바이낸스, 10월 해킹 경로로 '가짜 채용 면접' 제시 — 직원 PC 감염에서 지갑 서명 시스템까지

바이낸스가 밝힌 경로는 시스템의 암호 해독이 아니라 사람을 겨눈 침투다. 먼저 지갑 개발·운영(DevOps) 엔지니어 A가 AI 코딩 도구를 설치하다가 악성코드가 심긴 홈브루 설치 파일을 받았다. 보안팀이 이상 징후를 잡아 PC를 교체하고 인증정보를 바꿨지만, 그 과정에서 담당 업무와 지갑 인프라 동료들에 관한 정보가 공격자에게 노출됐다.

9월에는 다른 소프트웨어 엔지니어 B가 표적이 됐다. 공격자는 실제 구직 플랫폼에서 회사 프로젝트 책임자를 사칭해 접근하고, 인사담당자를 가장한 화상 면접에 이어 가상의 CEO를 내세운 2차 면접까지 진행했다. 사진·동영상이 올라간 소셜미디어 계정으로 실재 인물처럼 보이게 만든 뒤, 면접 막바지에 '코딩 과제'라며 파일을 내려받게 했다. 업무용 컴퓨터에서 실행된 그 파일은 보안 프로그램 탐지를 회피하도록 설계된 악성코드였다. 10월 20일 공격자는 감염된 PC와 내부 AI 도구를 이용해 엔지니어 A·C의 컴퓨터까지 장악하고, A의 PC에서 컨테이너 배포 권한을 찾아냈다.

10월 29일에는 탈취한 인증정보로 서비스 컨테이너를 배포하고 악성 스크립트를 실행해 지갑 서명 시스템을 건드렸다. 정상 출금 절차를 거치지 않고 자산을 옮긴 수단은 이더리움의 계정 실행 권한 위임 기능인 EIP-7702였다. 개인키를 노출하지 않고도 외부 스마트계약에 계정 실행 권한을 맡길 수 있는 이 기능으로, 핫월렛의 일부 권한이 공격자가 통제하는 악성 계약에 위임됐다. 바이낸스가 출금을 중단한 뒤에도 블록체인에 이미 기록된 위임은 자동 해제되지 않았고, 핫월렛에 다자간연산(MPC)이 적용돼 단일 개인키만으로 즉시 철회할 수도 없었다. 별도 절차를 마련해 10월 30일 00시 10분(UTC) 위임을 해제했다는 설명이다.

이용자 입장에서 읽을 대목은 두 가지다. 하나는 수법이다. 구직 플랫폼·면접·과제 파일을 엮은 접근은 거래소 직원뿐 아니라 개발자·일반 이용자에게도 그대로 쓰인다. 모르는 상대가 보낸 실행 파일이나 설치 스크립트는, 면접·협업·에어드랍 어느 명목이든 평소 쓰는 기기에서 실행하지 않는 쪽이 안전하다. 다른 하나는 권한 위임이다. 지갑 연결 과정에서 서명하는 권한 위임·승인은 거래와 달리 한 번 체인에 기록되면 스스로 사라지지 않고, 해제는 별도 작업이다.