거래소 해킹, 기술 취약점보다 '사람'을 노린다 — 가짜 채용 면접과 자금 동결 체계

체이널리시스 글로벌서비스 부문의 알렉 제브릭 시니어 매니저는 2025년 2월 바이비트(약 15억달러)와 10월 바이낸스(약 64억달러) 사건이 모두 북한 트레이더트레이터 조직과 연관된 것으로 분석됐다고 밝혔다. 두 사건의 공통점은 침입 경로다. 바이낸스가 공개한 조사 결과에 따르면 공격자는 정상적인 구인 플랫폼으로 직원에게 접근해 가짜 면접을 진행하고, 악성코드가 담긴 과제를 내려받게 했다. 확보한 권한으로 외형상 정상적인 승인·이체처럼 보이게 자금을 빼냈다. 내부 시스템 접근 권한을 가진 직원이 표적이 된다는 점에서, 이는 거래소 한 곳의 기술 결함이 아니라 채용 절차와 권한 관리의 문제다.

차이는 탈취 이후다. 바이낸스 사건에서는 짧은 시간에 수천 건의 거래가 발생하고 이미 쓴 주소로 자금이 반복해 돌아오는, 이전에 관찰되지 않은 흐름이 나타났다. 체이널리시스는 이를 자동화가 사용됐을 가능성으로 본다. 1000개 이상 주소에 자금이 분산되고 3000건 이상의 입금이 발생했으며, 스테이블코인 동결을 피하려 디파이 예치 증표 토큰을 쓰거나 체인을 옮기는 방식도 확인됐다. 다만 기록은 공개 장부에 남아 추적 자체가 끊기지는 않는다.

추적과 동결은 다른 일이다. 스테이블코인은 발행사가 동결할 수 있어 서클·테더의 협력으로 지금까지 약 28억달러가 동결됐고, 자금 유출 시작 후 한 시간이 지나지 않아 동결이 시작됐다. 반면 BTC·ETH는 같은 방식으로 막을 수 없다. 해커가 탈취 직후 스테이블코인을 ETH로 바꾼 이유도 여기에 있다. 11월 2일 기준 10억달러 이상의 ETH와 약 14억2000만달러의 비트코인은 이동이 제한적이었다. 국경을 넘는 자금은 몇 분이면 움직이지만 사법공조조약(MLAT) 같은 법적 절차에는 더 긴 시간이 필요해, 사고 전에 국가 간 연락·협력 체계를 갖춰 두는 것이 중요하다는 지적이다.

이용자 입장에서 읽을 점은 두 가지다. 첫째, 웹3 관련 공격의 상당수가 웹2 환경에서 시작된다 — 채용 제안, 과제 파일, 사칭 메시지 같은 소셜엔지니어링이 첫 관문이다. AI 딥페이크로 사칭하거나 사기 메시지를 대량 생성하는 사례도 나타나고 있어, 출처가 불분명한 파일 실행과 신원 확인에 더 보수적일 필요가 있다. 둘째, 거래소에 맡긴 자산의 안전은 그 거래소의 내부 권한 관리와 사고 시 동결 협력 체계에 달려 있다. 자산 종류에 따라 동결 가능성이 다르다는 점도 이번 사건이 보여준 부분이다.