북한 해커들이 세계 최대 가상화폐 거래소 바이낸스를 해킹하기 위해 5개월에 걸쳐 고도로 정교한 다단계 공격을 벌인 것으로 나타났다.
바이낸스는 3일(현지시간) 이 같은 내용을 담은 초기 조사 보고서를 발표했다.
보고서에 따르면 이번 사건에는 악성 소프트웨어 공급망 공격과 내부 AI 도구 해킹은 물론, 구직 플랫폼을 활용한 사회공학적 전술까지 총동원됐다.
북한 해커들은 올해 6월 바이낸스의 가상화폐 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 감행했다.
바이낸스 보안팀이 당시 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신하는 등 조치를 취했으나, 이미 지갑 인프라팀 담당자들의 인적 정보가 해커에게 노출된 상태였다.
북한 해커들은 약 3개월 뒤인 9월 구직 플랫폼을 통해 또 다른 엔지니어 B에게 접근해 가짜 채용 절차를 진행했다.
1차 화상 면접을 진행하면서 면접관은 B의 신뢰를 얻기 위해 자신의 사생활 사진이 담긴 사회관계망서비스(SNS) 계정을 공유하는 등 기만전술을 펼쳤다.
이어 2차 면접에서는 최고경영자(CEO)로 위장한 인물이 과제 수행 명목으로 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 설치하도록 했다.
해당 악성코드는 당시 보안 도구에 감지되지 않는 ‘제로데이’ 취약점을 악용해 정상적인 개발 도구를 악성 버전으로 대체했다.
해커들은 10월20일 감염된 B의 컴퓨터를 통해 사내 AI 도구를 악용했으며, A와 엔지니어 C에 대한 제어권을 단계적으로 확보해 A가 보유한 프로그램 배포 인증키(컨테이너 배포 권한 토큰)까지 손에 넣었다.
북한 해커들은 탈취 당일인 10월29일 C의 컴퓨터에 로그인한 뒤 A의 인증키를 자체 제작한 악성 프로그램을 사내망에 배포해 공격을 감행한 것으로 나타났다.
해커들은 협정세계시(UTC) 기준 오후 8시5분(한국시간 30일 오전 5시5분)부터 4분간에 걸쳐 리플(XRP) 2억3천346만개를 우선 무단 인출했다.
이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4천420만개를 송금했다. 이어 비트코인 1만8천270개와 이더리움 2천961.9개를 잇따라 이체했다.
특히 이더리움 네트워크 공격 과정에서는 ‘EIP-7702’라는 승인 권한을 악용해 미리 준비한 50개의 사전 서명으로 자산 인출에 대한 위임 인증을 받는 수법으로 거래소의 정상적인 출금 인프라를 우회했다.
바이낸스는 공격 시작 약 4시간 만인 30일 밤12시10분(한국시간 오전 9시10분) 위임 코드를 초기화해 추가 유출을 차단했으나 이미 거액의 가상화폐가 탈취된 뒤였다.
이번 사건으로 영향을 받은 가상자산은 총 63억4천만 달러(8조4천억원) 규모이며, 이 가운데 28억5천만 달러(약 3조8천억원)는 거래소·발행사 공조를 통해 동결하거나 차단했다.
바이낸스 측은 발생한 손실분을 자체 보유 자금과 ‘이용자자산보호기금’(SAFU), 선물 보험기금 등을 동원해 98% 이상 메꿨다고 밝혔다.
바이낸스는 “이번 사건을 계기로 AI 기반 감지 기술 투자를 확대하고 주요 AI 기업과 함께 가상자산 환경의 AI 보안 연구기금 조성을 추진하고 있다”며 “2026년 한 해 동안 북한과 연계된 것으로 의심되는 사이버 위협 사례 57건을 탐지 및 차단했다”고 전했다.
Copyright ⓒ 경기일보 무단 전재 및 재배포 금지
