바이낸스, 가짜 취업 면접이 63억4,000만 달러 탈취로 이어졌다고 밝혀

바이낸스는 화요일 10월 29일 발생한 63억4,000만 달러 탈취가 코인이 이동하기 전 가짜 취업 면접을 포함해 5개월간 진행된 작전의 결과라고 밝혔다. 바이낸스는 탈취 자산 가운데 약 28억5,000만 달러가 동결되거나 가로채졌다고 밝혔다. 피해 토큰의 98%는 회사 자금으로 보충했고 나머지는 공개 시장에서 매수해 충당했다고 바이낸스는 말했다. 공동 최고경영자 리처드 텅은 이번 사건이 단발성 실패가 아니라 지속적인 공격이었다고 설명했으며, 교훈이 바이낸스 외부에도 적용되기 때문에 조사 결과를 공개했다고 말했다.

FBI는 공격 주체를 북한으로 지목했다. 바이낸스는 FBI의 결론을 언급했지만 자체적으로 공격 주체를 지목하지는 않았다. 북한은 월요일 관영 매체를 통해 혐의를 부인했으며, 김정은 북한 국무위원장의 여동생 김여정은 이를 "중대한 정치적 도발"이라고 불렀다.

바이낸스는 공격자들이 6월 지갑 개발·운영 엔지니어가 널리 쓰이는 AI 코딩 도구를 찾던 중 변조된 Homebrew 설치 프로그램을 내려받았을 때 처음 접근했다고 밝혔다. 바이낸스 보안팀은 이상 징후를 감지해 해당 엔지니어의 기기를 교체하고 자격 증명을 변경했다. 그러나 이번 사건으로 엔지니어의 담당 업무가 드러났고 지갑 인프라를 맡은 동료들이 파악됐다.

바이낸스에 따르면 프로젝트 디렉터를 사칭한 누군가가 9월에 정식 채용 플랫폼을 통해 두 번째 엔지니어에게 연락했다. 인사 담당자를 사칭한 인물이 화상 면접을 진행하고 신뢰를 얻기 위해 개인 소셜미디어 계정을 공유했다. 이후 CEO를 사칭한 인물과의 면접에서 해당 엔지니어는 업무용 컴퓨터에 코드 저장소를 설치하라는 과제를 받았다. 저장소는 정식 pyenv 구성 요소를 악성 소프트웨어로 바꿔 공격자들이 통제하는 서버와 통신을 설정했다. 바이낸스는 당시 엔드포인트 보안 도구가 제로데이 악성코드를 탐지하지 못했다고 밝혔다.

바이낸스는 공격자들이 10월 20일 침해된 컴퓨터와 사내 AI 도구를 이용해 지갑 엔지니어 2명에게 추가로 접근했으며, 이 가운데 한 명은 컨테이너 배포 토큰을 보유하고 있었다고 밝혔다. 바이낸스는 공격자들이 10월 29일 17:15부터 19:56 UTC 사이 세 번째 엔지니어의 컴퓨터에 접근해 탈취한 자격 증명으로 컨테이너를 배포하고 자산 탈취를 시작했다고 밝혔다. 바이낸스 보안 시스템은 올해 유사한 채용 수법을 사용한 북한 연계 의심 공격 시도 57건을 추가로 차단했다고 밝혔다.

핫월렛 5개는 20:05부터 20:09 UTC 사이 XRP 2억3,346만 개를 공격자 주소로 보냈다. 이후 솔라나 지갑들은 SOL 약 97만500개를 보냈다. 옵티미즘 지갑들은 OP 4,420만 개를 보냈다. 이어 바이낸스 핫월렛 하나가 BTC 18,270개를 보냈다. 공격자는 침해된 서명 서비스와 이더리움의 EIP-7702를 이용해 지갑 키를 노출하지 않은 채 공격자가 통제하는 컨트랙트에 바이낸스 핫월렛 하나에 대한 부분적인 권한을 부여했다.

출금을 중단해도 해당 경로를 차단하지 못했다. 서명 트랜잭션 50건이 바이낸스의 출금 인프라 외부에서 온체인 위임을 설정해 둔 상태였기 때문이다. 지갑의 다자간 연산 설계상 위임을 취소할 수 있는 단일 키가 없어 팀은 사건 대응 중 절차를 마련해야 했다. 마지막 무단 이체인 2,961.9 ETH는 23:56 UTC에 완료됐다. 바이낸스는 10월 30일 00:10 UTC에 위임을 제거했다. 바이낸스의 사고 보고서는 이런 어려움 때문에 차단까지 시간이 더 걸렸다고 인정했다. 바이낸스는 서명 정책 적용 범위와 핫월렛 통제를 검토 중이라고 밝혔다.

텅이 화요일 공유한 데이터에 따르면 고객들은 일요일 출금 재개 후 46시간 동안 109억7,000만 달러를 인출해 순유출 52억8,000만 달러를 기록했다. 시간당 입금액은 03:00 UTC까지 출금액을 넘어섰으며, 텅은 이를 안정화의 증거라고 설명했다. 바이낸스는 화요일 9개 네트워크에서 수십 개 추가 자산의 출금을 재개했다.

마이클 셀리그 CFTC 위원장은 이번 침해 사건이 역외 거래소를 위한 연방 등록 경로가 필요하다는 점을 보여줬다고 말했다. CFTC는 화요일 미국 규제 거래소에서 주식 무기한 선물 거래를 허용했다. 이는 5월 칼시의 비트코인 무기한 선물로 시작된 거래의 미국 내 유치 노력을 이어가는 조치다.

바이낸스는 지갑 시스템과 사내 AI 도구를 새로운 환경에서 재구축했다고 밝혔다. 피해 기기를 교체하고 엔지니어들의 자격 증명을 폐기했으며 행동 이상 탐지 기능을 확대했다고 바이낸스는 말했다. 바이낸스는 독립적인 검토를 의뢰하고 있다. 엔드포인트 보호와 개발자 환경 보안에 대한 지출도 늘리고 있다. 바이낸스는 외부 업체들과 AI 보안 연구 기금을 조성할 계획이다. 바이낸스의 사고 보고서는 일부 기술 정보는 기밀로 유지될 것이라고 밝혔다.