바이낸스, 가짜 채용 면접과 해킹당한 AI 도구가 63억 달러 해킹 사태의 원인이라고 밝혀

해킹된 소프트웨어와 사회공학적 기법

화요일 발표된 보고서에서 바이낸스는 6월 초에 시작되어 10월 29일 탈취 사건으로 이어진 수개월에 걸친 공격 캠페인의 전말을 설명했다. 이 거래소는 공격자들이 내부 지갑 서명 서비스에 대한 접근 권한을 악용해 정상적인 출금 절차를 우회하고, 여러 블록체인을 통해 수십억 달러를 이동시켰다고 밝혔다.

수사 결과, 6월에 발생한 초기 시도 등 공격의 여러 단계가 확인되었는데, 당시 한 지갑 엔지니어가 AI 코딩 도구를 설치하려다 해킹된 버전의 Homebrew 소프트웨어 설치 프로그램을 다운로드한 사건이었다. 바이낸스는 보안팀이 이 위협을 탐지하고 해당 직원의 기기를 교체하며 관련 인증 정보를 변경했으나, 이 사건으로 인해 지갑 인프라 담당 직원에 대한 정보가 유출되었다고 밝혔다.

9월에는 더 심각한 보안 침해 사고가 발생했는데, 바이낸스의 또 다른 엔지니어가 합법적인 채용 플랫폼을 통해 채용 담당자로 위장한 인물로부터 접촉을 받은 사건이었다. 해당 직원은 자칭 인사 담당자와의 화상 통화, 그리고 가상의 회사를 이끌고 있다고 주장하는 인물과의 통화 등 두 차례의 면접에 참여했다.

두 번째 면접 도중, 해당 직원은 악성 소프트웨어가 포함된 코딩 과제를 업무용 컴퓨터에 다운로드하라는 지시를 받았다. 이 악성코드는 정상적인 개발자 도구 구성 요소를 대체하여, 공격자들이 명령을 실행하고 외부 서버와 통신할 수 있게 했다. 바이낸스는 이 이전에 알려지지 않았던 악성코드가 침해 증거를 은폐하려 시도하는 동안 자사의 보안 소프트웨어를 우회했다고 밝혔다.

10월 20일, 공격자들은 침해된 기기와 내부 AI 도구를 이용해 다른 엔지니어 2명의 계정에 접근했습니다. 이후 그들은 바이낸스의 지갑 인프라 내에서 소프트웨어를 배포할 수 있는 인증 정보를 확보했습니다.

10월 29일, 공격자들은 해당 인증 정보를 이용해 지갑 서명 작업에 접근하고, 18,270 BTC, 2억 3,346만 XRP, 약 970,500 SOL, 4,420만 OP 등 다양한 자산을 포함한 무단 이체를 실행했습니다.

해커들은 또한 스마트 계약이 계정을 대신해 거래를 실행할 수 있도록 허용하는 이더리움의 EIP-7702 승인 메커니즘을 악용했습니다. 악의적인 승인 권한을 설정함으로써, 그들은 거래소가 정상적인 출금을 중단한 후에도 바이낸스의 핫 월렛에서 자산을 이동할 수 있는 능력을 확보했습니다.

바이낸스는 공격자들이 계정의 거래 순서를 조작하고 해당 권한을 설정하기 위해 50건의 서명 거래를 제출했다고 밝혔다. 거래소가 다자간 연산 기술을 사용했던 탓에 권한 철회 작업이 복잡해졌으며, 통제권을 되찾기 위해서는 특수한 절차가 필요했다.

약 2,962 ETH가 관련된 마지막 무단 이체는 10월 29일 UTC 기준 자정 직전에 최종 확정되었다. 바이낸스는 그 직후 악의적인 위임 권한을 취소했다.

바이낸스, 사상 최대 해킹 사태에서 회복

이번 조사 결과는 비트코인닷컴 뉴스(Bitcoin.com News)가 앞서 보도한 바이낸스 공동 CEO 리처드 텡(Richard Teng)의 발언을 보완하는 내용이다. 그는 이번 공격이 단일 직원의 보안 침해보다는 여러 침해 지점과 증거 인멸 기법이 동원된 것이라고 밝힌 바 있다.

이 거래소는 또한 FBI가 이번 공격의 배후로 북한을 지목한 점을 언급했다. 비트코인닷컴 뉴스가 앞서 보도한 바와 같이, 블록체인 정보 분석 기업인 TRM 랩스와 체인애널리시스는 각각 이번 도난 사건을 북한의 해킹 작전과 연관 지었다. 이후 북한 지도부는 이러한 혐의를 부인하며 FBI의 성명을 “정치적 도발”이라고 규정했다.

바이낸스는 최신 업데이트 기준 약 28억 5천만 달러 상당의 도난 자산이 동결되거나 차단되었다고 밝혔다. 회사는 재정적 손실을 자체적으로 부담하겠다고 약속했으며, 10월 31일 기준으로 피해 토큰 자산의 98%가 보충되었으며 유동성이 낮은 암호화폐에 대해서는 구매가 계속되고 있다고 보고했다.

이 거래소는 이후 영향을 받은 지갑 시스템을 재구축하고, 해킹당한 직원 기기를 교체하며, 유출된 인증 정보를 무효화하고, AI 기반 보안 모니터링을 확대했다고 밝혔다. 또한 독립적인 사이버 보안 검토를 의뢰하고, 인공지능과 관련된 위협에 초점을 맞춘 보안 연구 기금 설립을 모색하고 있다. 이러한 복구 조치가 이루어지는 가운데 수사 당국은 도난 자금을 계속 추적하고 있다. 비트코인닷컴 뉴스(Bitcoin.com News)는 월요일, 블록체인 분석 기업 엘립틱(Elliptic)이 4일도 채 되지 않는 기간 동안 11개 블록체인의 약 12,000개 지갑을 통해 도난당한 자산을 추적했다고 보도했다. 바이낸스는 조사가 여전히 진행 중이며, 회사가 추가 정보를 공개하기 전에 일부 기술적 조사 결과에 대해서는 독립적인 검증을 거칠 것이라고 강조했다.