가짜 면접에 악성코드까지⋯北 해커, 5개월 침투 끝에 63억달러 탈취

바이낸스 조사보고서 발표 “정교하고 다단계적 공격”

▲해커 코드를 배경으로 바이낸스 로고가 보인다. (로이터연합뉴스)

세계 최대 가상자산 거래소 바이낸스에서 63억달러(약 8조4600억원)를 탈취한 북한 해커들이 가짜 채용 면접과 악성코드 유포 등 다양한 수법을 동원해 5개월간 범행을 준비한 것으로 드러났다. 직원들의 컴퓨터에 침투한 뒤 내부 AI 도구까지 악용해 가상자산 지갑의 통제권을 확보하는 치밀한 수법을 사용했다.

3일(현지시간) 블룸버그통신에 따르면 바이낸스는 이날 공개한 사고 조사 보고서를 통해 “이번 해킹은 정교하고 다단계적인 공격”이었다면서 해커들의 침투가 지난 6월 시작됐다고 밝혔다.

당시 바이낸스의 가상화폐 지갑 개발·운영 담당인 한 엔지니어가 AI 코딩 도구를 설치하려다 실수로 검색 광고를 통해 노출된 악성 프로그램을 내려받았다. 바이낸스는 이를 탐지해 컴퓨터를 교체하고 접속 정보를 변경했지만, 해커들은 이미 해당 직원은 물론 이 직원의 일부 동료들에 관한 업무 정보를 확보한 상태였다.

해커들은 3개월 뒤인 9월에는 다른 엔지니어를 겨냥해 가짜 채용 절차를 진행했다. 실제 구직 플랫폼에서 기업 관계자로 위장해 접근한 뒤 인사 담당자와 최고경영자(CEO)를 사칭한 인물들이 두 차례 화상 면접을 진행했다. 이들은 코딩 과제를 빌미로 직원에게 악성코드가 포함된 파일을 업무용 컴퓨터에 내려받도록 유도했다.

악성코드는 기존 보안 프로그램의 탐지를 피하도록 설계됐다. 해커들은 해킹 공격 9일 전인 지난달 20일엔 가짜 면접에 속은 직원의 노트북을 이용해 바이낸스의 디지털 지갑을 개발하는 엔지니어 2명의 컴퓨터에도 침투했다. 이후 확보한 인증 정보와 프로그램 배포 권한을 이용해 자금 탈취를 준비했다.

본격적인 공격은 지난달 29일 시작됐다. 해커들은 인터넷에 연결된 가상자산 지갑 5개에서 불과 4분 만에 리플(XRP) 2억3346만 개를 빼돌린 데 이어 솔라나(SOL)와 옵티미즘(OP), 이더리움 비트코인 등 다른 가상자산도 탈취했다. 바이낸스가 출금 중단 등 긴급 대응하는 와중에도 비정상적인 자금 이동은 최초 발생 이후 약 4시간 동안 이어졌다.

바이낸스는 약 28억5000만달러의 탈취 자산을 동결하거나 이동 중 차단했으며, 지난달 31일 기준 피해 자산의 98%를 바이낸스 자체 보유자금과 ‘이용자자산보호기금(SAFU), 선물 보호 기금 등을 통해 벌충했다고 밝혔다. 미국 연방수사국(FBI)은 이번 사건의 배후로 북한 해킹 조직을 지목했지만 북한은 이를 부인했다.

바이낸스는 올해 북한 연계 의심 사이버 공격 57건을 탐지해 차단했다고 밝혔다. 이번 사건을 계기로 AI 기반 보안 탐지 투자를 확대하고 외부 전문가를 통한 독립적인 보안 점검에도 나설 계획이다.