바이낸스 63억 달러 도난은 하루 사건 아니었다…6월부터 엔지니어 3명 차례로 뚫렸다

바이낸스가 11월 3일(현지시각) 공개한 사후 보고서(포스트모템)에서 약 63억 달러 도난 사건의 전모가 일부 드러났다. 10월 29일 하루에 벌어진 일이 아니라 몇 달에 걸친 공격이었다. 6월 한 엔지니어가 AI 코딩 도구를 설치하다 변조된 소프트웨어를 내려받았고, 9월에는 채용 담당자를 사칭한 공격자가 다른 엔지니어에게 코딩 과제로 위장한 악성 파일을 실행하게 했다. 엔지니어 3명을 차례로 뚫은 공격자는 결국 내부 지갑 서명 서비스에 닿았다. 이하 날짜는 모두 현지시각 기준이다.

6월 변조된 설치 파일, 9월 가짜 면접

공격의 첫 단계는 6월이다. 우블록체인(Wu Blockchain)이 바이낸스의 예비 조사 결과를 토대로 정리한 타임라인에 따르면 지갑 데브옵스(DevOps·개발과 운영을 잇는 업무) 엔지니어 A가 AI 코딩 도구를 설정하다 변조된 홈브루(Homebrew) 설치 파일을 내려받았다. 바이낸스 보안팀은 의심스러운 소프트웨어를 감지해 기기를 교체하고 관련 인증 정보를 교체했다. 하지만 이 엔지니어의 업무와 동료에 관한 정보는 이미 공격자에게 넘어간 뒤였다.

9월에는 다른 소프트웨어 엔지니어 B가 표적이 됐다. 크립토슬레이트와 디크립트에 따르면 가상의 회사 프로젝트 책임자를 사칭한 인물이 합법적인 구직·채용 플랫폼을 통해 접근해 면접을 두 차례 잡았다. 첫 면접에서는 인사 담당자를 자처한 인물이 화상 통화로 신뢰를 쌓았고, 개인 사진과 영상이 가득한 소셜미디어 계정까지 보여줬다. 바이낸스는 이 수법을 “이전에 본 것보다 더 정교하고 기만적”이라고 표현했다.

두 번째 면접은 채팅 앱에서 열렸고 상대는 회사 최고경영자를 자처했다. 대화가 끝나갈 무렵 엔지니어는 코딩 과제를 업무용 컴퓨터에 내려받으라는 지시를 받았다. 이 코드 저장소에는 이전에 알려지지 않은 악성코드가 들어 있었다. 설치 과정에서 실행돼 정상 개발 도구를 악성 버전으로 바꿔치기하고 공격자가 통제하는 서버와 통신을 맺었다. 바이낸스는 이 악성코드가 자사 엔드포인트 보안 소프트웨어를 피했고 침입 흔적도 숨겼다고 밝혔다.

10월 20일 내부 AI 도구, 29일 컨테이너 배포

10월 20일 공격자는 장악한 컴퓨터와 내부 AI 도구를 이용해 엔지니어 두 명의 시스템을 추가로 손에 넣었다. 우블록체인 타임라인 기준으로 엔지니어 A와 C다. A는 6월에 이미 표적이 됐던 직원이다. 공격자는 A의 컴퓨터에서 컨테이너(애플리케이션 실행 환경) 배포 권한 토큰도 찾아냈다.

결정적인 날은 10월 29일이었다. 공격자는 엔지니어 C의 기기에 접근해 A에게서 훔친 자격 증명을 쓰고 컨테이너를 배포한 뒤 악성 스크립트를 실행했다. 이를 통해 바이낸스의 내부 지갑 서명 서비스, 즉 가상자산 거래를 승인하는 시스템에 도달했다. 공격자는 정상 출금 절차를 거치지 않고 여러 블록체인 네트워크에서 자산을 빼냈다.

리처드 텡(Richard Teng) 바이낸스 공동 최고경영자는 보고서 공개 당일 X에 “이것은 한 번의 실수나 한 번의 침해가 아니라 몇 달에 걸친 작전이었다”고 적었다. 바이낸스는 이번 사건이 인간의 취약점과 내부 보안 시스템을 함께 노린 조직적 공격이었다고 설명했다.

EIP-7702와 MPC가 대응을 어렵게 했다

바이낸스는 공격자가 이더리움의 EIP-7702 메커니즘도 악용했다고 밝혔다. 지갑이 거래 권한을 스마트 계약에 위임하게 하는 기능이다. 이 때문에 바이낸스가 출금을 중단한 뒤에도 무단 이체가 이어질 수 있었다. 서명 권한을 여러 주체에 분산하는 다자간 연산(MPC) 지갑 구조는 이 위임 권한을 취소하는 작업을 더 복잡하게 만들었다.

피해 규모는 약 63억 달러(약 8조 4,700억 원, 1달러 1,344원 기준)로 집계된다. 바이낸스는 최신 집계 기준으로 28억 5,000만 달러가 동결되거나 차단됐다고 밝혔다. 손실은 고객에게 넘기지 않고 회사가 떠안기로 했다. 영향받은 토큰 자산의 98%는 10월 31일 기준으로 보충됐다.

공격 배후를 둘러싼 공방도 이어진다. FBI는 10월 31일 이번 도난을 북한의 트레이더트레이터(TraderTraitor) 작전으로 지목했다. 김여정 북한 노동당 부부장은 11월 3일 FBI의 지목이 정치적 의도에서 나온 것이며 북한의 국제적 위상을 깎으려는 목적이라며 연루를 부인했다.

57건 막고도 뚫렸다…업계 비판과 구글 광고 논란

바이낸스의 Yi He는 같은 날 올해 북한 연계로 의심되는 사이버 위협 57건을 탐지해 막았다고 밝혔다. 가짜 면접과 악성 개발 도구, 오염된 소프트웨어 패키지, 가짜 화상회의 앱, 자격 증명 탈취를 노린 사회공학 수법이 포함됐다. 그는 “많이 차단했지만 하나를 놓친 대가가 너무 컸고 이런 일은 일어나선 안 됐다”고 말했다. 크립토슬레이트에 따르면 바이낸스는 57건 가운데 가짜 면접이 몇 건인지, 이번 침해 배후와 직접 연결된 사례가 있는지는 밝히지 않았다.

경쟁 거래소 코인엑스(Coinex)의 창업자 Haipo Yang은 “완전히 피할 수 있었던 최소 세 가지 치명적 실수”가 있었다고 지적했다. 업무용과 개인용 컴퓨팅 환경을 분리하지 않았고, 인증 정보 하나로 운영 환경을 다룰 수 있었으며, MPC 서명자들이 거래를 제대로 검증하지 않아 노드 하나만 뚫려도 단일 서명과 같았다는 내용이다. 비트코인닷컴뉴스에 따르면 코인엑스는 9월 질서 있는 폐업을 발표했고 출금은 12월 22일까지 열려 있다.

온라인에서는 63억 달러 해킹이 개발자의 악성 구글 광고 클릭 때문이라는 주장이 돌았다. 그러나 예비 타임라인에는 변조된 설치 파일과 악성 코드 저장소만 나올 뿐 구글 광고가 침투 경로라는 근거는 없다. 코인페디아는 이 주장이 아직 확인되지 않았다고 짚었다. 바이낸스는 사고 이후 침해된 직원 기기를 교체하고 노출된 인증 정보를 폐기했으며 지갑 인프라를 재구축했다. 개발 환경 보호를 강화하고 AI 기반 행위 모니터링도 확대했다고 밝혔다.