북한 연계 조직이 가상자산 거래소 바이낸스를 공격해 63억 달러(약 8조4000억 원) 규모의 가상자산이 영향을 받았습니다. 바이낸스는 3일(현지시간) 초기 조사 보고서를 내고 공격 주체를 북한으로 명시했습니다. 실제 인출은 10월 29일 이뤄졌지만, 준비는 올해 6월부터 시작됐습니다.

출발점은 6월의 공급망 공격이었습니다. 바이낸스는 가상화폐 지갑 개발·운영을 맡은 엔지니어 A가 변조된 개발 도구를 내려받도록 유도당했다고 밝혔습니다. 이 일로 인프라팀 담당자들의 인적 정보가 해커에게 넘어갔고, 바이낸스 보안팀은 감염된 기기를 교체하고 인증 정보를 갱신했습니다.

가짜 면접에서 시작된 내부 침투

석 달 뒤인 9월, 해커들은 구직 플랫폼을 통해 엔지니어 B에게 접근했습니다. 가짜 채용 절차였습니다. 1차 화상 면접에서 면접관은 사생활이 담긴 SNS 계정을 공유하며 신뢰를 쌓았고, 2차 면접에는 최고경영자(CEO)로 위장한 인물이 나와 과제 수행을 명목으로 프로그램을 내려받게 했습니다.

프로그램에 담긴 악성코드는 정상적인 개발 도구를 악성 버전으로 바꿔, 감염된 컴퓨터가 공격자가 통제하는 외부 서버와 통신하도록 만들었습니다. 바이낸스 보고서에는 공격자가 흔적을 지워 사후 조사를 어렵게 했다는 내용도 담겼습니다.

10월 20일에는 해커들이 사내 AI 도구를 악용했습니다. 감염된 B의 컴퓨터를 거점 삼아 A와 엔지니어 C의 제어권을 단계적으로 얻었고, A가 가진 프로그램 배포 인증키까지 손에 넣었습니다. 29일에는 C의 컴퓨터에 로그인해 A의 인증키로 자신들이 만든 프로그램을 배포하며 본격적인 공격에 들어갔습니다.

수 분 만에 이뤄진 대규모 인출

인출은 협정세계시(UTC) 기준 29일 오후 8시 5분, 한국시간 30일 오전 5시 5분에 시작됐습니다. 첫 4분 동안 리플(XRP) 2억3346만 개가 빠져나갔습니다. 이어 솔라나와 옵티미즘이 송금됐고, 비트코인 1만8270개와 이더리움 2961.9개도 옮겨졌습니다.

이더리움 네트워크에서는 미리 준비한 사전 서명 50개로 인출 위임 인증을 받아 정상적인 출금 인프라를 우회했다고 바이낸스는 밝혔습니다. 분석기관 TRM랩스와 체이널리시스 등은 공격자들이 자동화 시스템을 동원한 것으로 추정했습니다. 특정 지갑에 자금을 보내기 전 소액을 먼저 입금해 정상 작동 여부를 확인했다는 분석도 내놨습니다.

해커들은 스테이블코인 약 3억2500만 달러어치를 이더리움 12만2300개로 바꿨습니다. 당시 이더리움 시세는 개당 2300~2350달러였는데, 해커들은 2650달러를 치렀습니다.

동결 조치도 뒤따랐습니다. 테더는 15억7000만 달러, 서클은 8억 달러 상당을 각각 동결했다고 밝혔습니다. 월드 리버티 파이낸셜도 2700만 달러를 묶었다고 발표했습니다. 바이낸스는 영향을 받은 63억4000만 달러 가운데 28억5000만 달러가 거래소·발행사 공조로 동결되거나 차단된 상태라고 설명했습니다.

바이낸스는 올해 북한과 연계된 것으로 의심되는 사이버 위협 57건을 탐지해 차단했다고 덧붙였습니다. 창업자 자오창펑은 AI 기술이 발전하면서 가상화폐 거래소와 은행을 겨냥한 사이버 공격이 늘어날 것이라고 내다봤습니다.