체이널리시스, '바이낸스 해킹' 북한 허위면접 수법 분석

북한 해커들이 바이낸스(Binance) 직원을 노린 가짜 면접 수법으로 64억달러(약 8조 5600억원)를 탈취하기 전부터 같은 수법의 공격을 수십 건 벌인 것으로 나타났다. 지난 18개월간 유사 수법의 피해액은 1430만달러(약 191억4000만원)를 넘었다. 표적은 개인 지갑부터 탈중앙화자율조직(DAO)까지 다양했다.

체이널리시스는 바이낸스 초기 조사 결과를 토대로 이 같은 분석을 4일 공개했다.

3일 공개된 바이낸스 조사 결과에 따르면 공격은 9월 한 엔지니어가 합법적인 구인 플랫폼으로 면접 제안을 받으면서 시작됐다. 공격자들은 수주에 걸쳐 신뢰를 쌓았고 직원은 가상의 회사와 두 차례 면접을 본 뒤 악성코드가 든 면접 과제를 내려받으라는 요청을 받았다. 이후 공격자들은 악성코드를 배포하고 내부 인공지능(AI) 도구 접근 권한을 악용해 바이낸스 시스템 안쪽으로 더 깊이 들어갔다.

침입 방식 자체는 새롭지 않았다는 게 체이널리시스의 분석이다. 북한 공격자들은 이른바 '전염성 면접' 수법으로 높은 접근 권한을 가진 직원을 반복해 노려 왔다. 직원의 인증 정보와 권한을 악용해 조직 내부 시스템에 들어가야 하기 때문이다.

체이널리시스는 유사한 북한 연계 가짜 면접과 악성코드 수법의 피해 사례를 온체인 흔적으로 추적해 왔다. 표적에는 개인 가상자산 보유자, 개인 지갑, 조직, 프로토콜이 포함됐고 피해액은 수만 달러에서 수백만 달러에 이르렀다. 바이낸스 사건은 이 일련의 사례 가운데 가장 최근에 발생했다. 톰 맥라우스 체이널리시스 선임 인텔리전스 애널리스트는 "개인 차원에서 지갑 침해로 이어진 다른 채용 면접 관련 사례를 수십 건 확인했다"고 설명했다.

맥라우스는 북한 공격자들이 연속적인 침해를 거치며 수법을 완성하고 발전시켜 왔다고 말했다. 체이널리시스는 소규모 표적으로 다듬은 접근 방식이 더 가치 높은 피해자를 노리는 역량이 됐을 가능성이 있다고 본다. 바이낸스 공격도 수개월, 어쩌면 수년에 걸친 준비와 연습의 결과일 수 있다는 분석이다. 악의적인 면접 뒤 피해자의 클라우드 저장소에서 지갑 개인키가 탈취된 사례도 여러 건 관찰됐다. 일부 피해자는 시드 구문을 감염된 기기에 내려받은 적이 없다고 보고했다.

체이널리시스는 민감한 인프라에 접근할 수 있는 직원이 이런 공격에서 특히 가치 높은 표적이라고 밝혔다. 수법이 진화하는 만큼 조직이 기존 사이버보안 통제를 넘어 이런 활동을 가능하게 하는 금융 인프라까지 고려해야 한다는 입장이다. 블록체인 분석을 사이버보안 조치, 위협 인텔리전스와 결합하면 탈취 자금을 식별하고 동결할 수 있다고 설명했다. 바이낸스 사건 조사는 진행 중이며 체이널리시스는 앞으로 며칠간 탈취 자금이 계속 이동할 것으로 예상한다.

체이널리시스는 10월 29일까지 보고된 가상자산 해킹 피해액의 약 89%가 북한 연계로 추정된다고 분석했다. 2021년 15%에서 크게 오른 수치다. 북한 연계 해킹의 건당 평균 피해액도 2021년 5065만달러에서 올해 1억8565만달러로 늘었다. 2021년부터 올해 10월 29일까지 전체 해킹 피해액 223억4000만달러(약 29조6072억원) 가운데 북한 연계는 132억4000만달러(약 17조5470억원)로 59%를 차지했다.

미국 연방수사국(FBI)은 10월 31일 북한 해킹 조직 트레이더트레이터(TraderTraitor)를 바이낸스 탈취의 배후로 공식 지목했다. 이 조직은 지난해 2월 약 15억달러가 탈취된 바이비트(Bybit) 해킹의 배후로도 지목된 바 있다. 북한은 연루 의혹을 부인하고 있다.

가짜 채용을 앞세운 수법은 정부 차원의 경보 대상이기도 하다. VOA 보도에 따르면 미국, 일본, 호주, 독일의 7개 수사기관과 정보기관은 북한 조직 워터플럼(Waterplum)에 대해 공동 경보를 발령했다. 워터플럼은 2025년 12월께부터 2026년 7월까지 100개 이상 나라에서 최소 3만대의 컴퓨터를 침해했다. 7000개가 넘는 지갑에서는 자금이나 계정 정보를 빼내 최소 1071만달러(약 166억6000만원) 상당을 북한으로 옮겼다.