바이낸스·바이비트 해킹 배후로 북한 연계 조직 지목 — 채용 위장 수법이 반복됐다

코인데스크는 5일(현지시각) FBI와 TRM랩스, 체이널리시스가 바이낸스 해킹을 북한 연계 조직 트레이더트레이터의 소행으로 판단했다고 보도했다. 이 조직은 북한 정찰총국 산하 해킹 조직으로 라자루스 계열에 속하며, 제이드슬리트·UNC4899·슬로피시스라는 이름으로도 불린다. FBI는 지난해 바이비트에서 15억달러가 빠져나간 사건의 배후로도 같은 조직을 지목했다. 2024년 일본 DMM 비트코인 사건에서는 지갑 소프트웨어 업체 직원에게 가짜 코딩 시험을 보내 악성코드를 심은 뒤 약 4503BTC를 탈취했다. 북한은 관여를 부인했다.

수법의 공통점은 시스템보다 사람을 먼저 노린다는 점이다. 지미 수 바이낸스 최고보안책임자에 따르면 공격자들은 지난 9월 소프트웨어 엔지니어에게 채용을 제안하고 여러 차례 면접을 진행한 뒤 악성코드가 담긴 과제를 내려받게 했고, 이후 직원의 업무용 컴퓨터와 내부 AI 도구를 악용했다. TRM랩스의 아리 레드보드는 이 조직이 침투한 뒤 수주간 기다렸다가 자금을 한꺼번에 옮긴다고 설명했다. 체이널리시스의 톰 맥라우스는 공격자들이 클라우드 로그인 정보와 암호화 키를 확보해 다중인증을 우회하며, 탈취 자금은 규제가 느슨한 지역의 장외거래업자를 통해 법정화폐로 바뀔 수 있다고 밝혔다. 체이널리시스는 바이낸스에서 빠져나간 자금이 지난 9월 비트겟 해킹으로 유출된 약 3억8800만달러와 합쳐진 점을 추적 근거로 들었다.

이용자가 볼 지점은 두 가지다. 하나는 거래소 침해가 개인의 비밀번호 관리와 무관하게 내부 경로로 일어난다는 것이어서, 한 곳에 전량을 두는 보관 방식 자체가 위험 요인이 된다. 다른 하나는 같은 수법이 개인에게도 쓰인다는 점이다. 채용·면접을 내세워 파일이나 과제 실행을 요구하는 접촉, 지갑 연결·서명을 유도하는 링크는 보낸 쪽의 신원과 무관하게 실행을 보류하는 편이 안전하다. 사고가 났을 때 보상 범위와 입출금 중단 여부는 해당 거래소 공지로만 확인된다.