가짜 채용 피싱? 바이낸스, 북한 연관 공격 전체 사슬 공개

星球君的朋友们

Odaily资深作者

2026-11-04 11:29 (UTC+8)

이 기사는 약 3590자로, 전체를 읽는 데 약 6분이 소요됩니다

개발자를 겨냥한 '완벽한 면접' 사기극.

AI 요약

펼치기

핵심 관점: 바이낸스는 10월 29일 북한 연관 해커 조직이 감행한 다단계 복합 공격을 공개했으며, 약 63억 4천만 달러 규모의 자산이 영향을 받았다. 바이낸스는 전액 손실을 부담하고 98%의 토큰 보충을 완료했으며, 동시에 보안 체계를 전면 업그레이드했다.
핵심 요소:
1. 공격자는 공급망 악성코드, 가짜 채용 면접 사회공학 공격, 내부 AI 도구 및 단말기 침입을 통해 최종적으로 지갑 서명 서비스에 비인가 접근했으며, EIP-7702 승인 메커니즘을 이용해 자산을 이체했다.
2. 탈취된 자산에는 2억 3346만 XRP, 약 97만 500 SOL, 4420만 OP, 18270 BTC 및 2961.9 ETH가 포함되며, 약 28억 5천만 달러가 동결 또는 차단되었다.
3. 바이낸스는 손실 금액의 100%를 초과하는 자금을 예비해 손실을 보상했으며, 10월 31일 기준 98%의 영향받은 토큰이 보충되어 준비금 증명 페이지에서 확인할 수 있다.
4. FBI는 조선민주주의인민공화국이 이번 사건에 책임이 있다고 판단했다. 2026년 바이낸스는 북한 연관 사이버 위협 의심 사례 57건을 탐지하고 차단했다.
5. 바이낸스는 영향받은 지갑 시스템과 내부 AI 도구를 재구축하고, 기기를 교체하며, 관련 자격 증명을 비활성화했고, AI 행위 이상 탐지 및 지갑 리스크 통제를 강화했다.
6. 향후 독립 제3자 사이버 보안 감사를 초청하고, AI 보안 투자를 확대하며, 보안 연구 기금을 조성해 업계 협력을 추진할 예정이다.

원문은 바이낸스 공식에서 발췌

2026년 10월 29일, 바이낸스에서 심각하고 매우 복잡한 보안 사고가 발생했습니다. 이는 일어나지 말았어야 할 일이었습니다. 이번 사건으로 사용자, 파트너 및 업계 전체에 초래된 우려, 영향 및 불확실성에 대해 깊이 사과드립니다.

사용자 보호는 우리의 최우선 책임입니다. 도난 자금으로 인한 재정적 영향은 사용자에게 전가되지 않고 바이낸스가 부담합니다. 우리는 손실 금액의 100%를 초과하는 자금을 손실 보전을 위해 예치해 두었습니다. 2026년 10월 31일 기준, 영향을 받은 토큰 자산 중 98%가 보충되었으며, 이는 당사의 준비금 증명 페이지에서 확인할 수 있습니다. 우리는 아직 보충되지 않은 유동성이 낮은 자산을 매입하고 있습니다.

이번 사건은 약 63억 4천만 달러의 디지털 자산에 영향을 미쳤습니다. 본 업데이트 기준, 약 28억 5천만 달러의 디지털 자산이 동결 또는 차단되었으며, 구체적인 금액은 여전히 확인이 필요하고 시장 가격 변동의 영향을 받을 수 있습니다.

우리는 즉시 사건 확산을 저지하고 관련 시스템을 강화하기 위한 조치를 취했습니다. 이번 공격에서 악용된 것으로 확인된 진입점을 폐쇄했습니다. 공격 경로에 관련된 시스템은 재구축하거나 교체했습니다. 또한 더욱 엄격한 기기 통제를 시행하고, 지갑 서비스 위험 통제를 강화했으며, AI 기반 행동 이상 탐지 범위를 확대했습니다.

이것은 현재까지 파악한 정보와 완료된 개선 사항을 소개하는 당사의 초기 보고서입니다. 조사는 계속 진행 중이며, 조사 결과는 추가적인 독립 검토를 거칠 예정입니다. 악의적인 행위자가 관련 정보를 이용해 공격을 계획하는 것을 방지하기 위해 일부 기술적 세부 사항은 계속 비밀로 유지됩니다. 우리는 독립 보안 회사를 초청하여 추가 검토를 진행하고 있습니다.

