내 AI 도구를 악용해 A와 지갑 소프트웨어 엔지니어 C의 컴퓨터 제어권을 확보했다. A의 컴퓨터에서는 컨테이너 배포 권한 토큰을 찾아냈다. 공격자는 29일 오후 5시15분부터 7시56분(협정세계시 기준) 사이 C의 컴퓨터에 로그인했다. 이어 A의 인증 정보로 컨테이너를 배포하고 악성 스크립트를 실행했다.
자산 유출은 29일 오후 8시5분(한국시간 30일 오전 5시5분) 시작됐다. 공격자는 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차 없이 거래를 실행했다. 4분 동안 핫월렛 5개에서 리플(XRP) 2억3346만개가 빠져나갔다. 솔라나(SOL) 약 97만500개, 옵티미즘(OP) 4420만개, 비트코인(BTC) 1만8270개도 공격자 주소로 넘어갔다.
이더리움에서는 EIP-7702 승인 기능이 악용됐다. EIP-7702는 계정이 개인키를 노출하지 않고 스마트계약에 실행 권한을 위임하는 기능이다. 공격자는 서명 트랜잭션 50건으로 논스를 조작하고 악성 위임 승인을 설정했다. 이 승인은 온체인에 남아 출금 중단 뒤에도 작동했다. 핫월렛이 다자간 연산(MPC) 방식이어서 승인을 즉시 철회할 단일 개인키도 없었다. 바이낸스는 별도 절차를 만들어 30일 0시10분(한국시간 오전 9시10분) 위임 코드를 초기화했다. 마지막 무단 이체는 29일 오후 11시56분 확정된 이더리움(ETH) 2961.9개다.
바이낸스에 따르면 피해 자산 가운데 약 28억5000만달러(약 3조8000억원)가 동결되거나 압수됐다. 10월31일 기준 피해 토큰 자산의 98%를 보충했다. 손실 충당 자금은 필요액의 100% 이상을 따로 마련했다. 유동성이 낮은 자산은 매입하고 있다.
후속 조치로 지갑 시스템과 사내 AI 도구, 접근 제어 체계를 새 환경에서 재구축했다. 침해 기기를 교체하고 관련 인증 정보와 토큰을 무효화했다. 전 직원 기기 보안 점검도 마쳤다. 독립 보안업체의 제3자 검토를 진행하고 AI 기반 탐지와 개발자 환경 보안 투자를 늘린다. AI 기업 등과 블록체인 환경의 AI 보안 연구기금 조성도 추진한다.
바이낸스는 올해 북한 연계 의심 사이버 위협 57건을 탐지·차단했다고 밝혔다. 바이낸스는 "업계가 함께 배울 때 보안 수준이 향상된다"며 보고서 공개 이유를 설명했다.
Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.