바이낸스 초기 조사 보고서 공개 5개월간 치밀한 침투 작전 면접관·CEO 위장해 직원 속여지난 9월 세계 최대 가상자산 거래소 바이낸스의 한 엔지니어에게 채용 면접 기회가 찾아왔다. 구직 플랫폼을 통해 접근한 면접관은 화상 면접에서 자신의 사생활 사진이 담긴 사회관계망서비스(SNS) 계정까지 공유하며 신뢰를 쌓았다. 이어진 2차 면접에는 가상의 회사 최고경영자(CEO)를 사칭한 인물까지 등장했다. 그는 채용 과제를 수행해야 한다며 특정 소프트웨어를 설치하도록 요구했다. 그러나 이들은 진짜 면접관도, CEO도 아니었다. 북한 해킹 조직의 소행으로 지목된 공격자들이 바이낸스 내부 시스템에 침투하기 위해 꾸민 가짜 채용 절차였다. 면접 과제로 위장한 소프트웨어에는 악성코드가 숨겨져 있었다. 해커들은 이를 통해 직원의 업무용 컴퓨터를 감염시켰고, 사내 인공지능(AI) 도구까지 악용해 핵심 인증키를 탈취했다. 지난달 29일(현지시간) 발생한 바이낸스 대규모 해킹 사건의 전말이다. 바이낸스는 3일 이 같은 내용의 초기 조사 보고서를 발표했다. 보고서에 따르면 해커들은 지난 6월부터 약 5개월간 소프트웨어 공급망 공격과 사회공학적 기법, 내부 AI 도구 악용을 결합한 다단계 공격을 벌였다. 5개월간 치밀한 침투 작전 공격의 시작은 지난 6월로 거슬러 올라간다. 해커들은 바이낸스의 가상자산 지갑 개발·운영을 담당하는 엔지니어 A를 첫 표적으로 삼았다. 정상적인 개발 도구로 위장한 악성 소프트웨어를 내려받도록 유도하는 이른바 '공급망 공격'이었다 인터넷신천지 . 당시 바이낸스 보안팀은 이상 징후를 포착했다. 감염이 의심되는 기기를 교체하고 인증 정보를 갱신하는 등 대응에 나섰다. 그러나 이 과정에서 지갑 인프라팀 담당자들의 인적 정보가 해커들에게 노출됐다. 해커들은 약 3개월 뒤 공격 방식을 바꿨다. 이번에는 시스템이 아닌 사람을 노렸다. 구직 플랫폼을 통해 엔지니어 B에게 접근한 뒤 실제 채용 절차처럼 꾸민 면접을 진행했다. 상대방의 신뢰를 얻어 보안 절차를 무력화하는 '사회공학적 공격'이었다. 1차 화상 면접에서는 인사 담당자로 위장한 해커가 자신의 SNS 계정까지 공개하며 의심을 피했다. 2차 면접에서는 가상의 회사 CEO를 사칭한 인물이 등장해 과제 수행을 명목으로 소프트웨어 설치를 요구했다. B가 내려받은 프로그램에는 악성코드가 숨겨져 있었다. 이 악성코드는 당시 보안 도구가 탐지하지 못한 '제로데이' 취약。을 이용해 정상적인 개발 도구를 악성 버전으로 바꿔치기했다. 정상적인 업무에 사용하는 컴퓨터가 해커들의 침투 통로로 바뀐 것이다. 해커들의 다음 표적은 바이낸스 내부 AI 도구였다. 지난달 20일 해커들은 감염된 B의 컴퓨터를 발판으로 사내 AI 도구를 악용했다. 이를 통해 앞서 공격 대상이었던 엔지니어 A와 또 다른 엔지니어 C에 대한 제어권을 단계적으로 확보했다. 특히 A가 보유한 '컨테이너 배포 권한 토큰'을 빼돌리는 데 성공했다 야마토5게임방법 . 이는 개발자가 만든 프로그램을 실제 운영 시스템에 배포할 수 있도록 허용하는 일종의 디지털 인증키다. 