연방수사국(FBI)이 발표한 최신 정보에 따르면, 조선민주주의인민공화국이 이번 사건의 책임이 있습니다.

우리가 이 초기 보고서를 발표하는 이유는 업계가 함께 학습하는 것이 보안 수준 향상에 도움이 되기 때문입니다.

10월 29일에 발생한 일

공격은 여러 네트워크로 빠르게 확산되었습니다.

공격자는 내부 지갑 서명 서비스에 대한 무단 접근을 이용하여 정상적인 출금 절차 외부에서 거래를发起했습니다.

UTC 기준 20:05부터 20:09 사이에 5개의 Binance 핫월렛에서 공격자가 통제하는 주소로 2억 3,346만 XRP가 전송되었습니다.

Solana 및 Optimism의 Binance 핫월렛에서 공격자가 통제하는 주소로 약 970,500 SOL과 4,420만 OP가 전송되었습니다.

이후 Binance는 대규모 이체에 대한 내부 경보를 받고 즉시 조사에 착수했습니다.

Binance 핫월렛에서 공격자가 통제하는 주소로 18,270 BTC가 전송되었습니다.

이어서 공격자는 서명 서비스를 이용해 이더리움의 EIP-7702 위임 메커니즘을 악용했습니다. EIP-7702는 계정이 개인 키를 노출하지 않고도 특정 실행 권한을 스마트 컨트랙트에 위임할 수 있게 해줍니다. 이번 사건에서 공격자는 이 메커니즘을 이용하여 자신이 통제하는 스마트 컨트랙트에 Binance 핫월렛에 대한 일부 실행 권한을 부여했습니다.

Binance는 즉시 여러 확산 방지 조치를 시작했으며, 여기에는 추가 자산 유출을 제한하기 위한 출금 일시 중지, 파트너와 협력한 영향받은 토큰 동결, 무단 권한 취소를 위한 조치 등이 포함됩니다. 이러한 노력으로 총 28억 5천만 달러 상당의 자산이 동결되었습니다.

그러나 출금 일시 중지만으로는 모든 무단 자산 이체를 막을 수 없었습니다. 악성 EIP-7702 위임은 이미 온체인에 존재했으며, Binance의 정상적인 출금 인프라와 독립적으로 작동했습니다. 공격자는 50건의 서명 거래를 제출하여 계정 nonce를 조작하고 악성 위임 권한을 설정했습니다. 위임이 설정된 후 공격자는 Binance의 정상적인 출금 인프라와 독립적으로 자산을 계속 이체할 수 있었습니다. Binance는 추가 거래를 통해 이러한 온체인 권한을 취소해야 했습니다.

확산 방지 과정에는 다른 기술적 복잡성도 있었습니다. 해당 핫월렛이 다자간 계산(MPC)을 사용하기 때문에 악성 EIP-7702 위임을 즉시 취소하는 데 사용할 수 있는 단일 개인 키가 존재하지 않았습니다. 따라서 팀은 전용 취소 절차를 수립하고 실행했으며, 이에는 추가 시간이 필요했습니다. 또한 출금을 일시 중지하고 핫월렛 서비스를 종료한다고 해서 기존 온체인 위임이 자동으로 무효화되는 것은 아닙니다.

이러한 과제로 인해 무단 자산 이체를 완전히 차단하는 데 필요한 시간이 연장되었습니다. 우리는 사건 대응 프로세스, 서명 정책 적용 범위 및 핫월렛 통제 조치를 검토하고 있으며, 향후 위협에 더 빠르게 대응할 수 있는 기회를 모색하고 있습니다.

마지막 무단 이체는 2,961.9 ETH로, UTC 기준 23:56에 온체인에서 완료되었습니다. 해당 거래는 이전에 브로드캐스트되어 대기 상태였으며, 이후 최종 확인되었습니다. 이후 추가 무단 이체는 관찰되지 않았습니다.

2026년 10월 30일 UTC 기준 00:10에 Binance는 Binance14 핫월렛에서 제로 주소로 새로운 위임을 실행하여 EIP-7702 위임 코드를清除했습니다.

공격 준비

현재 조사에 따르면, 이는 단일한 고립된 보안 취약점이나 단순한 피싱 사건이 아닌 복잡한 다단계 작전입니다. 공격자는 가짜 채용 면접을 통한 사회공학 공격, 악성코드 다운로드, 내부 AI 도구 침해, 단말기 침해, 그리고 정교한 거래 위임 방식을 포함한 여러 기술을 결합하여 사용했습니다.

