채용 면접이 8조원 해킹의 덫…바이낸스, 사내 AI까지 뚫렸다

[경제일보] 세계 최대 가상자산 거래소 바이낸스를 무너뜨린 공격의 출발점은 직원의 업무용 컴퓨터였다. 공격자들은 개발 도구와 가짜 채용 면접으로 직원을 속인 뒤 사내 인공지능(AI) 도구를 발판 삼아 지갑 시스템까지 접근했다. 출금을 중단한 뒤에도 블록체인에 설정된 악성 권한이 남아 자산 유출을 막는 데 약 4시간이 걸렸다.

바이낸스는 3일(현지시간) 지난달 29일 발생한 해킹 사고의 초기 조사보고서를 공개했다. 회사가 집계한 피해 가상자산은 약 63억4000만달러(약 8조4000억원)다. 바이낸스는 미 연방수사국(FBI)이 이번 사건의 배후로 북한을 지목했다고 밝혔다.

공격 준비는 지난 6월로 거슬러 올라간다. 지갑 개발·운영 담당 엔지니어 A가 AI 코딩 도구를 설치하려다 변조된 개발 도구를 내려받았다. 보안팀은 이상 징후를 발견해 기기를 교체하고 인증정보를 갱신했지만, A의 업무와 동료 정보가 공격자에게 노출됐다는 게 회사 설명이다.

9월에는 다른 엔지니어 B가 표적이 됐다. 구직 플랫폼에서 채용 담당자로 위장한 인물이 화상 면접을 진행하며 개인 사진이 담긴 SNS 계정을 공유해 신뢰를 쌓았다. 이어 최고경영자(CEO)를 사칭한 인물이 코딩 과제를 내려받도록 유도했다. 과제에 포함된 악성코드는 B의 업무용 PC에서 실행됐으며 당시 보안 도구에 탐지되지 않았다고 바이낸스는 설명했다.

지난달 20일 공격자들은 B의 감염 PC와 사내 AI 도구를 이용해 A와 엔지니어 C의 컴퓨터까지 장악했다. 이 과정에서 A의 PC에 저장된 프로그램 배포 권한 토큰을 확보했다.

탈취 당일에는 C의 컴퓨터에 접속해 A의 권한으로 악성 프로그램을 배포했다. 이후 리플(XRP) 2억3346만개, 솔라나(SOL) 97만500개, 비트코인 1만8270개 등이 공격자 지갑으로 빠져나갔다.

이더리움에서는 계정이 지정된 스마트계약 코드를 실행하도록 하는 ‘EIP-7702’ 기능이 악용됐다. 공격자가 내부 지갑 서명 서비스에 접근해 자신이 통제하는 계약에 실행 권한을 부여하면서 정상 출금 절차를 우회한 것이다.

바이낸스는 출금을 중단하고 지갑 서비스를 차단했지만 이미 블록체인에 설정된 위임 권한은 사라지지 않았다고 밝혔다. 별도 해제 절차를 마련해 한국시간 30일 오전 9시10분 위임 코드를 초기화했다.

회사는 약 28억5000만달러의 자산을 동결하거나 이동을 차단했다고 설명했다. 또 손실 보전에 필요한 자금을 전액 이상 확보했고, 지난달 31일 기준 피해 토큰 자산의 98%를 보충했다고 밝혔다. 동결 자산은 정산과 가격 변동에 따라 규모가 달라질 수 있다.

바이낸스는 침해된 지갑 시스템과 사내 AI 도구를 재구축하고 관련 인증정보를 폐기했다. 외부 보안업체의 독립 검증도 추진한다. 직원 PC에서 시작된 침해가 AI 도구와 배포 권한, 지갑 서명 서비스로 이어진 경로와 통제 실패 원인은 후속 조사에서 검증될 예정이다.