가짜 채용 면접으로 해커들, 바이낸스서 63억 달러 탈취

해커들은 10월 29일 사기성 출금을 시작한 지 몇 시간 만에 바이낸스에서 약 63억 달러를 탈취했다. 공격자들은 수개월에 걸쳐 거래소에 침투했으며, 그 일부는 가짜 채용 면접을 통해 이뤄졌다. 바이낸스는 11월 3일 이번 공격이 엔지니어 2명의 컴퓨터가 각각 별도로 해킹된 데서 시작됐다고 밝혔다. 미 연방수사국(FBI)은 이번 탈취를 북한의 트레이더트레이터(TraderTraitor) 그룹 소행으로 지목했다.

최초 침해는 6월 한 엔지니어가 AI 도구를 찾던 중 변조된 소프트웨어 패키지를 내려받으면서 발생했다. 바이낸스는 감염 사실을 발견해 교체 컴퓨터를 지급하고 자격 증명을 변경했다. 그러나 공격자들은 이미 해당 엔지니어와 지갑 팀에 관한 정보를 수집한 뒤였다.

9월에는 두 번째 엔지니어가 정식 채용 플랫폼을 통해 접근을 받았다. 고용주를 자처한 측은 인사 담당자와 고용주의 최고경영자(CEO)를 사칭한 인물이 참여하는 화상 면접을 진행했다. 이후 엔지니어는 코딩 과제를 받았고, 내려받은 파일에는 악성코드가 들어 있었다. 악성코드는 컴퓨터 보안 소프트웨어를 피했다. 10월 20일까지 공격자들은 해킹된 컴퓨터와 내부 AI 도구를 통해 바이낸스의 다른 엔지니어들에게도 접근했다. 이어 배포 자격 증명을 확보하고 바이낸스의 지갑 인프라에 악성 소프트웨어를 심었다.

바이낸스는 약 28억5,000만 달러가 동결됐다고 밝혔다. 회사 자금으로 피해 토큰의 98%를 보충했다고도 밝혔다.

다른 가상자산 기업들은 이번 침해에 앞서 유사한 수법에 대해 경고했다. 크라켄은 2025년 5월 엔지니어직을 얻으려 한 북한 공작원으로 의심되는 인물을 적발했다. 코인베이스는 2026년 8월 또 다른 침투 시도로 의심되는 사례를 공개했다. 코인베이스는 비정상적인 활동을 통해 잠재적으로 해킹당한 계약직 직원을 식별하는 데 도움을 받았다고 밝혔다. 마이크로소프트는 3월 북한과 연계된 해커들이 사기성 코딩 면접을 통해 개발자들의 컴퓨터를 감염시키고 있다고 경고했다.

바이낸스는 어떤 보안 장치가 실패했는지 밝히지 않았으며, 업계의 사전 경고에 따라 추가 보호 조치를 했는지도 설명하지 않았다. 아직 풀리지 않은 의문 중 하나는 회사 시스템에 연결된 컴퓨터에서 직원이 신뢰할 수 없는 코딩 과제를 실행할 수 있었던 이유다. 바이낸스가 6월 감염을 발견해 조치한 뒤에도 그 침해가 계속 영향을 미친 이유도 의문이다. 탈취된 배포 자격 증명으로 수십억 달러의 출금을 승인하는 시스템에 어떻게 접근할 수 있었는지도 밝혀지지 않았다. 핵심 미해결 문제는 이미 알려진 채용 사기가 어떻게 고객 자산 수십억 달러를 보호하는 인프라까지 파고들었는지다.