바이낸스 63억 달러 해킹, 시작은 AI 코딩 도구 설치…사내 AI 도구까지 악용당했다

바이낸스가 약 63억 달러(약 8조 5,000억 원, 1달러 1,344원 기준) 규모의 역대 최대 가상자산 해킹에 대한 사후 보고서를 공개했다. 화요일(현지시각) 나온 보고서는 10월 29일 탈취 사건이 6월부터 이어진 다개월 공격 캠페인의 끝이었다고 설명한다. 출발점은 직원이 AI 코딩 도구를 설치하다 내려받은 변조 소프트웨어였고, 공격자는 사내 AI 도구까지 이용해 지갑 인프라에 접근했다.

6월 AI 코딩 도구 설치 중 변조 패키지 감염

보고서에 따르면 공격은 6월 지갑 담당 엔지니어 한 명이 AI 코딩 도구를 설치하다 변조된 소프트웨어를 내려받으면서 시작됐다. 비트코인닷컴 뉴스는 이 엔지니어가 맥용 개발 도구 설치 프로그램인 홈브루(Homebrew)의 변조 버전을 받았다고 전했다. 바이낸스 보안팀은 위협을 탐지해 해당 직원의 기기를 교체하고 관련 자격 증명(계정 접근 정보)도 바꿨다.

문제는 이미 정보가 빠져나간 뒤였다는 점이다. 이 사건으로 지갑 인프라를 맡은 인력에 관한 정보가 공격자에게 노출됐다. 이후 공격자들은 이 정보를 바탕으로 다음 표적을 골랐다.

9월에는 다른 엔지니어 한 명이 정식 구인·구직 플랫폼을 통해 채용담당자를 사칭한 인물의 접촉을 받았다. 이 직원은 두 차례 면접에 응했다. 한 번은 인사 담당자를 자처한 인물과의 화상 통화였고, 다른 한 번은 가상의 회사 대표라고 주장하는 인물과의 면접이었다. 두 번째 면접에서 직원은 업무용 컴퓨터에 코딩 과제를 내려받으라는 지시를 받았다.

과제 파일에 든 악성코드는 정상 개발 도구 구성 요소를 대체하는 방식으로 작동했다. 공격자는 이를 통해 명령을 실행하고 외부 서버와 통신할 수 있었다. 바이낸스는 이 악성코드가 이전에 알려지지 않은 종류였고 보안 소프트웨어를 피해 갔으며 침해 흔적도 숨기려 했다고 밝혔다.

10월 20일 사내 AI 도구 악용, 29일 서명 서비스 장악

다음 단계는 10월 20일이었다. 공격자들은 감염된 컴퓨터와 사내 AI 도구를 이용해 다른 엔지니어 2명의 시스템에 접근했다. 여기서 소프트웨어를 배포할 수 있는 자격 증명을 확보했다.

이 자격 증명으로 공격자는 10월 29일 바이낸스 지갑 인프라에 악성 소프트웨어를 설치했다. 이어 거래 승인을 담당하는 내부 지갑 서명 서비스에 접근했다. 정상적인 출금 절차를 거치지 않고 자금을 옮길 수 있게 된 것이다.

바이낸스의 공동 최고경영자 리처드 텅(Richard Teng)은 화요일 X에 “이는 한 번의 실수나 한 번의 침해가 아니라 수개월에 걸친 캠페인이었다”고 적었다. 비트코인닷컴 뉴스는 텅이 앞서 단일 직원의 문제가 아니라 여러 침해 지점과 증거 인멸 기법이 동원됐다고 말했다고 전했다. 블록체인 분석 업체 TRM 랩스는 서로 다른 블록체인에서 유효한 서명 거래가 나온 점을 들어 핫월렛(인터넷에 연결된 지갑) 서명 인프라가 뚫렸다고 판단했다.

