북한 해커들은 가상화폐 거래소 바이낸스 해킹해 8조원 이상의 가상자산을 탈취한 것으로 드러난 가운데 이들이 지난 6월부터 5개월간 고도의 정교한 다단계 공격을 벌인 것으로 나타났다.
바이낸스는 3일(현지시간) 발표한 초기 조사 보고서에 따르면 이번 사건에 악성 소프트웨어 공급망 공격과 내부 AI 도구 해킹은 물론이고 사회공학 기법까지 동원됐다.
이들은 지난 6월 바이낸스의 가상화폐 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 먼저 감행했다.
바이낸스 보안팀은 당시 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신했다. 그러나 지갑 인프라팀 담당자들의 인적 정보가 결국 해커에게 노출됐다.
그로부터 약 3개월 뒤인 9월 북한 해커들은 구직 플랫폼에서 엔지니어 B에게 접근해 가짜 채용 절차를 진행했다. 이를 두고 바이낸스는 '사회공학적 공격'이라 표현했다.
1차 화상 면접 중 면접관은 B에게 자신의 사생활 사진이 담긴 사회관계망서비스(SNS) 계정을 공유하는 등 신뢰를 쌓기 위해 기만전술까지 동원했다.
2차 면접에서는 최고경영자(CEO)로 위장한 인물이 과제 수행해야 한다는 이유를 들어 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 내려받도록 했다.
이 악성코드는 당시 보안 도구에 감지되지 않는 '제로데이' 취약점을 이용해 정상 개발 도구를 악성 버전으로 대체했다.
지난달 20일 해커들은 감염된 B의 컴퓨터를 통해 사내 AI 도구를 악용할 수 있었다. 이후 A와 엔지니어 C에 대한 제어권을 차례로 얻어 A가 보유한 프로그램 배포 인증키(컨테이너 배포 권한 토큰)까지 손에 넣었다.
북한 해커들은 탈취 당일인 29일 C의 컴퓨터에 로그인하고 A의 인증키를 사용해 자신들이 만든 프로그램을 배포하는 식으로 공격을 감행한 것으로 드러났다.
해커들은 우선 협정세계시(UTC) 기준 오후 8시5분(한국시간 30일 오전 5시5분)부터 4분간에 걸쳐 리플(XRP) 2억3천346만 개를 우선 무단 인출했다. 이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4천420만 개를 송금했다. 또 비트코인 1만8천270개와 이더리움 2천961.9개를 이체했다.
특히 이더리움 네트워크를 공격하며 'EIP-7702'라는 승인 권한을 악용해 미리 준비한 50개의 사전 서명으로 자산인출에 대한 위임 인증을 받았다. 이런 수법으로 정상적인 출금 인프라를 우회한 것이다.
공격 시작 약 4시간 만인 30일 0시10분(한국시간 오전 9시10분) 바이낸스가 EIP-7702 위임 코드를 초기화해 추가 유출을 차단했지만 이미 엄청난 액수의 가상화폐가 탈취된 후였다.
이번 사건으로 가상자산 총 63억4천만 달러(8조4천억원) 규모가 영향을 받았다. 이 중 28억5천만 달러(약 3조8천억원)는 거래소·발행사 공조를 통해 동결되거나 차단된 상태다.
손실분은 바이낸스가 자체 보유 자금과 '이용자자산보호기금'(SAFU), 선물 보험기금 등을 동원해 98% 이상 벌충했다.
(사진=연합뉴스)