바이낸스 CSO, 해킹 수개월 전 ‘가짜 면접’ 경고…63억 달러 털린 침투 경로와 겹쳤다

바이낸스가 63억 달러(약 8조 4,000억 원, 1달러 1,337원 기준) 규모 해킹을 당하기 수개월 전, 최고보안책임자(CSO) 지미 수(Jimmy Su)가 가짜 채용 면접으로 내부 침투를 노리는 수법을 구체적으로 경고했던 것으로 확인됐다. 코인텔레그래프에 따르면 수 CSO는 7월 인터뷰에서 직원이 기술 평가 과제를 실행하도록 유도하는 시나리오를 설명했다. 바이낸스 예비 조사가 밝힌 침투 경로 가운데 하나와 상당 부분 겹치는 내용이다.

해킹 이후 후속 상황도 이어지고 있다. 바이낸스는 영향받은 자산의 보전을 마쳤다고 밝혔고, ARK 인베스트먼트 매니지먼트(ARK Investment Management)의 리서치 디렉터는 올해 해킹 피해액이 온체인 수익 추정치를 넘어섰다고 지적했다. 디파이(DeFi·탈중앙화 금융) 예치금도 해킹 이후 줄었다.

7월 인터뷰에서 짚은 ‘가짜 면접’ 수법

코인텔레그래프에 따르면 지미 수는 7월 인터뷰에서 가짜 면접을 두고 “내부적으로 매우 걱정하는 부분”이라고 말했다. 공격자가 직원 한 명에게 맞춤형 일자리를 제안한 뒤 기술 평가의 일환으로 코드를 실행하게 만든다는 설명이다. 그는 “코드가 실행되면 기기가 장악되고 공격자는 인증 정보를 수집하기 시작한다”고 말했다. 이렇게 확보한 정보로 네트워크 더 깊숙이 침투할 수 있다는 것이다.

수 CSO는 보안 도구가 이런 함정을 놓칠 수 있는 이유도 짚었다. 기술 평가 과정에는 깃허브(GitHub)에서 코드 저장소를 내려받는 것처럼 겉보기에 정상적인 단계가 포함될 수 있다는 설명이다. 그는 “각 단계는 그 자체로 합법적이어서 백신 도구가 상당수 탐지하지 못할 수 있다”고 말했다. 이 경고는 7월 당시 보도에는 담기지 않았지만 역대 최대 규모의 암호화폐 거래소 해킹 이후 새로운 의미를 갖게 됐다.

바이낸스의 예비 조사 결과는 이 시나리오와 맞닿아 있다. 9월 바이낸스의 소프트웨어 엔지니어 한 명이 가짜 면접 도중 악성 코딩 과제를 업무용 컴퓨터에 내려받았다. 이 침해가 다단계 공격의 일부가 돼 10월 탈취로 이어졌다. 조사는 과제 설치 과정에서 실행된 악성코드가 난독화 등 회피 기법으로 엔드포인트(단말) 보안 도구를 피했다고 설명했다.

‘탐지는 회사 책임’…피싱 모의훈련과 채용 현장의 변화

수 CSO는 직원이 업무용 기기로 외부 일자리를 알아보는 상황을 통제하는 것이 회사의 책임이라고 밝혔다. 그는 “직원이 외부 기회를 탐색하는 것은 당연하다. 우리가 걱정하는 것은 회사 기기에서 그렇게 하는 것”이라고 말했다. 직원이 가짜 면접에 속았다면 “이를 탐지하는 것은 우리 책임”이며 해당 코드의 실제 실행을 막아야 한다고도 했다.

바이낸스는 이미 가짜 채용 담당자를 가정한 시험을 해왔다. 수 CSO에 따르면 내부 레드팀(모의 공격팀)이 3~4년 동안 매달 피싱 모의훈련을 진행했고, 통과하지 못한 직원에게는 보완 교육을 했다. 그는 “초기에는 보안 위생 수준이 아쉬웠지만 이 정도 시간이 지나면서 회사가 크게 개선됐다”고 말했다.

채용 업계에서도 변화가 나타난다. 채용 대행사 프루프 오브 서치(Proof of Search)의 케빈 깁슨(Kevin Gibson)은 “상당수 고객사가 후보자를 직접 만난 적이 있는지 대놓고 묻는다”고 말했다. 제3자 채용 담당자가 직접 만난 후보자가 유리하다는 설명이다. 그는 “암호화폐 업계에서는 수상한 일자리 제안이나 ‘잠깐 통화하자’는 요청이 수백만 달러짜리 공격의 첫걸음이 될 수 있다”고 말했다.

