바이낸스 보고서, 63억 달러 해킹의 배후는 가짜 채용 면접

가짜 면접과 변조된 설치 파일

바이낸스가 10월 29일 침해 사건의 초기 사후 보고서를 11월 3일 공개했다. 이번 사건으로 거래소의 핫월렛에서 약 63억 달러가 유출됐다. 거래소의 사고 보고서에 따르면 침입은 가짜 채용 면접에서 시작됐고, 자금이 움직이기 전까지 수개월에 걸쳐 단계적으로 진행됐다. 공동 CEO Richard Teng은 장기간에 걸친 조직적 작전이라고 평가했다. FBI는 이미 10월 31일 북한 연계 해킹 조직 TraderTraitor의 소행으로 규정한 바 있으며, 이번 보고서는 사상 최대 규모 거래소 해킹이 어떻게 조립됐는지에 대한 첫 전면 기술 분석을 제공한다.

보고서는 작전의 기원을 6월로 거슬러 올라간다. 지갑 DevOps 엔지니어가 AI 코딩 도구를 설치하던 중 변조된 Homebrew 설치 파일을 받았다. 바이낸스 보안팀이 이상을 감지해 기기를 교체하고 자격 증명을 순환했지만, 이미 해당 엔지니어의 역할과 지갑 인프라 담당 동료들의 신원이 노출된 뒤였다. 9월에는 이력서에 바이낸스 재직 사실을 적어둔 소프트웨어 엔지니어가 합법적 채용 플랫폼에서 프로젝트 디렉터로 위장한 공격자에게 접촉받았다. 가짜 리크루터와의 화상 면접, 이어 가짜 CEO와의 2차 면접을 거친 뒤 그는 업무용 컴퓨터에 코딩 과제를 내려받으라는 지시를 받았다. 이 파일에는 개발 도구 pyenv를 악성 버전으로 교체하는 멀웨어가 심여 있었고, 엔드포인트 탐지는 완전히 우회됐다.

10월 20일 공격자들은 침해된 컴퓨터와 사내 AI 도구를 이용해 지갑 엔지니어 2명의 컴퓨터를 장악했고, 그 과정에서 컨테이너 배포 자격 증명을 확보했다. 10월 29일에는 탈취한 자격 증명으로 서비스 컨테이너를 배포한 뒤 바이낸스의 지갑 서명 시스템에 악성 스크립트를 실행했다. 5개 핫월렛에서 리플(XRP) 2억 3,346만 개가 4분 만에 이동했고, 이어 약 97만 SOL, 4,420만 OP, 비트코인(BTC) 1만 8,270개가 인출됐다. 공격자들은 서명 서비스를 통해 50건의 거래를 전송하며 계정 논스를 조작했고, 이더리움의 계정 실행 위임 메커니즘인 EIP-7702를 악용해 악성 스마트 계약에 핫월렛의 부분 제어권을 부여했다. 출금 중단으로도 유출을 막을 수 없었다. 마지막 무단 이체인 2,961.9 ETH는 첫 이동 약 4시간 뒤 이미 전파돼 확정됐고, 바이낸스는 10월 30일 00:10(UTC)에 제로 주소를 향한 새 승인을 보내서야 위임을 해제했다.

28억 5,000만 달러 동결, 98% 복원

바이낸스는 약 28억 5,000만 달러가 동결되거나 가로채졌으며, 10월 31일 기준 피해 토큰 자산의 약 98%를 자체 자금으로 재보충했다고 밝혔다. 유동성이 낮은 나머지 자산은 매입 작업이 계속되고 있다. 손실은 사용자에게 전가되지 않고 거래소가 부담한다. 공동 CEO Richard Teng은 출금이 대부분 재개됐다고 확인했다. 그는 동결 성과를 수사기구, 스테이블코인 발행사, 온체인 분석업체와의 협력 덕분으로 돌렸다. 보고서는 완료된 복구 작업도 정리한다. 피해 지갑 시스템과 사내 AI 도구를 새 환경에서 재구축했고, 기기를 교체하고 엔지니어 자격 증명을 취소했으며, 전 직원 장비 보안 점검을 마쳤다. 다음 단계는 독립된 제3자 감사와 보안 연구 기금 설립이다.

@_RichardTeng · X 게시물

Richard Teng은 출금이 대부분 재개됐다고 확인했다.

X에서 보기

김여정, 개입 공식 부인

북한은 규정에 정식으로 반박했다. 국영 통신사 KCNA가 화요일 전한 성명에서 김여정은 FBI의 혐의를 “터무니없는 선전”이라 일축하며, 자국을 “사이버 범죄 국가”로 그리려는 정치적 선전이라고 주장했다. 그는 근거를 제시하지 않은 채, 회수된 자금에 접근할 수 있는 사람을 조사하면 진짜 배후가 드러날 것이라고 내비쳤고, 2025년 2월 Bybit 해킹에 대한 북한 연루설도 다시 부인했다. 미국은 이 성명에 아직 응답하지 않았다. TRM Labs, Chainalysis, ZachXBT 등 블록체인 조사업체와 조사자들은 온체인·기술 증거가 TraderTraitor 조직을 가리킨다는 입장을 유지하고 있다.

자금 세탁 경로와 시장 반응

탈취 자금의 대부분은 회수되지 않고 여전히 움직이고 있다. Elliptic은 3일 반 만에 11개 블록체인에서 약 1만 2,000개 지갑과 4만 건이 넘는 거래를 추적한 결과, 약 31억 8,000만 달러가 여전히 해킹 연계 주소에 머물러 있다고 추정했다. 대부분은 비트코인과 이더 형태다. TRM Labs는 자체 발행 토큰과 연쇄 브리지를 통한 세탁 경로를 기록했고, Chainalysis는 정확히 1 TRX씩 충전된 주소들을 관찰했다. 이는 자동화 이체의 특징이다. ZachXBT는 THORChain을 거친 뒤 일부 자금이 합류된 Bitget 해킹과의 중복을 지적했다. 시장은 비트코인이 최대 5.0%, 이더가 6.1% 떨어진 뒤 안정을 찾았다. 출금 재개 후 거래소 순유출은 47억 2,000만 달러에 달했으나, 이후 27억 달러가 다시 유입됐다.

EIP-7702가 남긴 구조적 리스크

사후 보고서의 핵심 교훈은 이번 사건이 키 유출이 아니라 권한 관리 실패였다는 점이다. 공격자는 개인키를 얻지 못했다. 위임 실행권을 얻었고, EIP-7702가 이를 온체인에 기록해 출금 중단 조치가 미치지 못했다. 이 구분은 거래소 보관형 암호화폐 지갑과 자기 관리형 지갑을 저울질하는 이들에게 중요하다. 하드웨어 지갑이나 콜드월렛은 거래소 상대방 리스크를 완전히 없애는 대신, 운영 부담을 사용자에게 옮긴다. 바이낸스는 이번 사건이 뚫리기 전 2026년에만 북한 연계 의심 공격 57건을 차단했다. 창업자 CZ는 AI 기반 해킹이 늘 것이므로 업계가 AI로 AI 공격자에 대응해야 한다고 경고했고, 보고서에 담긴 보안 투자 계획은 이 방향을 따른다.