바이낸스 조사보고서 발표…5개월간 치밀한 '공급망·사회공학' 복합공격
AI부동산경제신문 | 경제
[서울=이진형 기자] 세계 최대 가상자산 거래소 바이낸스에서 발생한 약 8조원대 해킹 사건의 구체적인 공격 과정이 공개됐다. 북한과 연계된 것으로 지목된 해커 조직은 직원에게 가짜 채용 면접을 제안하고 업무용 컴퓨터에 악성코드를 설치하도록 유도하는 등 약 5개월에 걸쳐 침투를 준비한 것으로 조사됐다.
특히 해커들은 직원의 컴퓨터를 감염시키는 데 그치지 않고 바이낸스 내부 인공지능(AI) 도구를 공격에 활용해 핵심 시스템 접근 권한까지 확보했다. 이후 프로그램 배포 인증키를 탈취해 가상자산 지갑에 접근하고 대규모 자산을 외부로 옮겼다.
바이낸스는 3일(현지시간) 이 같은 내용을 담은 초기 조사 보고서를 발표했다. 보고서에는 공급망 공격과 사회공학적 기법, 내부 AI 도구 악용이 결합된 다단계 침투 과정이 담겼다.
6월부터 시작된 공격…개발 도구 변조로 첫 침투 시도
바이낸스 조사 보고서에 따르면 이번 공격은 지난 6월부터 시작됐다.
해커들은 먼저 가상자산 지갑 개발과 운영을 담당하는 엔지니어 A를 대상으로 공급망 공격을 시도했다. 인터넷에서 개발 도구를 내려받는 과정에 악성코드가 포함된 변조 프로그램을 설치하도록 유도한 것이다.
바이낸스 보안팀은 당시 이상 징후를 감지하고 해당 직원의 컴퓨터를 교체하는 한편 인증 정보를 갱신하는 등 대응에 나섰다. 그러나 이 과정에서 지갑 인프라 담당자들의 업무 정보와 내부 인적 관계 등이 공격자에게 노출된 것으로 조사됐다.
해커들은 확보한 정보를 토대로 다음 공격 대상을 물색했다. 약 3개월 뒤인 9월에는 구직 플랫폼을 통해 또 다른 엔지니어 B에게 접근했다.
가짜 채용 면접에 CEO 사칭까지…직원 신뢰 악용
해커들은 실제 채용 절차처럼 보이도록 면접 과정을 단계적으로 구성했다.
1차 화상 면접에서는 면접관을 사칭한 인물이 B와 대화를 나누며 신뢰를 쌓았다. 자신의 일상과 사생활이 담긴 SNS 계정을 공유하는 등 실제 인물처럼 보이기 위한 행동도 동원했다.
이어진 2차 면접에서는 최고경영자(CEO)를 사칭한 인물이 등장했다. 그는 채용 과제 수행을 명목으로 특정 소프트웨어를 업무용 컴퓨터에 설치하도록 유도했다.
문제의 프로그램에는 악성코드가 포함돼 있었다. 해당 악성코드는 정상적인 개발 도구를 공격자가 변조한 버전으로 바꿔치기하는 방식으로 작동했다. 당시 보안 도구가 탐지하지 못하는 취약점을 활용해 외부에서 감염된 컴퓨터에 접근할 수 있는 통로를 확보한 것으로 나타났다.
이번 공격은 기술적인 보안 취약점뿐 아니라 직원의 신뢰와 구직 과정에서 발생할 수 있는 경계심의 허점을 함께 노렸다는 점에서 주목된다.
사내 AI 도구까지 악용…가상자산 지갑 접근 권한 확보
해커들은 감염된 B의 컴퓨터를 발판으로 바이낸스 내부 시스템에 대한 접근 범위를 넓혔다.
지난달 20일에는 사내 AI 도구를 악용해 다른 엔지니어 A와 C의 컴퓨터에 대한 제어권을 단계적으로 확보했다. 이를 통해 최종적으로 A가 보유한 프로그램 배포 인증키를 탈취했다.
프로그램 배포 인증키는 내부 시스템에 프로그램을 배포하거나 실행할 수 있는 권한과 연결된 핵심 인증 수단이다. 해커들은 이 키를 확보하면서 자신들이 만든 악성 프로그램을 바이낸스 내부 환경에 배포할 수 있는 위치에 도달했다.
