디지털 자산 거래소 바이낸스(Binance)는 최근 63.4억 달러 규모의 자산 탈취를 초래한 해킹이 지갑 인프라 엔지니어 3명의 컴퓨터를 대상으로 수개월 동안 지속된 정교한 캠페인의 결과라고 설명했다. 이 캠페인에는 가짜 채용 면접과 함정이 설치된 코딩 과제, 그리고 내부 AI 도구의 악용이 포함되었다.
플랫폼의 초기 보고서에 따르면, 당국과 대응 팀은 현재까지 탈취된 자산 중 약 28.5억 달러를 동결 및 회수하는 데 성공했다. 한편, 미국 연방수사국(FBI)은 이번 공격을 북한과 연계된 사이버 침입 그룹인 '트레이더 트레이터(TraderTraitor)'의 소행으로 지목했다.
사회 공학을 통한 공격자의 침투 세부 사항
침투 과정은 6월에 시작되었다. 지갑 DevOps 엔지니어가 검색 엔진을 통해 AI 기반 프로그래밍 도구를 다운로드하려고 시도하면서 Homebrew 패키지의 악성 수정 버전이 설치되었다. 플랫폼의 사이버 보안 팀이 위협을 감지하고 엔지니어의 기기를 교체하며 자격 증명을 재설정했지만, 공격자들은 그의 업무 성격과 팀에 대한 귀중한 정보를 수집할 수 있었다.
9월에는 공격자들이 채용 사기를 통해 두 번째 엔지니어를 표적으로 삼았다. 그는 두 차례의 면접을 거쳤는데, 첫 번째는 신뢰를 얻기 위해 사진이 포함된 인증된 소셜 계정을 제시한 가짜 인사 담당자와의 면접이었고, 두 번째는 가짜 회사의 CEO라고 주장하는 인물과의 면접이었다. 면접은 기술 테스트를 위한 "코딩 과제" 다운로드 요청으로 끝났으며, 이 과제에는 실행 즉시 작동하는 악성 코드 저장소가 포함되어 있었다. 이 악성 소프트웨어는 개발 도구의 핵심 구성 요소를 교체하고, 제로데이(0-day) 취약점을 이용했기 때문에 엔드포인트 탐지 및 대응(EDR) 시스템에 발각되지 않은 채 공격자의 제어 서버와 통신 채널을 열었다.
AI 도구 및 프로토콜 취약점 악용
10월 20일, 공격자들은 감염된 컴퓨터와 내부 AI 도구를 사용하여 지갑 팀의 첫 번째 엔지니어와 세 번째 엔지니어의 시스템에 접근했다. 10월 29일, 그들은 세 번째 엔지니어의 컴퓨터에 접근하여 첫 번째 엔지니어의 자격 증명을 사용하여 컨테이너(Container) 환경을 구축한 뒤, 자산을 전송하기 위한 악성 스크립트를 실행했다.
공격자들은 핫 월렛(Hot Wallet) 서명 서비스에 대한 무단 접근 권한을 악용하여 XRP, SOL, OP, BTC와 같은 통화를 전송했다. 또한 이들은 이더리움 네트워크의 EIP-7702 메커니즘을 악용하여 특정 스마트 계약에 핫 월렛에 대한 부분적 실행 권한을 부여했다. 지갑이 다자간 계산(MPC) 기술로 보호되고 있었기 때문에 즉시 권한을 취소할 수 있는 단일 키가 없었으며, 자정 이후 권한이 취소될 때까지 송금이 계속되었다.
이 뉴스가 기술 및 사이버 분야에 중요한 이유는 무엇인가?
이번 사건은 사회 공학 기법의 질적인 변화를 보여준다. 위협은 더 이상 전통적인 피싱 메시지에 국한되지 않고, 철저히 계획된 채용 면접과 일상적인 개발 도구에 함정을 설치하는 방식으로 확장되었다. 또한 엄격한 권한 제한 없이 기업 환경에 AI 도구를 통합할 때 발생하는 이중적 과제를 부각시킨다. AI 도구가 민감한 시스템에 접근하고 승인된 장치 간에 내부 이동(Lateral Movement)을 수행하기 위한 교두보로 악용될 수 있기 때문이다.
복구 및 취해진 보안 조치
바이낸스는 지갑 시스템과 영향을 받은 AI 도구를 처음부터 다시 구축하고, 기기를 교체하며, 이전의 모든 토큰과 자격 증명을 폐기했다고 확인했다. 또한 사건 검토를 위해 독립 보안 기업의 도움을 받았으며, 블록체인 환경 내 AI 보안을 전문으로 하는 연구 기금 설립을 발표했다.
리처드 텡(Richard Teng) 공동 CEO는 영향을 받은 자산의 98%가 보상되었고 안정성을 되찾았다고 언급했다. 또한 플랫폼의 예치금 전체를 보장함을 확인하기 위해 영지식 증명(Zero-Knowledge Proofs)을 게시하는 것과 동시에 사용자들에게 출금 절차를 점진적으로 허용했다.