북한 연계 해킹 누적 128억달러 — 코드 취약점보다 사람·운영 권한이 뚫렸다

TRM랩스는 10월 30일 분석에서 북한 연계 해커가 2017년 이후 훔친 가상자산을 128억달러로, 2026년 탈취액을 74억달러로 집계했다. 올해 10월까지 전 세계 가상자산 해킹 피해액의 85%가 여기서 나왔고, 그 대부분이 바이낸스 해킹이라고 봤다. FBI는 10월 31일 이 사건의 배후로 북한을 지목하고 해당 활동을 '트레이더트레이터'로 불렀다. 바이낸스는 영향받은 자산을 약 63억4000만달러로 추산하면서 손실을 이용자 대신 회사가 부담하겠다고 밝혔다.

바이낸스가 공개한 조사 결과를 보면 뚫린 곳은 코드가 아니라 사람과 운영 권한이었다. 6월 한 엔지니어가 AI 코딩 도구를 설치하려다 조작된 Homebrew 설치 파일을 내려받았고, 9월에는 구직 플랫폼을 통해 접근한 가짜 채용 담당자가 화상 면접 뒤 악성 코드가 심긴 개발 과제를 건넸다. 공격자는 감염된 장비와 내부 AI 도구를 거쳐 다른 직원 권한과 컨테이너 배포 토큰을 확보했고, 10월 29일 지갑 서명 시스템에 무단 접근해 정상 출금 절차를 거치지 않은 거래를 승인했다. TRM랩스 집계에서도 북한 귀속 해킹 100건 중 스마트컨트랙트 취약점 악용은 13건·탈취액 약 1%에 그치고, 개인키·서버·서명 시스템 같은 기반 시설 침해가 88%를 차지했다.

이용자가 바꿀 수 있는 건 거래소 내부 보안이 아니라 자기 계정과 장비의 조건이다. 해외 거래소의 손실 부담은 그 회사가 밝힌 방침이고, 국내 신고 사업자에게 적용되는 이용자 보호 절차와는 별개로 움직인다. 쓰는 거래소가 국내 신고된 사업자인지, 사고가 났을 때 공지와 보상 절차를 어디에 올리는지 먼저 확인해 두는 편이 낫다. 채용·협업 제안으로 받은 실행 파일이나 과제 코드를 본인 장비에서 돌리는 수법은 기업 직원뿐 아니라 개인에게도 같은 방식으로 들어온다.