바이낸스, 가짜 면접과 AI 툴로 63억 달러 도난

9월에는 다른 엔지니어가 표적이 됐다. 채용에 관심 있는 척한 인물이 여러 차례 통화와 면접을 진행하고 소셜미디어 페이지를 공유하며 신뢰를 쌓은 뒤, 가짜 면접 과제를 내려받게 했다. 이 파일은 실제로는 악성코드였다. pyenv 실행 파일이 악성 버전으로 바뀌면서 공격자가 외부 서버와 통신하는 백도어를 확보했다. 바이낸스는 이 제로데이 악성코드를 당시 엔드포인트 보안 도구가 탐지하지 못했다고 밝혔다.

FBI는 공격자를 북한의 'TraderTraitor'라는 조직으로 지목했다. 보고서에 따르면 10월 20일까지 공격자들은 바이낸스의 내부 AI 툴을 이용해 6월에 감염된 첫 엔지니어와 세 번째 직원의 지갑에 대한 통제권을 얻었고, 10월 29일 세 번째 직원의 컴퓨터에 로그인해 공격을 개시했다.

피해 규모와 대응

바이낸스는 첫 무단 이체 후 약 2시간 뒤의 거래까지 막지 못한 이유로, 핫월렛이 다자간 연산(MPC) 방식이어서 악성 EIP-7702 승인을 즉시 취소할 단일 개인키가 없었기 때문이라고 설명했다.

리처드 텅 CEO는 어떤 이용자도 손실을 부담하지 않으며, 약 28억 5천만 달러 상당의 도난 자산이 동결되거나 차단됐다고 밝혔다. 영향받은 토큰의 98%는 보충됐고 나머지 2%도 처리 중이며, 출금은 대체로 재개됐다. 회사는 북한 연계 의심 사이버 위협 57건을 막았다고도 했다.

다만 이번 공격이 왜 통했는지는 분명하지 않다. 면접 중 코드를 내려받아 실행하게 하는 수법의 위험성은 수년 전부터 경고돼 왔다. 공격에 쓰인 내부 AI 툴이 무엇이고 어떻게 공격자에게 도움이 됐는지도 거의 알려지지 않았다.