“면접 과제 내려받으세요”…가짜 채용으로 파고들어 바이낸스 8조원 털었다

지난 9월 세계 최대 가상화폐 거래소 바이낸스에 근무하던 한 엔지니어는 구직 플랫폼에서 면접 제안을 받았다. 다른 회사에서 직원을 뽑는다며 연락해 온 상대는 자신을 프로젝트 책임자라고 소개했다. 첫 면접은 ‘인사 담당자’와의 화상 통화였다. 면접관은 자신의 일상 사진과 동영상이 담긴 소셜미디어 계정까지 보여주며 신뢰를 쌓았다.

두 번째 면접에는 ‘최고경영자(CEO)’가 나왔다. 소셜미디어 메신저로 진행된 면접이 끝날 무렵, 그는 엔지니어에게 과제를 내려받으라고 했다. 엔지니어는 업무용 컴퓨터로 과제 파일을 받았다. 하지만 회사도, 면접관도 모두 가짜였다. 과제에는 설치 과정에서 실행되는 악성코드가 숨어 있었다.

바이낸스가 3일(현지 시각) 공개한 초기 조사 보고서는 약 63억4000만달러(약 8조4000억원)가 털린 해킹의 배후에 이 같은 가짜 채용이 있었다고 밝혔다. 미 연방수사국(FBI)이 북한 소행으로 지목한 공격자들은 수개월에 걸쳐 침투를 준비했다. 직원의 컴퓨터를 감염시킨 뒤 사내 인공지능(AI) 도구를 악용해 동료들의 기기까지 장악했고, 결국 가상화폐를 옮기는 데 필요한 승인 권한을 손에 넣었다.

◇직원 속여 침투하고, 사내 AI로 옮겨갔다

보고서에 드러난 첫 침투는 지난 6월이었다. 가상화폐 지갑 개발·운영 담당 엔지니어 A가 AI 코딩 도구를 설치하려다 변조된 설치 프로그램을 내려받았다. 보안팀은 이상 징후를 발견해 컴퓨터를 교체하고 관련 인증 정보를 바꿨다. 그러나 A의 담당 업무와 지갑 관리팀 동료들의 정보는 이미 공격자에게 노출된 뒤였다.

9월 가짜 면접의 표적이 된 것은 다른 엔지니어 B였다. B가 내려받은 악성코드는 정상적인 개발 도구의 일부를 바꿔치기해 공격자의 외부 서버와 통신했다. 당시 보안 프로그램은 이를 탐지하지 못했다. 공격자들은 침투 흔적도 지워 발견과 추적을 어렵게 했다.

지난달 20일에는 감염된 B의 컴퓨터에서 사내 AI 도구를 악용해 A와 또 다른 엔지니어 C의 기기까지 장악했다. 이어 A의 컴퓨터에서 회사 시스템에 프로그램을 배포할 수 있는 인증 정보를 찾아냈다. 한 직원의 컴퓨터에서 시작한 공격이 사내 도구를 거쳐 핵심 권한을 가진 직원에게까지 번진 것이다.

◇출금 막았지만, 이미 열린 통로는 남았다

지난달 29일 해커들은 C의 컴퓨터에 접속해 A에게서 훔친 인증 정보로 악성 프로그램을 실행했다. 이후 바이낸스 지갑 다섯 곳에서 불과 4분 사이 리플(XRP) 약 2억3346만개가 빠져나갔다. 솔라나와 비트코인 등도 해커들 지갑으로 옮겨졌다.

바이낸스는 출금을 중단했지만, 이것만으로 유출을 모두 막지는 못했다. 해커들이 이더리움의 권한 위임 기능을 악용해 정상적인 출금 절차 밖에서도 자산을 옮길 수 있도록 해놨기 때문이다. 출금 창구를 닫아도 이미 만들어진 별도의 통로는 남아 있었던 셈이다. 바이낸스는 이 권한을 취소하는 추가 조치를 해야 했다.

이번 공격은 가상화폐 거래 기록을 위조하기보다 자산을 움직이는 승인 체계를 장악하는 데 집중됐다. 거래 기록 자체를 안전하게 보관하더라도, 자금을 옮길 권한이 해커들 손에 들어가면 대규모 탈취로 이어질 수 있다는 것이다.

바이낸스는 피해 자산 가운데 약 28억5000만달러가 동결되거나 이동이 차단됐다고 밝혔다. 다만 동결은 회수가 끝났다는 뜻은 아니다. 회사는 이용자 손실을 전액 부담할 자금을 확보했으며, 지난달 31일 기준 피해 대상 코인 물량의 98%를 보충했다고 설명했다.

바이낸스는 “피해를 입은 지갑 시스템과 사내 AI 도구를 재구축했다”며 “외부 보안 전문가들을 초청해 이번 사건을 종합적으로 검토하고 조사 결과를 검증할 계획”이라고 밝혔다. 이어 “올해 들어 북한과 연계된 것으로 의심되는 사이버 위협 57건을 탐지·차단했다”고 했다. 수십 차례 공격을 막았어도 한 번의 침투가 내부 권한을 따라 번지자 수조 원대 피해로 이어진 셈이다.