바이낸스는 올해 북한 연계가 의심되는 사이버 위협 57건을 차단했다고 밝혔다. 대략 5일에 한 건꼴이다. 10월 공격 이후에는 기기 통제를 강화하고 영향받은 지갑 시스템과 내부 AI 도구를 재구축했으며, 접근 통제를 강화하고 유출된 인증 정보를 폐기했다고 설명했다. 엔드포인트 보호와 개발 환경 보안 투자를 늘리고 독립 보안 전문가에게 사고 검토를 맡기겠다고도 했다. 일부 기술 세부 사항과 보안 조치는 비공개로 남는다.

보전 완료 선언 이후에도 남은 숫자들

크립토뉴스에 따르면 바이낸스는 11월 12일(현지시각) 10월 29일 보안 사고로 영향받은 자산의 보전을 마쳤다고 발표했다. 바이낸스는 “보안 사고로 영향받은 자산의 보전을 완료했다”며 고객의 인내에 감사를 표했다. 다만 이 발표는 공격자가 훔친 암호화폐를 모두 회수했다는 뜻은 아니다. 바이낸스가 시장과 장외거래 채널에서 대체 자산을 사들여 채운 것이다.

재원은 10월 31일 복구 업데이트에서 밝힌 세 가지다. 이용자 보호 기금 SAFU, 선물 보험 기금 일부, 회사 자금이다. 당시 바이낸스는 63억 4,000만 달러 넘는 회사 자금을 따로 배정했고 보전율은 90%였다. 11월 4일에는 약 98%까지 올랐으며, 나머지 토큰은 유동성이 낮아 확보에 시간이 더 걸렸다고 한다. 11월 12일 발표에는 세 재원의 최종 배분 내역이 없었고, SAFU를 약 10억 달러로 되돌리겠다는 약속의 이행 여부도 확인되지 않았다.

이용자 이탈 규모는 별도로 집계됐다. 10월 1일부터 31일까지 바이낸스의 이용자 보유 USDT는 7.95% 줄어 294억 8,000만 개가 됐고, 이더리움은 3.80% 줄어 365만 ETH였다. 반면 비트코인은 0.52% 늘어 69만 2,187BTC였다. 출금이 재개된 11월 1일 이후 처음 9시간 반 동안에는 출금 46억 4,900만 달러, 입금 10억 1,000만 달러로 약 36억 4,000만 달러가 순유출됐다. 온체인 분석업체 샌티먼트는 11월 6일 연구에서 공격 이후 11월 5일까지 바이낸스 관련 지갑에서 순 기준 약 2만 8,316BTC가 빠져나갔다고 집계했다. 다만 거래소 전체 비트코인 잔고 감소가 해킹 이전부터 시작됐다며 전체를 사고 탓으로 돌리지 말라고 경고했다.

바이낸스가 11월 12일 함께 공개한 준비금 증명 스냅숏에 대한 영지식 증명은 아직 나오지 않았다. 이전 검증 때는 11월 4일 스냅숏이 44개 토큰을 포함했고, 증명 생성에 50~60시간이 걸릴 것으로 예상됐다. 크립토뉴스는 미국 PCAOB 투자자 옹호실이 2023년 3월 자문에서 준비금 증명 보고서를 재무제표 감사와 구분했다고 전했다. 해당 자문에 따르면 이런 보고서는 특정 시점의 자산을 설명할 뿐 부채나 고객의 법적 권리를 입증하지 못할 수 있다.

올해 해킹 피해가 온체인 수익 넘어섰다

ARK 인베스트먼트 매니지먼트의 디지털자산 리서치 디렉터 로렌조 발렌테는 암호화폐 업계가 2017년 이후 온체인에서 번 1달러당 57센트를 해커에게 잃었다고 분석했다. 그는 목요일 X 게시물에서 “보안이 병목”이라고 썼다. 올해 들어 해킹으로 사라진 87억 달러가 2026년 연간 온체인 수익 추정치 56억 달러를 이미 넘어섰다는 차트도 공유했다.

2017년 이후 누적치로 보면 업계는 해킹으로 약 269억 달러를 잃었고 온체인 수익은 총 470억 달러였다. 바이낸스에서 도난당한 63억 달러만으로도 발렌테의 2026년 연간 온체인 수익 추정치를 웃돈다. 해킹 피해액이 연말까지 온체인 수익을 웃도는 것은 2020년 이후 처음이 될 전망이다.

올해는 고액 해킹이 잇따랐다. 9월에는 비트겟에서 3억 8,700만 달러, 리퀴드 네트워크에서 3억 2,000만 달러가 털렸다. 4월에는 드리프트 프로토콜이 2억 9,500만 달러 규모 공격을 받았다. 이런 보안 사고가 디파이에 대한 기관의 투자 의지를 짓누르고 있다. JP모건 애널리스트들은 4월 리서치 노트에서 브리지 보안을 업계의 오랜 과제로 꼽았다.

시장 지표에도 흔적이 남았다. 디파이라마 집계로 디파이 총예치금은 바이낸스 해킹이 발생한 10월 29일 859억 달러에서 목요일 774억 달러로 10% 가까이 줄었다.