면접관도 CEO도 가짜였다···북한 해커들 ‘위장 채용’으로 엔지니어에 접근, 5개월간 다단계 공격

세계 최대 가상자산 거래소 바이낸스 로고. 로이터연합뉴스

닷새 전 세계 최대 가상자산 거래소 바이낸스에서 발생한 초대형 해킹 사태와 관련해 북한 해커들이 5개월간 정교한 다단계 공격을 벌인 것으로 나타났다.

바이낸스는 3일(현지시간) 이 같은 내용을 담은 초기 조사 보고서를 발표했다. 바이낸스는 공격자들이 내부 AI 도구를 해킹하고 악성 소프트웨어 공급망을 공격했다고 밝혔다. 이 과정에서 사회공학 기법까지 동원된 것으로 나타났다.

북한 해커로 확인된 공격자들은 지난 6월부터 내부 엔지니어의 컴퓨터를 감염 시켜 정보를 빼낸 뒤 가짜 채용 면접까지 한 것으로 나타났다. 이들은 당시 바이낸스의 가상통화 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 벌여 담당자들의 인적 정보를 탈취했다.

약 3개월 뒤인 지난 9월 구직 플랫폼을 통해 가짜 채용 절차를 진행하며 엔지니어 B에게 접근했다. 1차 화상 면접 과정에서 면접관으로 위장한 해커들은 B에게 신뢰를 확보하기 위해 사생활을 엿볼 수 있는 SNS 계정을 공유하는 등 기만전술도 펼쳤다.

이후 2차 면접에서는 최고경영자(CEO)로도 위장했다. 위장한 CEO는 과제 수행 명목으로 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 설치하도록 지시했다. 이 악성코드는 당시 보안 도구에 감지되지 않았다.

B의 컴퓨터를 감염시킨 해커들은 지난달 20일 사내 AI 도구를 이용해 A와 엔지니어 C의 업무상 권한까지 확보했다. 이후 지난달 29일 탈취 당일에는 C의 컴퓨터에 로그인한 뒤 A가 보유한 프로그램 배포 인증키(컨테이너 배포 권한 토큰)를 사용해 공격을 감행했다.

이들은 우선 리플(XRP) 2억3346만개를 무단 인출하고, 이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4420만개를 송금했다. 이후 비트코인 1만8270개와 이더리움 2961.9개를 이체했다. 이 과정에 든 시간은 단 4분이었다.

바이낸스는 공격 시간 약 4시간 뒤 이더리움 공격에 동원된 승인 권한 코드를 초기화해 추가 유출을 차단했다.