2026년 6월 — 공급망 공격. Wallet DevOps 엔지니어 A가 검색 엔진에서 인기 있는 AI 프로그래밍 도구를 검색한 후, 해당 도구를 설치하기 위해 변조된 Homebrew 설치 프로그램을 다운로드했습니다. 우리 보안 팀은 이상 징후를 탐지한 후, 선제적 보안 조치로 기기를 교체하고 모든 관련 자격 증명을 순환했습니다. 그러나 엔지니어 A의 신원과 지갑 인프라 팀의 관련 동료 정보는 이미 해커에게 노출되었습니다.
2026년 연중, Binance 보안 팀은 조선 관련 의심 사이버 위협 57건을 탐지하고 차단했습니다. 이러한 공격은 국가 지원 행위자가 암호화폐 업계에 지속적인 위협을 가하고 있음을 보여줍니다. 그들이 사용하는 수단으로는 가짜 구직 면접, 인기 개발 도구로 위장한 악성코드, 침해된 소프트웨어 패키지 및 브라우저 확장 프로그램, 가짜 화상 회의 앱, 자격 증명 탈취 또는 원격 접근 악성코드 배포를 목표로 하는 사회공학 활동 등이 있습니다.
2026년 9월 — 사회공학 공격. 소프트웨어 엔지니어 B가 정식 구인 플랫폼을 통해 프로젝트 디렉터라고 자칭하는 사람과 연락했습니다. 소프트웨어 엔지니어 B의 해당 플랫폼 프로필에는 Binance 근무 경력이 기재되어 있었습니다. 프로젝트 디렉터라고 자칭한 사람은 인사 담당자라고 자칭하는 사람이 주관하는 1차 면접을安排하고, 이어서 가상의 회사 CEO라고 자칭하는 사람과의 2차 면접을安排했습니다.
1차 면접에서 인사 담당자라고 자칭한 사람은 소프트웨어 엔지니어 B와 실시간 화상 면접을 진행했습니다. 신뢰를 구축하기 위해 면접자는 자신의 소셜 미디어 계정을 공유했으며, 여기에는 해당 플랫폼에 게시된 개인 사진과 영상이 포함되어 있었습니다. 이 수법은 이전에 확인된 사회공학 공격보다 더욱 정교하고 기만적이었습니다.
2차 면접은 인기 소셜 채팅 앱에서 진행되었습니다. 면접이 끝날 무렵, 엔지니어 B는 악성 코드 저장소가 포함된 "과제"를 업무용 컴퓨터에 다운로드하라는 요청을 받았습니다. 해당 코드 저장소의 악성 코드는 설정 과정에서 실행되었고, 일련의 무단 활동을 시작했습니다.
해당 악성코드는 정품 개발 도구 구성 요소를 악성 버전으로 대체하여 명령을 실행하고 공격자가 통제하는 외부 서버와 통신을 구축하는 등 정교한 난독화 및 회피 기술을 사용했습니다. 당시 단말기 보안 보호 도구는 이 제로데이 악성코드를 탐지하지 못했습니다. 공격자는 또한 악성 활동을 은폐하고 침해 흔적을清除하기 위한 조치를 취하여 탐지 및 후속 조사를 더욱 어렵게 만들었습니다.
스크립트는 난독화 기술을 적용하여 보안 탐지를 회피하고 다음 단계를 실행했습니다.

/opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_ 생성

pyenv_ 수정 → 3,414 B

.../libexec/pyenv (3,344 B) 삭제 ← 유효한 pyenv 제거

pyenv_ → pyenv (3,414 B) 이름 변경 ← 악성 버전으로 교체

/opt/homebrew/bin/pyenv (3,414 B) 삭제

ln (새 심볼릭 링크 생성) + zsh 시작

2026년 10월 20일 — 내부 AI 도구를 발판으로 악용. 공격자는 엔지니어 B의 침해된 컴퓨터를 이용하여 내부 AI 도구를 통해 Wallet DevOps 엔지니어 A와 또 다른 지갑 소프트웨어 엔지니어 C를 통제했습니다. 공격자는 곧 Wallet DevOps 엔지니어 A의 컴퓨터에 컨테이너 배포 권한 토큰이 있음을 발견했습니다.
2026년 10월 29일 — 지갑 서명 작업 침투. 10월 29일 17:15부터 19:56 사이에 공격자는 소프트웨어 엔지니어 C의 컴퓨터에 로그인하여 Wallet DevOps 엔지니어 A로부터 탈취한 자격 증명을 사용하여 컨테이너를 배포하고 악성 스크립트를 실행하여 공격을 시작했습니다.