“면접 보자더니 악성코드 심었다”…5개월간 준비한 北의 8조 코인 탈취 작전

[헤럴드경제=도현정 기자] 북한 연계 해킹 조직이 세계 최대의 가상화폐 거래소 바이낸스를 해킹하기 위해 5개월 전부터 치밀한 사전작업을 시행, 고도로 정교한 다단계 공격을 벌인 것으로 나타났다.

바이낸스가 3일(현지시간) 발표한 초기 조사 보고서에 따르면 이번 사건에 악성 소프트웨어 공급망 공격과 내부 AI 도구 해킹, 사회공학 기법까지 동원됐다.

우선 해커들은 지난 6월 바이낸스의 가상화폐 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 먼저 시행했다. 바이낸스 보안팀은 당시 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신했지만, 지갑 인프라팀 담당자들의 인적 정보가 해커들에게 노출됐다.

북한 해커들은 약 3개월 뒤인 9월 구직 플랫폼을 통해 바이낸스의 엔지니어 B에게 접근, 직원을 채용하려는 것처럼 위장해 정보를 빼내는 ‘사회공학적 공격’을 펼쳤다. 면접관으로 위장한 공격자가 1차 화상 면접을 진행하면서 B에게 신뢰를 쌓으려고 자신의 사생활 사진이 담긴 사회관계망서비스(SNS) 계정을 공유하기도 했다.

이어 2차 면접에서는 최고경영자(CEO)로 위장한 해커가 과제 수행 명목으로 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 내려받게 했다. 해당 악성코드는 당시 보안 도구에 감지되지 않는 ‘제로데이’ 취약점을 이용해 정상적인 개발 도구를 악성 버전으로 대체하게 했다.

해커들은 지난달 20일 이렇게 감염된 B의 컴퓨터를 통해 사내 AI 도구를 악용, A와 엔지니어 C에 대한 제어권을 단계적으로 얻었다. 이어 지갑 개발·운영 담당 엔지니어 A가 보유한 프로그램 배포 인증키(컨테이너 배포 권한 토큰)까지 확보했다.

지난달 29일 북한 해커들은 바이낸스 엔지니어 C의 컴퓨터에 로그인한 뒤 A의 인증키를 사용해 자신들이 만든 프로그램을 배포, 공격을 감행했다. 이들은 우선 협정세계시(UTC) 기준 오후 8시5분(한국시간 30일 오전 5시5분)부터 4분간에 걸쳐 리플(XRP) 2억3346만개를 우선 무단 인출하고, 이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4420만개를 송금했다. 이어 비트코인 1만8270개와 이더리움 2961.9개도 탈취했다.

이더리움 네트워크 공격 과정에서는 ‘EIP-7702’라는 승인 권한을 악용해 미리 준비한 50개의 사전 서명으로 자산인출에 대한 위임 인증을 받았다. 바이낸스는 공격 시작 약 4시간 만인 30일 0시10분(한국시간 오전 9시10분) EIP-7702 위임 코드를 초기화해 추가 유출을 차단했지만, 이미 상당량의 가상화폐가 탈취된 이후였다.

바이낸스는 이번 사건 이후 침해된 지갑과 사내 AI 도구를 재건했고, 외부 독립기관과 보안 감사를 진행하고 있다.

이번 사건으로 영향을 받은 가상자산은 총 63억4000만달러(8조4000억원) 규모이며, 이 가운데 28억5000만달러(약 3조8000억원)는 거래소·발행사 공조를 통해 동결되거나 차단됐다. 이번 사건으로 인한 손실분은 바이낸스의 자체 보유 자금과 ‘이용자자산보호기금’(SAFU), 선물 보험기금 등을 동원해 98% 이상 채워넣었다.

바이낸스는 보고서에서 이번 사건을 계기로 AI 기반 감지 기술 투자를 확대하고 주요 AI 기업과 함께 가상자산 환경의 AI 보안 연구기금 조성을 추진하고 있다고 밝혔다. 또 올 한 해 북한과 연계된 것으로 의심되는 사이버 위협 사례 57건을 탐지하고 차단해왔다고 덧붙였다.

1000개 지갑에 3000번 송금…北 해커, 바이낸스 탈취금 ‘2차 세탁’ 돌입

https://biz.heraldcorp.com/article/10923389

Google News 에서 헤럴드경제 팔로우