이번 사건에서 AI 도구는 직접적인 자산 탈취 수단이라기보다 내부 시스템과 직원 계정에 접근하는 과정에서 악용된 것으로 파악됐다. 기업이 업무 효율을 위해 도입한 AI 도구 역시 접근 권한과 보안 관리가 미흡할 경우 공격 경로가 될 수 있다는 점을 보여주는 사례다.
인증키 탈취 후 가상자산 대량 인출…이더리움 권한 위임 기능 악용
실제 자산 탈취는 지난달 29일(현지시간) 이뤄졌다.
해커들은 엔지니어 C의 컴퓨터에 접속한 뒤 앞서 탈취한 A의 프로그램 배포 인증키를 이용해 악성 프로그램을 실행했다.
한국시간으로 지난달 30일 오전 5시5분부터 약 4분 동안 리플(XRP) 약 2억3346만 개가 우선 무단 인출됐다. 이어 솔라나(SOL) 약 97만500개와 옵티미즘(OP) 약 4420만 개가 송금됐으며, 비트코인 약 1만8270개와 이더리움 약 2961.9개도 외부로 이동했다.
공격자들은 이더리움 네트워크의 권한 위임 기능인 'EIP-7702'도 악용했다. 이 기능은 지갑 소유자가 특정 프로그램에 일부 실행 권한을 위임할 수 있도록 하는 기술이다.
해커들은 사전에 준비한 서명을 이용해 자산 인출 권한을 위임받는 방식으로 정상적인 출금 인프라를 우회했다. 이에 따라 바이낸스가 거래소 자체 출금 기능에 대응하더라도 블록체인상에 이미 설정된 위임 권한을 별도로 해제해야 하는 상황이 발생했다.
바이낸스는 공격 시작 약 4시간 뒤인 한국시간 오전 9시10분께 EIP-7702 위임 코드를 초기화해 추가 유출을 차단했다. 다만 그 전에 상당한 규모의 가상자산이 이미 외부로 이동한 상태였다.
피해 자산 63억4000만 달러…28억5000만 달러 동결·차단
바이낸스에 따르면 이번 사건으로 영향을 받은 가상자산 규모는 총 63억4000만 달러에 달한다. 원화로는 약 8조원대 규모다.
이 가운데 28억5000만 달러 상당은 거래소와 가상자산 발행사 등의 공조를 통해 동결하거나 추가 이동을 차단했다. 다만 동결·차단된 자산이 모두 최종 회수된 것을 의미하는 것은 아니다.
이용자 피해 보전을 위한 조치도 진행됐다. 바이낸스는 회사 보유 자금과 이용자자산보호기금(SAFU), 선물 보험기금 등을 활용해 피해 손실분의 98% 이상을 보충했다고 밝혔다.
사고 이후에는 침해된 지갑 관리 시스템과 사내 AI 도구를 재구축했으며, 외부 독립기관을 통한 보안 감사도 진행하고 있다.
북한 연계 사이버 공격 57건 탐지…기업 보안 체계 점검 필요성
바이낸스는 2026년 한 해 동안 북한과 연계된 것으로 의심되는 사이버 위협 사례 57건을 탐지하고 차단했다고 밝혔다.
이번 사건은 가상자산 거래소를 겨냥한 해킹이 단순히 시스템의 기술적 취약점을 공격하는 방식에서 벗어나 인적 신뢰와 기업 내부 도구, 인증 권한 등을 복합적으로 노리는 형태로 진화하고 있음을 보여준다.
특히 정상적인 채용 절차를 가장한 접근은 보안 교육을 받은 직원이라도 공격 대상이 될 수 있다는 점을 드러냈다. 업무용 소프트웨어 설치와 외부 협업 도구 사용, AI 서비스 접근 권한에 대한 관리가 기업 보안의 중요한 과제로 떠오르고 있다.
바이낸스는 이번 사건을 계기로 AI 기반 위협 탐지 기술에 대한 투자를 확대하고, 주요 AI 기업들과 가상자산 보안 연구기금 조성도 추진하겠다고 밝혔다.
가상자산 시장에서 AI 활용이 확대되는 만큼 관련 기술의 편의성뿐 아니라 내부 데이터와 시스템 권한을 안전하게 관리하는 보안 체계의 중요성도 커지고 있다.
AI부동산경제신문 | 편집부
이진형 기자
Copyright © 2026 AI부동산경제신문. All Rights Reserved.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
