바이낸스, 가짜 면접 및 내부 AI 도구 악용된 63억 달러 규모 암호화폐 해킹 상세 경위 공개

암호화폐 거래소 바이낸스가 역대 최대 규모인 63억 달러(약 8조 7천억 원) 상당의 암호화폐 탈취 사건이 어떻게 실행되었는지 상세히 다룬 사후 분석 보고서를 공개했습니다. 바이낸스에 따르면 이번 공격은 검색엔진 악성코드, 채용 절차로 위장한 정교한 사회공학적 기법, 그리고 바이낸스 자체 내부 AI 도구에 대한 무단 접근이 결합된 형태였습니다.

미 연방수사국(FBI)을 포함한 연방 당국은 이번 침해 사고의 배후로 '트레이더트레이터(TraderTraitor)'로 알려진 북한의 사이버 부대를 지목했습니다.

다단계 공격 계획

바이낸스에 따르면 이번 침해 사고는 6월부터 시작되어 수개월에 걸쳐 진행되었습니다. 최초의 시스템 침해는 한 개발자가 악성 구글 광고를 통해 유포된 변조된 설치 파일을 다운로드하면서 발생했습니다. 바이낸스 보안 팀이 초기 악성코드를 탐지하고 해당 직원의 기기를 교체했음에도 불구하고, 공격자들은 내부 엔지니어 및 기술 워크플로우에 관한 핵심 정보를 수집하는 데 성공했습니다.

9월 들어 위협 행위자들은 채용 과정을 가장해 또 다른 엔지니어를 겨냥한 2단계 공격을 개시했습니다. 잠재적 고용주를 사칭한 공격자는 여러 차례의 면접 라정을 잡고, 통화를 진행하며, 신뢰를 쌓기 위해 소셜 미디어 링크를 공유했습니다. 결국 가짜 고용주는 엔지니어를 설득하여 제로데이 악성코드가 포함된 기술 과제를 다운로드하게 만들었습니다.

보안 도구들은 두 번째 페이로드를 감지하지 못했으며, 이는 표준 pyenv 실행 파일을 수정된 악성 버전으로 교체했습니다. 이 컴포넌트는 공격자들에게 백도어 접근 권한을 부여하고, 흔적을 난독화하는 동시에 외부 명령 서버와의 통신을 구축할 수 있도록 허용했습니다.

내부 AI 시스템 악용

10월 20일까지 공격자들은 바이낸스의 내부 AI 도구를 활용하여 6월에 피해를 입은 엔지니어의 지갑과 세 번째 직원의 지갑에 대한 통제권을 획득했습니다. 10월 29일, 해커들은 세 번째 직원의 워크스테이션에 직접 로그인하여 주요 공격을 개시했습니다.

최초의 무단 전송이 감지된 후에도 탈취 행위는 약 2시간 동안 계속되었습니다. 바이낸스는 거래 중단이 지연된 이유가 다당사 연산(MPC)을 사용하는 핫월렛 아키텍처 때문이라고 설명했습니다. MPC는 권한 부여를 분산시키기 때문에, 공격자들의 무단 EIP-7702 권한 부여를 즉시 철회할 수 있는 단일 개인키가 존재하지 않았기 때문입니다.

복구 노력과 영향

리차드 텅(Richard Teng) 바이낸스 최고경영자(CEO)는 이용자들이 이번 침해 사고로 인한 재정적 손실을 부담하지 않을 것이라고 밝혔습니다. 보안 팀과 파트너들에 의해 동결되거나 차단된 도난 자산은 약 28억 5천만 달러에 달합니다.

텅 CEO는 피해를 입은 토큰의 98%가 이미 보충되었으며, 나머지 2%를 완료하기 위한 작업이 진행 중이어서 출금이 전면적으로 재개될 수 있게 되었다고 확인했습니다. 바이낸스는 또한 과거 북한과 연계된 것으로 의심되는 다른 57건의 사이버 위협 사례를 자사 방어 시스템이 성공적으로 차단했다고 덧붙였습니다.

공개된 조사 결과에도 불구하고, 내부 AI 도구가 어떻게 설계되었으며 어떻게 공격자들에게 내부 지갑 제어권을 침해할 수 있는 충분한 영향력을 제공했는지에 대해서는 여전히 의문이 남아 있습니다.