바이낸스가 2026년 북한과 연계된 것으로 의심되는 사이버 위협 57건을 차단했지만, 허위 채용 면접을 가장한 공격으로 엔지니어의 기기가 감염돼 내부 권한이 탈취되고 지갑 서명 인프라까지 침해됐다. 바이낸스는 11월 3일 공개한 보안 보고서에서 공격 경로를 설명했다. 미 연방수사국(FBI)은 앞서 10월 31일, 10월 29일 발생한 약 63억4,000만 달러 규모의 암호화폐 탈취 사건을 북한의 ‘트레이더트레이터(TraderTraitor)’ 작전으로 지목했다. 이번 사례는 위협을 사전에 식별해도 채용 절차와 개발 환경을 통한 침투가 플랫폼 내부 시스템으로 이어질 수 있음을 보여준다.
감염된 개발 도구에서 지갑 서명 인프라까지
바이낸스 보고서에 따르면 관련 활동이 처음 포착된 시점은 6월이다. 지갑 인프라 담당 엔지니어가 널리 쓰이는 AI 코딩 도구를 설치하는 과정에서 변조된 홈브루(Homebrew) 설치 프로그램을 내려받았다. 보안팀은 이상 징후를 확인한 뒤 해당 직원의 기기를 교체하고 관련 자격 증명을 갱신했다. 다만 공격자는 이미 직원의 업무와 동료들에 관한 정보를 확보한 상태였다.
9월에는 공격자가 정상적인 채용 플랫폼을 통해 다른 소프트웨어 엔지니어에게 접근했다. 허구의 회사에서 프로젝트 책임자를 맡고 있다고 사칭한 뒤, 인사 담당자라고 주장하는 인물이 실시간 화상 면접을 진행했다. 신뢰를 얻기 위해 개인 사진과 영상이 올라온 소셜미디어 계정도 제시했다. 2차 면접에서는 또 다른 인물이 회사 최고경영자(CEO)를 사칭했다.
면접이 끝날 무렵 엔지니어는 업무용 컴퓨터에 코딩 테스트 파일을 내려받으라는 요청을 받았다. 저장소는 정상적인 개발 프로젝트처럼 보였지만, 설치 과정에서 악성 코드가 실행돼 정상적인 개발 도구 구성 요소를 대체하고 공격자가 관리하는 서버에 연결됐다. 바이낸스는 당시 알려지지 않은 악성코드가 엔드포인트 보안 소프트웨어를 피하고 침입 흔적도 감췄다고 밝혔다.
10월 20일까지 공격자는 감염된 컴퓨터와 내부 AI 도구를 이용해 엔지니어 두 명의 기기를 추가로 장악했다. 이 가운데 한 명은 6월 공격의 표적이 됐던 직원이었다. 이후 컨테이너 배포 권한 토큰을 확보했고, 9일 뒤 탈취한 자격 증명으로 악성 컨테이너를 배포해 바이낸스의 지갑 서명 인프라에 접근했다.
바이낸스는 공격자가 정상적인 출금 절차를 우회해 무단 이체를 실행했으며, 피해 자산은 여러 블록체인 네트워크에 걸쳐 있었다고 밝혔다. 다만 차단한 위협 57건 중 허위 면접 수법이 포함된 사례가 몇 건인지, 10월 공격과 직접 관련된 사건이 무엇인지는 공개하지 않았다.
기기 교체·자격 증명 폐기…개발 환경 보안도 강화
바이낸스 공동 최고경영자(CEO) 허이(何一)는 회사 보안팀이 2026년 북한 연계가 의심되는 사이버 위협 57건을 발견해 차단했다고 밝혔다. 허위 채용 면접, 널리 쓰이는 개발 도구를 가장한 악성코드, 변조된 소프트웨어 패키지와 브라우저 확장 프로그램, 가짜 화상회의 앱, 자격 증명 탈취나 원격 접근 악성코드 설치를 유도하는 사회공학 공격 등이 포함됐다. 허이 CEO는 다수의 공격을 막았지만 이번처럼 심각한 결과를 낳은 공격은 차단하지 못했다며, 이런 일이 발생해서는 안 됐다고 말했다.
사고 이후 바이낸스는 영향을 받은 직원들의 기기를 교체하고 노출된 자격 증명을 폐기했으며, 침해된 지갑 인프라를 재구축했다. 개발 환경에 대한 보호를 강화하고 AI 기반 행동 모니터링도 확대하겠다고 밝혔다. 다만 공개된 보고서에는 이러한 조치가 이번 공격에 악용된 채용 면접 절차를 어떻게 보완할지 구체적으로 담기지 않았다.
채용 사칭은 북한 연계 공격에서 반복된 수법
이번 공격은 보안 연구진과 미국 수사당국이 수년간 추적해 온 북한 연계 사이버 작전의 수법과 닮아 있다. FBI는 2024년 9월, 북한 해커들이 암호화폐 기업에 침투하기 위해 개인별로 맞춤화한 채용 제안과 치밀하게 꾸민 신분, 지속적인 소통을 활용한다고 경고했다. 기술 역량이 높은 직원도 경력에 맞춰 설계된 사기에 노출될 수 있다는 설명이었다.
2026년 6월 쿠델스키 시큐리티(Kudelski Security) 연구진은 ‘컨테이저스 인터뷰(Contagious Interview)’라는 작전을 기록했다. 공격자들은 링크드인, 왓츠앱, 디스코드에서 채용 담당자를 사칭한 뒤 개발자에게 악성 코드를 실행하도록 유도했다. 9월에는 아틀라시안(Atlassian) 연구진이 잘 알려진 개발 플랫폼에 허위 기술 평가를 올리고, 정상적인 소프트웨어 프로젝트처럼 보이는 파일에 악성 명령을 숨긴 사례를 확인했다.
이들 사례에서 공격자는 채용 절차와 개발자 도구를 이용해 신뢰를 쌓은 뒤 기업 내부 시스템으로 접근 범위를 넓혔다. 바이낸스가 공개한 내용은 6월의 기기 감염 이후에도 직원 간 관계와 내부 도구를 활용한 추가 침투가 이어질 수 있음을 보여준다. 회사는 차단한 57건의 세부 구성이나 이번 공격에서 실패한 방어 절차를 공개하지 않았다. 현재 확인된 사실은 공격자가 지갑 서명 인프라에 접근했고, 여러 블록체인 네트워크에서 자산이 무단 이체됐다는 점이다.