바이낸스, 2026년 북한 연루 의심 공격 57건 차단

가짜 면접과 악성 개발 도구

바이낸스 공동창업자 겸 공동CEO 이허는 11월 3일 보안팀이 2026년 초 이후 북한과 연루된 것으로 의심되는 사이버 공격 57건을 탐지하고 차단했다고 밝혔다. 그는 X 게시물에서 이런 침입 시도가 국가 자금으로 움직이는 세력의 지속적인 위협을 보여준다며, 팀이 상당수를 가로챘지만 단 한 건의 차단 실패도 치른 대가는 컸다고 적었다. 이 발언은 같은 날 공개된 10월 29일 침해 사건의 초기 조사 결과와 함께 나왔다.

보고서에 따르면 9월 한 소프트웨어 엔지니어가 정상적인 채용 플랫폼에서 프로젝트 디렉터를 자칭하는 인물로부터 접촉을 받았다. 이후 개인 사진과 영상을 담은 소셜 미디어 프로필로 신뢰를 만든 인사 담당자를 자칭하는 인물이 화상 면접을 진행했고, 두 번째 면접자로 등장해 가공된 회사의 최고경영자를 자처한 인물이 업무용 컴퓨터에 업무 과제를 내려받도록 지시했다. 과제 안에 숨겨진 악성 코드는 설치 과정에서 실행됐고 사용 중이던 엔드포인트 보안 도구의 탐지를 피했다. 공격자는 10월 20일 감염된 컴퓨터와 내부 AI 도구를 이용해 지갑 담당 엔지니어 두 명에게 도달했고, 자산 이동을 승인하는 개인키 자료에 접근할 수 있는 자격 증명을 확보했다. 앞선 지갑 승인 관련 조사에서는 이더리움 핫월렛인 Binance 14로 일부 피해가 추적됐으며, 보안 점검은 제출된 EIP-7702 서명 승인 50건을 확인하고 이 가운데 1건이 악성 컨트랙트에 실행 권한을 위임하는 데 성공했음을 밝혔다. 이허의 게시물은 57건 중 채용 미끼가 몇 건이었는지는 나누지 않았으나, 초기 보고서는 채용 사기와 감염된 브라우저 확장 프로그램, 가짜 화상회의 앱을 주요 공격 경로로 명시하고 있다.

98% 보충과 FBI의 TraderTraitor 지목

10월 29일 사건으로 약 63억 4,000만 달러 규모의 디지털 자산이 피해를 입었다. FBI는 10월 31일 발표한 사이버 경보에서 이 탈취를 북한의 소행으로 규정하고 해당 활동을 TraderTraitor로 지목했다. 미국 비밀경호국 및 국세청 범죄수사국과 공조한 수사기관은 공격자가 탈취 자산을 주로 이더리움으로 전환했으며, 탈중앙화 금융과 즉시 교환 서비스를 통한 추가 세탁을 예상하고 있다고 밝혔다. 이 서비스 범주에는 0x 프로토콜 같은 라우팅 프로토콜이 포함된다. 당국은 거래소, 분석업체, 인프라 운영자에게 목록에 오른 주소가 연루된 거래를 차단할 것을 요청했다. 북한은 11월 3일 김여정 명의의 성명을 통해 국영 매체를 통해 이 혐의를 부인했다.

바이낸스는 11월 3일 보고에서 피해 토큰 자산의 98%를 보충했으며, 유동성이 낮은 나머지 자산의 매입을 계속 진행 중이고 손실액보다 많은 자금을 별도로 확보해 두었다고 밝혔다. 거래소는 BTC, ETH, USDT, BNB, SOL, 리플(XRP), USD1, RLUSD, ZEC를 전액 담보됐다고 밝혔고, 서클이 발행하는 스테이블코인 USDC도 여기에 포함됐다. 보충 매수 재원은 사용자 보호 기금인 SAFU와 선물 보험기금의 초과 준비금, 회사 법인 자금에서 마련됐다. 출금은 자산별로 재개됐다. 비트코인 출금은 11월 1일 다시 열렸고 당시 CEO 리처드 텅은 보충률을 약 95%로 평가했다. 11월 3일에는 이더리움 스테이블코인 5개의 출금 재개에 이어 이더리움 기반 31개, 솔라나 기반 20개 자산의 출금이 추가로 복구됐다. 온체인 추적 데이터는 11월 1일부터 2일 초 사이 약 28 BTC, 현금 가치 220만 달러가 18건의 CoinJoin 거래로 유입됐음을 보여준다. 거래소에서 직접 탈취된 18,270 BTC는 이 평가 시점에 19개 주소에 그대로 남아 있었다. 약 12,000개 지갑과 11개 블록체인을 아우르는 점검 기준으로 탈취 관련 주소에는 주로 이더리움과 비트코인 형태로 약 32억 4,000만 달러가 잔존하고 있다.

57건의 차단 시도와 단 한 건의 성공적 침해 사이 대비가 이번 공개에서 가장 선명한 사실이다. 공격자는 거래소의 외부 경계를 뚫을 필요가 없었다. 가짜 면접 한 번으로 침투한 한 엔지니어의 업무용 컴퓨터가 한 달 안에 지갑 엔지니어와 서명 자격 증명까지 가는 경로를 제공했다. 채용 파이프라인과 개발 도구 체인은 이제 내부 보안 메모 수준이 아니라 모든 플랫폼이 리스크로 계산에 반영해야 하는 상대 리스크다. 세탁 패턴도 같은 방향을 가리킨다. 약 28억 5,000만 달러가 동결되거나 차단된 가운데 약 32억 4,000만 달러가 탈취 관련 주소에 남아 있고 탈취된 BTC는 이미 CoinJoin 믹서로 이동했다. 회수 가능한 상한은 사실상 정해졌고, 거래소의 남은 노출은 아직 되사는 중인 유동성 낮은 토큰 꼬리 부분에 놓여 있다.