바이낸스 8.5조원 해킹, ‘가짜 채용 면접’이 통로였다 [크립토360]

입력 2026-11-04 06:36:14

4개월간 직원 PC와 내부 시스템 침투

AI 도구 악용해 지갑 서명 시스템 공격

[헤럴드경제=경예은 기자] 세계 최대 디지털자산 거래소 바이낸스에서 발생한 63억4000만달러(약 8조5000억원) 규모 해킹 사건이 가짜 채용 면접과 내부 인공지능(AI) 도구 등을 악용한 조직적인 공격으로 드러났다. 해커들은 4개월간 직원들의 컴퓨터와 내부 시스템에 단계적으로 침투한 뒤 지갑 서명 시스템을 악용해 대규모 자산을 빼돌린 것으로 파악됐다

바이낸스는 3일(현지시간) 사고 조사 결과 보고서를 통해 “이번 공격은 여러 단계에 걸쳐 치밀하게 준비됐다”며 “해커들은 가짜 채용 면접과 직원 컴퓨터 해킹, 내부 인공지능(AI) 도구 침해 등 다양한 수법을 복합적으로 활용했다”고 밝혔다.

보고서에 따르면 공격은 지난 6월부터 시작됐다. 당시 바이낸스 지갑 데브옵스(Wallet DevOps) 담당 엔지니어 A씨는 인기 AI 코딩 도구를 설치하기 위해 인터넷을 검색하다 악성코드가 포함된 소프트웨어 설치 파일을 내려받았다. 바이낸스 보안팀은 이상 징후를 탐지하고 해당 기기를 교체했으며 관련 인증정보도 변경했다. 그러나 이 과정에서 해당 직원의 업무와 지갑 인프라팀 임직원들의 정보가 해커에게 노출됐다.

이날 로이터통신은 사안에 정통한 관계자를 인용해 해커들이 악성 소프트웨어를 검색엔진 광고에 배치했다고 보도했다. 진품 소프트웨어보다 검색 결과 상단에 노출되도록 해 직원이 악성 프로그램을 내려받게 했다는 설명이다.

해커들은 지난 9월 이직을 준비하던 또 다른 소프트웨어 엔지니어 B씨에게 접근했다. 채용 플랫폼을 통해 프로젝트 책임자로 위장한 해커가 면접을 제안했고, B씨는 인사 담당자와 최고경영자(CEO)를 사칭한 인물들과 두 차례 면접을 진행했다. 이들이 내세운 회사는 실제로 존재하지 않는 가짜 회사였다.

해커들은 B씨의 의심을 피하기 위해 개인 사진과 동영상이 게시된 소셜미디어 계정까지 공유했다. 이후 면접 과제로 위장한 악성코드를 내려받게 해 B씨의 업무용 컴퓨터에 침투했다. 악성코드는 기존 개발 프로그램을 악성 파일로 바꿔 외부 서버와 통신하도록 했으며 당시 바이낸스의 보안 시스템은 이를 탐지하지 못했다.

공격은 여기서 그치지 않았다. 해커들은 지난달 20일 엔지니어 B씨의 컴퓨터와 바이낸스 내부 AI 도구를 활용해 엔지니어 A씨와 C씨의 시스템까지 장악했다. 이때 A씨의 컴퓨터에서 서버에 프로그램을 배포할 수 있는 접근 권한도 확보했다.

실제 해킹이 발생한 지난달 29일 해커들은 엔지니어 C씨의 컴퓨터에 접속해 A씨에게서 탈취한 인증정보를 사용했다. 이를 통해 악성 스크립트를 실행하면서 본격적인 자산 탈취에 나섰다. 지갑 접근 권한을 가진 엔지니어가 손에 꼽다 보니 여러 직원의 접근 권한을 단계적으로 확보한 끝에 핵심 지갑 시스템까지 침투한 것이다.

이후 자산 탈취는 순식간에 이뤄졌다. 바이낸스에 따르면 지난달 29일 오후 8시5분부터 8시9분까지 불과 4분 동안 핫월렛 5개에서 엑스알피(XRP) 2억3346만개가 공격자 주소로 전송됐다. 이후 솔라나 약 97만500개와 옵티미즘 4420만개, 비트코인 1만8270개 등도 공격자 주소로 이동했다.

특히 공격자들은 이더리움의 계정 권한 위임 기능인 ‘EIP-7702’를 악용한 것으로 조사됐다. EIP-7702는 개인키를 직접 노출하지 않고도 스마트컨트랙트에 특정 실행 권한을 위임할 수 있도록 하는 기능이다. 해커들은 이를 활용해 자신들이 통제하는 스마트컨트랙트에 바이낸스 핫월렛의 일부 실행 권한을 부여했다.

바이낸스는 대규모 자산 이동에 대한 내부 경보를 받은 직후 출금을 중단하고 피해 자산 동결에 나섰다. 그러나 출금 중단 이후에도 자산 유출은 계속됐다. 해커들이 블록체인상에 설정한 권한 위임이 거래소의 정상적인 출금 시스템과 별개로 작동했기 때문이다. 해커들은 50건의 서명 트랜잭션을 이용해 계정의 거래 순서를 관리하는 논스(nonce)를 조작하고 악성 권한 위임을 설정했다.

바이낸스는 해당 핫월렛이 다자간 연산(MPC) 방식을 사용하고 있어 악성 권한을 즉시 철회하는 데 어려움을 겪었다고 설명했다. 단일 개인키로는 권한을 철회할 수 없는 구조다 보니 별도의 대응 절차를 마련하는 과정에서 시간이 소요됐다는 것이다.

현재까지 바이낸스가 동결하거나 이동을 차단한 자산은 약 28억5000만달러다. 전체 사고 영향 자산 규모는 약 63억4000만달러로 집계됐다. 바이낸스는 피해 고객의 손실을 전액 부담하겠다는 방침이다. 지난달 31일 기준 피해 토큰 자산의 98%를 자체 자금으로 보충했으며 유동성이 낮은 나머지 자산도 추가 매입하고 있다고 설명했다.

이번 공격의 배후로는 북한이 지목됐다. 미국 연방수사국(FBI)은 최근 발표를 통해 이번 사건의 책임이 북한에 있다고 밝힌 바 있다. 바이낸스는 올해 들어 북한과 연계된 것으로 의심되는 사이버 공격 57건을 탐지하고 차단했다고 밝혔다. 북한은 현재 관련 의혹을 부인하는 상황이다.

바이낸스는 이번 사고 직후 피해를 입은 지갑 시스템과 내부 AI 도구를 재구축하고 관련 직원의 기기 및 인증정보를 교체했다. 전체 임직원 기기에 대한 보안 검사도 진행했으며 AI 기반 이상행동 탐지와 지갑 서비스 위험 관리 체계도 강화했다. 또 외부 전문가를 통한 독립적인 검증을 추진하고 AI 보안 분야에 대한 투자를 확대할 계획이다. 주요 AI 기업 및 보안업체와 함께 블록체인 보안 연구 기금 조성도 검토하고 있다.

바이낸스는 “이번 사고는 발생해서는 안 되는 일이었다”며 “이용자와 파트너사, 업계 전반에 우려와 혼란을 초래한 점에 대해 사과드린다”고 전했다.