EIP-7702 위임과 MPC 구조가 복구를 어렵게 했다

보고서에서 가장 눈에 띄는 대목은 이더리움의 EIP-7702 메커니즘 악용이다. 이 기능은 지갑이 거래 권한을 스마트 컨트랙트에 위임하도록 한다. 공격자는 악성 위임을 설정해 바이낸스가 정상 출금을 중단한 뒤에도 핫월렛에서 자산을 옮길 수 있었다.

바이낸스에 따르면 공격자는 계정의 거래 순서를 조작해 이 권한을 만들려고 서명 거래 50건을 제출했다. 여기에 거래 서명 권한을 분산하는 다자간 연산(MPC) 지갑 방식이 복구를 더 어렵게 했다. 권한을 취소하려면 통제권을 되찾기 위한 별도 절차가 필요했다.

마지막 무단 이체는 약 2,962 ETH 규모였다. UTC 기준 29일 자정 직전(한국시간 30일 오전 9시 직전)에 처리됐고, 바이낸스는 곧이어 악성 위임을 취소했다. 앞서 TRM 랩스는 약 60억 달러가 10개 블록체인에 걸쳐 빠져나갔고 대부분이 UTC 29일 오후 8시 5분(한국시간 30일 오전 5시 5분)부터 약 20분 사이에 이동했다고 추산했다.

도난 자산 내역과 바이낸스의 후속 조치

바이낸스가 공개한 무단 이체 내역에는 비트코인 1만 8,270개, XRP 2억 3,346만 개, 솔라나(SOL) 약 97만 500개, 옵티미즘(OP) 4,420만 개 등이 포함됐다. 비트코인닷컴 뉴스는 피해액을 약 63억 4,000만 달러로 전했다. 코인텔레그래프는 약 63억 달러로 적었다.

바이낸스는 최신 집계 기준으로 약 28억 5,000만 달러가 동결되거나 차단됐다고 밝혔다. 손실은 고객에게 전가하지 않고 자체 부담하기로 했다. 10월 31일 기준 영향받은 토큰 자산의 98%를 다시 채웠고, 유동성이 낮은 가상자산은 매수를 이어가고 있다. 비트코인닷컴 뉴스에 따르면 블록체인 분석 업체 엘립틱(Elliptic)은 도난 자산이 4일도 안 돼 11개 블록체인의 지갑 약 1만 2,000개를 거친 것을 추적했다.

재발 방지책도 나왔다. 바이낸스는 영향받은 지갑 시스템을 재구축하고 감염된 직원 기기를 교체했으며 노출된 자격 증명을 폐기했다. AI 기반 보안 모니터링도 확대했다. 독립 사이버보안 점검을 의뢰하고 AI 관련 위협을 다루는 보안 연구 기금도 검토 중이다. 다만 조사는 아직 진행 중이며 일부 기술적 결과는 독립 검증을 거친 뒤 추가로 공개된다.

공동창업자 허이는 화요일 올해 북한 연계로 의심되는 사이버 위협 57건을 탐지해 막았다고 밝혔다. 가짜 면접과 악성 소프트웨어 패키지, 자격 증명 탈취나 악성코드 설치를 노린 사회공학 시도가 포함된다. 허이는 “상당수를 차단했지만 하나라도 막지 못한 대가가 컸고 이런 일은 없었어야 했다”고 말했다. 최고보안책임자 지미 수는 북한 연계 행위자를 가장 끈질긴 위협으로 꼽았다. 수는 거의 모든 대형 북한 해킹에 허위 신분으로 채용된 직원이 연루됐다고 설명했다.

FBI는 10월 31일 경보에서 이번 사건을 북한 해킹 조직 트레이더트레이터의 소행으로 지목했다. 김여정 북한 노동당 부부장은 화요일 이를 부인했다. 코인터키는 북한 연계 조직 워터플럼이 4개국 기관의 공동 권고문 기준으로 100개국 넘는 곳의 기기 3만 대 이상을 감염시키고 지갑 7,000개 이상에서 1,071만 달러를 빼돌렸다고 전했다.