바이낸스 조사보고서 발표…5개월간 치밀한 '공급망·사회공학' 복합공격
면접관·CEO로 위장해 접근…컴퓨터 감염시킨 뒤 AI도구로 인증키 획득
'탈취 D데이'에 코인 무더기 인출…올해 北연계추정 바이낸스 공격 57건
(샌프란시스코=연합뉴스) 권영전 특파원 = 북한 해커들은 가상화폐 거래소 바이낸스 해킹을 위해 고도의 정교한 다단계 공격을 지난 6월부터 5개월간 벌인 것으로 나타났다.
바이낸스는 3일(현지시간) 이와 같은 내용을 담은 초기 조사 보고서를 발표했다.
보고서는 이번 사건에 악성 소프트웨어 공급망 공격과 내부 AI 도구 해킹은 물론이고 사회공학 기법까지 동원됐다고 밝혔다.
◇ 바이낸스 엔지니어 신뢰 얻으려 SNS 사진 공유 기만전술
공격자들은 지난 6월 바이낸스의 가상화폐 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 먼저 벌였다.
바이낸스 보안팀은 당시 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신하는 등 조치를 취했지만, 지갑 인프라팀 담당자들의 인적 정보가 해커에게 노출됐다.
북한 해커들은 약 3개월 뒤인 9월 구직 플랫폼을 통해 엔지니어 B에게 접근해 가짜 채용 절차를 진행하는 사회공학적 공격을 펼쳤다.
1차 화상 면접을 진행하면서 면접관은 B에게 신뢰를 쌓으려고 자신의 사생활 사진이 담긴 사회관계망서비스(SNS) 계정을 공유하는 등 기만전술을 동원했다.
이어 2차 면접에서는 최고경영자(CEO)로 위장한 인물이 과제 수행 명목으로 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 내려받도록 했다.
해당 악성코드는 당시 보안 도구에 감지되지 않는 '제로데이' 취약점을 이용해 정상적인 개발 도구를 악성 버전으로 대체했다.
해커들은 지난달 20일 이렇게 감염된 B의 컴퓨터를 통해 사내 AI 도구를 악용, A와 엔지니어 C에 대한 제어권을 단계적으로 얻으면서, A가 보유한 프로그램 배포 인증키(컨테이너 배포 권한 토큰)까지 확보했다.
◇ 탈취 D데이…악성 프로그램 배포·정상적인 출금 인프라 우회
북한 해커들은 탈취 당일인 29일 C의 컴퓨터에 로그인한 뒤 A의 인증키를 사용해 자신들이 만든 프로그램을 배포, 공격을 감행한 것으로 나타났다.
해커들은 우선 협정세계시(UTC) 기준 오후 8시5분(한국시간 30일 오전 5시5분)부터 4분간에 걸쳐 리플(XRP) 2억3천346만 개를 우선 무단 인출하고, 이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4천420만 개를 송금했다. 이어 비트코인 1만8천270개와 이더리움 2천961.9개를 이체했다.
특히 이더리움 네트워크 공격 과정에서는 'EIP-7702'라는 승인 권한을 악용해 미리 준비한 50개의 사전 서명으로 자산인출에 대한 위임 인증을 받는 수법으로 정상적인 출금 인프라를 우회했다.
바이낸스는 공격 시작 약 4시간 만인 30일 0시10분(한국시간 오전 9시10분) EIP-7702 위임 코드를 초기화해 추가 유출을 차단했으나 이미 상당량의 가상화폐가 탈취된 이후였다.
◇ 바이낸스 "올해 북한 연계 의심 사이버위협 사례 57건 탐지·차단"
바이낸스는 침해된 지갑과 사내 AI 도구를 재건했으며, 외부 독립기관과 보안 감사를 진행하고 있다.
이번 사건으로 영향을 받은 가상자산은 총 63억4천만 달러(8조4천억원) 규모이며, 이 가운데 28억5천만 달러(약 3조8천억원)는 거래소·발행사 공조를 통해 동결되거나 차단된 상태다.
또 이번 사건으로 인한 손실분은 바이낸스가 자체 보유 자금과 '이용자자산보호기금'(SAFU), 선물 보험기금 등을 동원해 98% 이상 벌충했다.
바이낸스는 이번 사건을 계기로 AI 기반 감지 기술 투자를 확대하고 주요 AI 기업과 함께 가상자산 환경의 AI 보안 연구기금 조성을 추진하고 있다고 밝혔다.
바이낸스는 2026년 한 해 동안 북한과 연계된 것으로 의심되는 사이버 위협 사례 57건을 탐지하고 차단해왔다고 덧붙였다.
comma@yna.co.kr
Copyright ⓒ 연합뉴스 무단 전재 및 재배포 금지
