직원 노트북 통한 침입 가능성…“개인 키 유출 증거 없어”
피해금액 63억달러 추산…손실 전액 보전 방침
세계 최대 가상자산 거래소 바이낸스에서 발생한 약 63억달러 규모의 해킹 사건이 북한 해킹 조직의 소행이라는 분석이 나왔다. 지난해 바이비트에서 약 15억달러를 탈취한 조직이 이번 공격의 배후로도 지목됐다. 피해 규모는 바이비트 사건의 4배를 웃도는 역대 최대 수준이다.
29일(현지시간) 미국 블록체인 분석업체 TRM랩스에 따르면 북한 해킹 조직 ‘트레이더트레이터(TraderTraitor)’가 이번 공격을 주도한 것으로 분석됐다. TRM랩스는 블록체인 거래기록과 외부 정보를 종합한 판단이라며 높은 확신을 나타냈다. 다만 바이낸스는 법집행기관과 함께 공격자의 신원을 확인 중이라고 밝혔다.
TRM랩스가 추산한 탈취액은 약 63억6000만달러다. 공격자는 이더리움과 비트코인 등 10개 블록체인에 걸친 바이낸스 지갑에서 자산을 빼냈으며, 대부분의 자산 이동은 약 20분 만에 이뤄졌다. 공격 준비는 최소 36시간 전부터 시작됐다. 자금 출처를 숨기는 서비스인 토네이도캐시를 통해 소액 자금을 조달하고 공격을 사전에 시험한 정황도 포착됐다.
TRM랩스는 미리 확보한 서명으로 짧은 시간에 거래를 실행한 점 등이 과거 북한 연계 공격과 유사하다고 설명했다. 트레이더트레이터는 미국 연방수사국(FBI)이 지난해 2월 바이비트 해킹의 배후로 지목한 조직이다. 당시 FBI는 북한이 약 15억달러 상당의 가상자산을 탈취했다고 발표했다.
침입 경로로는 직원의 업무용 기기가 거론됐다. 바이낸스는 초기 조사에서 개발·운영 담당 엔지니어의 노트북이 침해돼 공격자가 내부 서비스 실행 환경에 접근하고 승인되지 않은 출금 거래를 요청했을 가능성이 있다고 밝혔다. 지갑의 개인 키가 유출됐다는 증거는 발견하지 못했으며, 조사를 마친 뒤 구체적인 원인을 공개하겠다고 덧붙였다.
바이낸스는 피해 규모를 약 63억달러로 추산하고 업계 파트너들과 협력해 약 30억달러의 자산을 블록체인상에서 동결했다고 밝혔다. 이용자 보호기금(SAFU)과 회사 자금으로 손실을 전액 보전할 방침이다. 이날 오후에는 입금이 정상 운영 중이며, 출금 서비스와 관련 주소의 보안을 개선해 향후 48시간 안에 출금을 재개할 예정이라고 안내했다.
북한의 가상자산 탈취 수법이 AI를 통해 정교해지고 있다는 분석도 나왔다. TRM랩스는 8월 발표한 보고서에서 올해 AI 범죄 보고서에서 북한 연계 IT 인력이 AI로 신원을 꾸미고 딥페이크 영상 면접을 활용해 기업에 취업하는 수법을 소개했다. 올해 상반기 북한 연계 가상자산 탈취액은 약 6억달러로 전체 피해액의 61%를 차지했다.