해커들은 이 인증키를 확보하면서 자신들이 제작한 악성 프로그램을 바이낸스 내부 시스템에 배포할 수 있는 권한까지 손에 넣었다. 탈취한 인증키로 악성 프로그램 배포 해커들이 본격적으로 가상자산 탈취에 나선 것은 지난달 29일이었다. 첫 침투를 시도한 지 약 5개월 만이다. 해커들은 엔지니어 C의 컴퓨터에 로그인한 뒤 앞서 탈취한 A의 인증키를 이용해 자신들이 만든 프로그램을 배포했다. 이후 정상적인 출금 절차를 우회해 가상자산을 외부로 빼돌리기 시작했다. 공격은 협정세계시(UTC) 기준 29일 오후 8시 5분, 한국시간으로 30일 오전 5시 5분 시작됐다. 해커들은 불과 4분 동안 리플(XRP) 2억3346만 개를 무단 인출했다. 이어 솔라나(SOL) 97만500개, 옵티미즘(OP) 4420만 개를 외부로 송금했다. 비트코인 1만8270개와 이더리움 2961.9개도 이체했다. 특히 이더리움 네트워크에서는 'EIP-7702'라는 승인 권한을 악용했다. EIP-7702는 특정 계정이 자신의 기능을 스마트계약에 위임할 수 있도록 하는 기술이다. 해커들은 50건의 서명 거래를 통해 계정의 거래 순서를 관리하는 값을 조작하고, 자신들이 통제하는 스마트계약에 자산 이동 권한을 위임했다. 이를 통해 바이낸스의 정상적인 출금 시스템을 우회한 것으로 조사됐다. 릴야마토 출금 기능을 중단하더라도 블록체인상에 설정된 위임 권한은 별도로 작동할 수 있다는 .을 노린 것이다. 바이낸스가 추가 유출을 차단한 것은 공격 시작 약 4시간 뒤였다. 지난달 30일 오전 0시 10분(한국시간 오전 9시 10분) EIP-7702 위임 코드를 초기화했다. 그러나 이미 상당한 규모의 가상자산이 빠져나간 상태였다. 이번 사건으로 영향을 받은 가상자산 규모는 총 63억4000만달러(약 8조4000억원)에 달한다. 이 가운데 28억5000만 달러(약 3조8000억원)는 거래소 및 가상자산 발행사들과의 공조를 통해 동결되거나 차단됐다. 바이낸스는 자체 자금과 이용자자산보호기금(SAFU), 선물 보험기금 등을 동원해 지난달 31일 기준 영향을 받은 가상자산의 98% 이상을 보충했다고 밝혔다. 유동성이 낮은 나머지 자산도 추가 매입 중이다. 현재 침해된 가상자산 지갑과 사내 AI 도구를 재건했으며, 외부 독립기관과 함께 보안 감사를 진행하고 있다. AI 기반 위협 탐지 기술에 대한 투자를 확대하고 주요 AI 기업들과 가상자산 분야 AI 보안 연구기금 조성도 추진하기로 했다. 아울러 바이낸스는 올해 북한과 연계된 것으로 의심되는 사이버 위협 사례 57건을 탐지해 차단했다고 밝혔다. 이번 사건의 배후를 두고 미국과 북한은 공방을 벌이는 중이다. 미 연방수사국(FBI)은 북한을 지목했으며, 범행 주체는 북한의 정예 해킹조직으로 알려진 '트레이더트레이터(TraderTraitor)'라고 지난달 31일 발표했다. 반면 김여정 노동당 총무부장은 2일 담화에서 이 같은 의혹을 부인했다. 이에 미 국무부 관계자는 "북한의 사이버범죄는 전 지구적 문제"라며 재반박했다. 절차를 우회해 가상