가짜 채용 면접 한 번에 63억 달러, Binance를 뚫은 다섯 달

북한 연계 해킹 조직이 가짜 채용 면접으로 Binance 소프트웨어 엔지니어의 업무용 컴퓨터에 악성코드를 심었습니다. 그 기기에서 시작된 침해는 10월 29일 63억 달러 탈취로 이어졌습니다. Binance는 11월 3일 사고 보고서를 공개했고, FBI는 배후를 Lazarus Group과 연결된 TraderTraitor로 지목했습니다. 규모로는 암호화폐 거래소에서 나온 탈취 사고 가운데 최대 기록입니다.

공격은 면접 한 번으로 끝나지 않았습니다. 6월의 공급망 공격, 9월의 가짜 면접, 10월 20일 내부 AI 도구 침해, 10월 29일 탈취까지 다섯 달에 걸친 다단계 침해였습니다. Binance는 보고서에 "단일 침해나 단순한 피싱 사건이 아니다"라고 적었습니다.

개발자에게 이 사건이 중요한 이유는 시작이 흔하기 때문입니다. 채용 과제로 받은 저장소를 업무용 노트북에서 실행하는 일, 배포 권한 토큰을 개인 컴퓨터에 두는 일이 63억 달러짜리 경로의 첫 칸이었습니다.

TraderTraitor는 첩보 활동과 대규모 암호화폐 탈취를 함께 하는 조직입니다. IT 인력으로 위장해 서방 기업에 취업하거나, 채용 기업으로 위장해 개발자를 속이는 수법을 써 왔고 이번에는 뒤쪽 방식이 쓰였습니다.

6월의 Homebrew에서 시작된 다섯 달

출발점은 6월이었습니다. 한 엔지니어가 악성 Homebrew 설치본을 내려받았고, 보안팀이 악성코드를 탐지해 기기를 교체하고 영향받은 자격 증명을 모두 갱신했습니다. 여기까지만 보면 잘 막은 사고입니다. 업무용 기기에는 회사 계정과 저장소 접근 권한이 함께 들어 있어서, 기기 한 대가 뚫리면 그 기기가 닿는 모든 시스템이 같은 사고 범위에 들어옵니다.

문제는 그 과정에서 남은 정보였습니다. 보고서는 엔지니어 A의 역할과 지갑 인프라팀 동료 정보가 공격자에게 노출됐다고 적었습니다. 침해를 막은 뒤에도 공격자는 다음 표적의 이름과 자리를 알게 된 셈입니다.

두 번의 면접, 신뢰는 소셜미디어로 쌓았다

9월, 또 다른 소프트웨어 엔지니어가 정상적인 구직 플랫폼에서 프로젝트 책임자를 사칭한 인물의 연락을 받았습니다. 가짜 회사와의 연속 면접이 잡혔고, 첫 화상 면접에는 인사 담당자를 사칭한 사람이 나왔습니다.

이 면접관은 개인 사진과 영상이 올라간 소셜미디어 계정을 공유하며 신뢰를 쌓았습니다. Binance는 이 대목을 기존에 관찰된 사회공학보다 고도화되고 기만적인 수법이라고 표현했습니다. 두 번째 면접은 인기 소셜 채팅 앱에서 CEO 사칭자와 진행됐고, 막바지에 악성코드가 든 저장소를 과제라며 내려받게 했습니다.

설정 과정에서 코드가 업무용 컴퓨터에서 실행됐고, 그때부터 무단 활동이 시작됐습니다. 면접관이 보낸 과제물은 채용 절차의 일부처럼 보였기 때문에 실행을 막을 신호가 거의 없었습니다. 이 단계에서 공격자가 노린 것은 코드의 성능이 아니라 업무용 기기에서 무언가를 실행시키는 권한이었습니다.

3,344바이트가 3,414바이트로 바뀌었다

악성코드는 정상 개발 도구 구성요소를 악성 버전으로 교체했습니다. 실행 기록에는 pyenv 교체 과정이 그대로 남아 있습니다. 3,344바이트짜리 정상 pyenv를 지우고 3,414바이트짜리 pyenv_로 바꿔치기한 뒤, 심볼릭 링크를 새로 만들고 zsh를 실행했습니다.

