5개월간 정교한 다단계 표적 침투…공급망 오염부터 제로데이 악용, 자체 기금으로 피해액 98% 메워

지난 3일 서울 서초구 빗썸 라운지 강남점 전광판에 비트코인을 비롯한 가상자산 시세를 나타내고 있다. 뉴스1

북한 해커 조직이 글로벌 최대 가상화폐 거래소 바이낸스를 표적으로 삼아 5개월에 걸친 다단계 정교 침투를 벌여 총 8조 4000억 원 규모의 가상자산을 탈취한 것으로 나타났다. 거래소와 발행사 공조를 통해 상당액이 동결됐으며, 거래소 측은 자체 기금을 투입해 피해 대부분을 복구했다고 밝혔다.

바이낸스는 3일(현지시간) 이 같은 내용이 담긴 초기 침해 사고 조사 보고서를 공개했다. 이번 사건에는 악성 소프트웨어 공급망 오염, 내부 인공지능(AI) 도구 장악, 인사 담당자를 사칭한 사회공학적 기법이 복합적으로 동원된 것으로 파악됐다.

◆ SNS 사진 공유로 신뢰 쌓고 제로데이 악성코드 침투

해커들은 지난 6월 바이낸스 지갑 인프라 엔지니어 A의 기기에 변조된 개발 도구를 내려받도록 유도했다. 당시 보안팀이 이상 징후를 감지해 인증 정보를 즉각 갱신했으나, 인프라 담당자들의 인적 정보는 이미 해커 손에 넘어간 뒤였다.

북한 해커들은 3개월 뒤인 9월 구직 플랫폼을 통해 또 다른 엔지니어 B에게 접근했다. 가짜 채용 절차를 진행한 면접관은 B의 경계심을 풀기 위해 사생활 사진이 담긴 SNS 계정까지 공유했다. 이어진 2차 면접에서는 최고경영자(CEO)를 사칭한 인물이 과제 수행을 구실로 미공개 취약점(제로데이) 기반의 악성 소프트웨어를 B의 업무용 컴퓨터에 설치하도록 유도했다.

해커들은 B의 기기를 발판 삼아 사내 AI 도구 권한을 연쇄 탈취했다. 이어 엔지니어 C와 A의 내부 권한을 차례로 장악한 뒤 최종 프로그램 배포 인증키까지 손에 넣었다.

◆ EIP-7702 권한 악용해 4분 만에 리플 2억 3346만 개 인출

탈취 실행일인 지난달 29일, 해커들은 C의 계정으로 접속해 A의 인증키로 악성 배포본을 가동했다.

협정세계시(UTC) 기준 오후 8시 5분(한국시간 30일 오전 5시 5분)쯤부터 단 4분 만에 리플(XRP) 2억 3346만 개가 무단 인출됐다. 이어 솔라나(SOL) 97만 500개, 옵티미즘(OP) 4420만 개, 비트코인 1만 8270개, 이더리움 2961.9개가 연달아 외부 지갑으로 빠져나갔다.

특히 이더리움 자산을 탈취할 당시 차세대 계정 추상화 기술인 ‘EIP-7702’ 권한을 악용했다. 사전에 확보한 50개의 사전 서명으로 자산 인출 위임 인증을 생성해 정상 출금 통제 체계를 완전히 우회한 것으로 분석된다. 바이낸스는 공격 인지 후 약 4시간 만인 30일 0시 10분(한국시간 오전 9시 10분)쯤 위임 코드를 초기화해 추가 유출을 차단했다.

◆ 피해액 63억 4000만 달러 중 28억 5000만 달러 동결

이번 침해 사고로 영향을 받은 가상자산은 총 63억 4000만 달러(약 8조 4000억 원) 규모로 집계됐다. 바이낸스는 주요 거래소 및 발행사와의 긴급 공조를 통해 28억 5000만 달러(약 3조 8000억 원) 상당의 자산을 즉시 동결하거나 전송을 차단했다고 설명했다.

고객 피해와 관련해 바이낸스 측은 자체 보유 자금과 ‘이용자자산보호기금’(SAFU), 선물 보험기금을 투입해 손실분의 98% 이상을 충당했다고 밝혔다.

바이낸스는 침해된 지갑 및 내부 AI 시스템을 전면 재구축하고 독립 기관을 통한 외부 보안 감사를 밟고 있다. 바이낸스 측은 2026년 한 해 동안 탐지·차단한 북한 연계 의심 사이버 위협만 총 57건에 달한다고 밝히며, 주요 글로벌 기업과 협력해 AI 기반 보안 대응 체계를 한층 강화할 방침이다.

양다훈 기자 [e-mail]