바이낸스 침해 경로 5~6개월에 걸쳐 구축 — 가짜 채용·사회공학이 사내 도구까지 이어졌다

바이낸스가 3일 공개한 예비 조사 결과는 이번 침해를 단발성 사고로 보지 않았다. 공격자들은 사회공학과 가짜 채용 면접, AI를 엮어 5~6개월에 걸쳐 경로를 만들었다. 6월에는 지갑 개발·운영팀 직원 한 명이 AI 코딩 도구를 설치하려다 변조된 설치 파일을 내려받았다. 보안팀이 이상 징후를 찾아 기기를 교체하고 인증 정보를 바꿨지만, 그 전에 해당 직원의 담당 업무와 동료 정보가 이미 공격자에게 넘어가 있었다. 9월에는 다른 엔지니어가 채용 플랫폼에서 가짜 구인 제안을 받았고, 인사 담당자와 회사 대표로 행세한 상대가 면접을 진행했다. 면접 과제로 받은 코드 저장소에 악성 코드가 들어 있었다.

10월 20일 공격자들은 침해된 기기에서 내부 AI 도구를 이용해 지갑 관련 직원 두 명의 기기에 접근했고, 10월 30일에는 탈취한 자격 증명과 컨테이너 배포 권한으로 지갑 서명 서비스에 접근해 자산 이전 거래를 실행했다. 사람(직원 기기)→절차(채용)→내부 도구가 차례로 연결된 구조다. 바이낸스는 악용된 내부 AI 도구를 재구축하고 접근 통제를 강화했으며, 독립 보안 업체의 추가 검토와 AI 기반 위협 탐지·개발 환경 보안 투자, 보안 연구 기금을 준비한다고 밝혔다. 자오창펑은 3일 옥스퍼드 유니언 대담에서 이번 공격은 막을 수 있었고 일부 직원이 기본 운영 보안 절차를 지키지 않았다고 말했으며, AI 연구소·법 집행기관·보안 전문가의 협력을 요청했다.

이용자가 볼 지점은 두 가지다. 하나는 수법이다. 채용·면접을 빌려 '과제 코드'나 '설치 파일'을 받게 만드는 방식은 개인에게도 그대로 쓰인다. 출처가 확인되지 않은 코드 저장소·설치 파일·압축 파일을 자산 접근 정보가 들어 있는 기기에서 열지 않는 것이 기본이다. 다른 하나는 보상 지표의 성격이다. 바이낸스가 밝힌 98%는 영향을 받은 자산을 자체 자금으로 보충한 비율로, 탈취 자산을 동결하거나 회수한 금액과는 다른 지표다. 거래소가 자체 재원으로 메우겠다는 약속은 그 회사의 지급 능력과 정책에 달린 것이어서, 제도로 보장된 보호와 구분해 읽어야 한다.