공격자는 악성 스크립트를 숨기고 탐지를 피했고, Binance의 단말 보안 도구는 악성코드를 즉시 잡지 못했습니다. 170바이트 차이를 사람이 알아채기는 어렵습니다. 파일 크기와 해시를 기준으로 하는 무결성 검사가 없으면 이런 교체는 조용히 지나갑니다.

내부 AI 도구가 다음 문을 열었다

10월 20일, 공격자는 침해된 컴퓨터와 내부 AI 도구를 이용해 지갑 DevOps 엔지니어 A와 지갑 소프트웨어 개발자 C의 컴퓨터에 접근했습니다. 내부 도구가 신뢰된 경로였기 때문에 이 접근은 통과됐습니다.

엔지니어 A의 컴퓨터에서 컨테이너 배포 권한 토큰이 발견됐습니다. 10월 29일 공격자는 엔지니어 C의 컴퓨터에 접근해 그 토큰으로 컨테이너를 배포하고, 탈취 스크립트를 실행했습니다. 기기 한 대를 잡은 공격자가 조직 안에서 다음 기기로 옮겨 다닌 구조입니다. 내부 도구는 직원을 돕는 통로였고, 그 통로가 그대로 공격자 손에 들어갔습니다.

보고서는 침해 경로를 다섯 가지로 나눠 설명합니다. 가짜 면접을 통한 사회공학, 악성코드 다운로드, 내부 AI 도구 침해, 단말 장악, 그리고 고도화된 거래 승인 방식입니다. 세부 수법은 공개되지 않았지만, 권한을 훔치는 것만으로는 끝나지 않는다는 뜻입니다. 자금을 옮기는 마지막 단계에도 별도의 우회가 준비돼 있었습니다.

Binance는 침해된 지갑 시스템과 내부 AI 도구를 재구축하고, 영향받은 기기를 모두 교체하고, 해당 엔지니어들에게 할당된 자격 증명과 토큰을 폐기했습니다. 법 집행기관과 블록체인 분석 업체, 보안 연구자들과 탈취 자산 추적과 동결 작업을 진행 중이며 독립 보안 업체에 사고 검토를 맡겼습니다.

원문 반응

GeekNews에 옮겨진 해커뉴스 댓글은 책임을 엔지니어 개인에게 돌리지 않습니다. 가장 큰 허점은 엔지니어 C의 컨테이너 배포 토큰이며, 이 규모의 회사라면 배포는 CI로만 해야 한다는 지적입니다.

같은 댓글은 CI가 배포 속도와 신뢰성을 높이는 동시에 빌드 환경을 격리해 준다고 덧붙입니다. 임시 토큰이라도 PC에 복사해 붙여넣고 잊지 않고 지우는 절차에 기대면 안 되고, 수십억 달러를 옮길 권한은 회사 누구도 개인 자격으로 갖지 말아야 한다는 것입니다. 침투 테스트를 포함한 사전 검증이 사후 대응보다 싸다는 말도 나옵니다.

정리하면, 이번 사건은 사람이 속아서 뚫린 사고이면서 동시에 권한 설계가 무너진 사고입니다. 면접 과제 코드는 업무 기기와 분리된 가상 환경에서 열고, 배포는 CI만 하도록 옮기고, 내부 AI 도구에도 사람과 같은 권한 경계를 두는 세 가지가 남는 교훈입니다.

기기를 바꾸고 자격 증명을 갱신하는 것만으로 사고가 끝나지 않았다는 점이 이 보고서의 가장 불편한 대목입니다. 금액이 사상 최대라서 주목받았지만 첫 단계는 흔한 파일 하나였습니다. 개발 도구를 바꿔치기하는 공격이 통했다는 점은 이 사건을 남의 일로 두기 어렵게 만듭니다.

원문 보기

이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.