바이낸스 "해커들, 가짜 면접·AI 도구 이용해 63억 달러 이상 탈취"

바이낸스는 공격자들이 사기성 채용 절차를 통해 직원을 노리고 내부 AI 도구를 악용해 디지털 자산 63억 달러 이상을 탈취했다고 밝혔다. 거래소는 화요일 예비 조사 결과를 공개하며 악성코드와 탈취한 인증 정보로 지갑 서명 시스템에 접근할 수 있었다고 설명했다. 바이낸스는 자산 약 28억5,000만 달러가 동결되거나 가로채졌다고 밝혔다. 피해 자산의 98%가 보충됐다고 덧붙였다.

바이낸스는 FBI가 이번 공격의 배후로 북한을 지목했다고 밝혔다. 바이낸스의 조사 결과, 사회공학 기법과 악성코드, 침해된 내부 AI 도구를 통해 공격자들이 지갑 서명 인프라에 접근하고 무단 거래를 승인할 수 있었던 것으로 나타났다. 김정은 북한 국무위원장의 여동생은 월요일 FBI의 지목을 "중대한 정치적 도발"이라고 비난했다.

사고 보고서는 공격자들이 6월 월렛 데브옵스 엔지니어를 첫 표적으로 삼았다고 밝혔다. 해당 엔지니어는 AI 코딩 도구를 설치하려다 변조된 Homebrew 설치 파일을 내려받았다. 바이낸스는 보안 직원들이 이상 징후를 감지해 컴퓨터를 교체하고 영향을 받은 인증 정보를 변경했다고 밝혔다. 그러나 바이낸스는 이번 사건으로 엔지니어의 담당 업무와 동료들에 관한 정보가 노출됐다고 밝혔다.

바이낸스는 공격자들이 9월 가짜 채용 절차를 통해 다른 직원에게 접근했다고 밝혔다. 공격자들은 회사 임원들을 사칭해 해당 직원이 악성 코딩 과제를 내려받도록 유도했다. 이 과제로 직원의 업무용 컴퓨터가 감염돼 무단 접근이 가능해졌다.

10월 20일 공격자들은 침해된 컴퓨터와 내부 AI 도구를 이용해 다른 엔지니어 2명의 기기를 장악했다. 공격자들은 한 기기에서 컨테이너를 배포할 권한을 발견했다. 9일 뒤 공격자들은 탈취한 인증 정보가 담긴 컨테이너를 배포하고 지갑 공격을 시작하는 악성 스크립트를 실행했다.

공동 최고경영자 리처드 텅은 이번 작전이 단발성 실패가 아니라 수개월에 걸친 공격이었다고 설명했다. 텅은 이번 사건에서 얻은 교훈이 거래소를 넘어선다며 전체 보고서를 공개한다고 밝혔다. 또 기존 금융권은 이 같은 조정 속도를 따라잡지 못했을 것이라고 말했다. 바이낸스는 2026년 동안 북한 연계가 의심되는 사이버 공격 57건을 감지해 차단했다고 밝혔다. 다수의 공격 시도에 가짜 면접, 악성 개발자 도구, 사회공학 기법 등 유사한 수법이 쓰였다고 덧붙였다.

바이낸스는 공격자들이 악용한 접근 경로를 차단하고 피해 시스템을 재구축하거나 교체했다고 밝혔다. 기기 통제를 강화하고 행동 이상 징후를 탐지하는 AI 기반 시스템도 확대했다고 밝혔다. 독립적인 사이버 보안 검토도 의뢰할 예정이라고 덧붙였다.

바이낸스는 정상 운영을 복구하면서 11월 3일 UTC 오전 4시부터 수십 종 자산의 출금을 단계적으로 재개했다. 재개 대상 네트워크는 BSC, 이더리움, 솔라나, XRP, 수이, 아비트럼, 옵티미즘, 트론, 베이스였다. 바이낸스는 토큰별 우선순위가 지난주 사용자 수요를 반영했다고 밝혔다. 이후 시간당 입금액이 출금액보다 많다고 밝혔다. 바이낸스는 이를 자산 흐름이 안정되고 사용자 활동이 개선되고 있다는 증거라고 설명했다.