SBS Biz

북한 해커들은 가상화폐 거래소 바이낸스 해킹을 위해 고도의 정교한 다단계 공격을 지난 6월부터 5개월간 벌인 것으로 나타났습니다. 



바이낸스는 3일(현지시간) 이와 같은 내용을 담은 초기 조사 보고서를 발표했습니다. 

보고서는 이번 사건에 악성 소프트웨어 공급망 공격과 내부 AI 도구 해킹은 물론이고 사회공학 기법까지 동원됐다고 밝혔습니다. 

공격자들은 지난 6월 바이낸스의 가상화폐 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 먼저 벌였습니다. 

바이낸스 보안팀은 당시 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신하는 등 조치를 취했지만, 지갑 인프라팀 담당자들의 인적 정보가 해커에게 노출됐습니다. 



북한 해커들은 약 3개월 뒤인 9월 구직 플랫폼을 통해 엔지니어 B에게 접근해 가짜 채용 절차를 진행하는 사회공학적 공격을 펼쳤습니다. 

1차 화상 면접을 진행하면서 면접관은 B에게 신뢰를 쌓으려고 자신의 사생활 사진이 담긴 사회관계망서비스(SNS) 계정을 공유하는 등 기만전술을 동원했습니다. 

이어 2차 면접에서는 최고경영자(CEO)로 위장한 인물이 과제 수행 명목으로 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 내려받도록 했습니다. 

해당 악성코드는 당시 보안 도구에 감지되지 않는 '제로데이' 취약점을 이용해 정상적인 개발 도구를 악성 버전으로 대체했습니다. 

해커들은 지난달 20일 이렇게 감염된 B의 컴퓨터를 통해 사내 AI 도구를 악용, A와 엔지니어 C에 대한 제어권을 단계적으로 얻으면서, A가 보유한 프로그램 배포 인증키(컨테이너 배포 권한 토큰)까지 확보했습니다. 

북한 해커들은 탈취 당일인 29일 C의 컴퓨터에 로그인한 뒤 A의 인증키를 사용해 자신들이 만든 프로그램을 배포, 공격을 감행한 것으로 나타났습니다. 

해커들은 우선 협정세계시(UTC) 기준 오후 8시5분(한국시간 30일 오전 5시5분)부터 4분간에 걸쳐 리플(XRP) 2억3천346만 개를 우선 무단 인출하고, 이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4천420만 개를 송금했다. 이어 비트코인 1만8천270개와 이더리움 2천961.9개를 이체했습니다. 

특히 이더리움 네트워크 공격 과정에서는 'EIP-7702'라는 승인 권한을 악용해 미리 준비한 50개의 사전 서명으로 자산인출에 대한 위임 인증을 받는 수법으로 정상적인 출금 인프라를 우회했습니다. 

바이낸스는 공격 시작 약 4시간 만인 30일 0시10분(한국시간 오전 9시10분) EIP-7702 위임 코드를 초기화해 추가 유출을 차단했으나 이미 상당량의 가상화폐가 탈취된 이후였습니다. 

바이낸스는 2026년 한 해 동안 북한과 연계된 것으로 의심되는 사이버 위협 사례 57건을 탐지하고 차단해왔다고 덧붙였습니다.