요약:
암호화폐 거래소 바이낸스는 최근 보안 사고에 대한 예비 조사 결과를 10월 29일 발표했다. 바이낸스는 몇 달 간의 준비 끝에 공격자들이 먼저 악성코드, 가짜 채용, 바이낸스 내부 AI 도구를 사용해 지갑 팀에 접근했고, 최종적으로 지갑의 서명 서비스에 대한 무단 접근권을 얻어 약 63억4000만 달러 규모의 디지털 자산을 이체했다고 밝혔다.
바이낸스는 모든 손실은 바이낸스 자체가 부담할 것이라고 밝혔습니다. 영향을 받은 토큰 자산의 98%가 10월 31일 현재 보충되었습니다. 11월 3일 통보 기준으로 약 28억 5천만 달러의 자산이 동결되거나 차단되었습니다. FBI는 이번 공격을 북한과 관련된 사이버 공격으로 돌렸다.
엔지니어 A는 Google의 Homebrew 피싱 웹사이트에 속았습니다.
조사 결과 지갑팀의 엔지니어 A는 흔히 사용되는 AI 프로그래밍 도구를 설치하기 위해 검색엔진을 통해 홈브루 키워드를 검색한 후 공격자가 지불한 피싱 사이트를 클릭했고, 이로 인해 엔지니어가 변조된 홈브루 설치 프로그램을 다운로드한 것으로 나타났다.
바이낸스는 자사 보안팀이 당시 변칙적인 현상을 발견했으며 이후 엔지니어의 장비를 교체하고 관련 자격증명을 교체했다고 밝혔습니다. 그러나 이때 공격자는 이미 엔지니어의 직무와 지갑 인프라팀 동료들의 관련 정보를 알고 있었고, 해커는 이 방향으로 계속 공격을 가했다.
공격의 날짜는 2026년 6월로 거슬러 올라가지만 엔지니어 A가 직면한 문제는 심각한 결과를 가져오지 않았습니다. 다만 엔지니어 A가 월렛팀 동료들의 정보 유출을 유발해, 이후 공격자들이 월렛팀 구성원을 대상으로 공격할 수 있는 토대를 마련한 것뿐이다.
해커가 조작한 엔지니어 B의 채용 피싱:
9월, 공격자는 공식 구직 플랫폼을 통해 엔지니어 B에게 연락했습니다. 이 엔지니어의 공개 정보에는 Binance에서의 근무 경험이 언급되어 있습니다. 공격자들은 프로젝트 리더를 사칭하여 소위 인사 인터뷰와 회사 CEO 인터뷰를 주선했습니다. 공격자들은 신뢰 구축을 위해 소셜미디어 계정과 개인 사진, 동영상도 준비했다.
두 번째 인터뷰가 끝날 무렵 엔지니어 B는 직무 평가에 사용할 과제를 업무용 컴퓨터에 다운로드하라는 요청을 받았습니다. 이 저장소는 설치 중에 악성 프로그램을 실행하여 명령을 실행하고 공격자가 제어하는 서버에 연결하기 위해 기본 개발 도구인 pyenv의 구성 요소를 대체합니다.
바이낸스는 해당 악성 프로그램이 난독화, 탐지 회피, 흔적 삭제 등의 방법을 사용했으며 당시 단말기 보안 툴로는 악성 프로그램 탐지에 실패했다고 밝혔다. 물론, 결과로 볼 때, 바이낸스의 내부 보안 모니터링에서는 어떠한 이상 징후도 발견하지 못했기 때문에 이 악성 프로그램이 공격의 돌파구가 되었습니다.
내부 AI 도구가 발판으로 사용되어 서명 서비스가 손상되었습니다.
10월 20일까지 공격자들은 감염된 엔지니어 컴퓨터와 바이낸스의 내부 AI 도구를 사용하여 이전에 공급망의 공격을 받은 지갑 팀 엔지니어 A를 포함하여 다른 지갑 팀 엔지니어 2명의 기기를 제어했습니다.
그런 다음 공격자는 엔지니어 A의 컴퓨터에 컨테이너 배포 권한이 있는 토큰이 있음을 발견했습니다. 10월 29일 17:15-19:56 UTC에 공격자는 다른 지갑 엔지니어의 컴퓨터에 로그인하여 훔친 자격 증명을 사용하여 컨테이너를 배포하고 악성 스크립트를 실행했습니다. 공격자는 결국 내부 지갑 서명 서비스에 대한 무단 접근 권한을 얻어 바이낸스의 일반적인 출금 프로세스를 우회하여 이체를 시작했습니다.
바이낸스가 공개한 자산 이전에는 2억 3,346만 XRP, 약 970,500 SOL, 약 4,420만 OP, 18,270 BTC가 포함됩니다. 바이낸스가 대규모 이체로 인해 회사 내부에 경보가 발생했다고 주장하자 바이낸스는 조사에 착수하고 출금을 중단했습니다. 그러나 실제 상황은 바이낸스가 처음에는 지갑 서명 승인 메커니즘에서 문제를 발견하지 못했다는 것입니다. 그 결과, 공격자는 이상이 발견된 후에도 계속해서 여러 번의 성공적인 전송을 시작했습니다.
이들은 모두 고전적인 사기이지만 바이낸스 엔지니어들은 이를 식별하지 못했습니다:
엔지니어 A 또는 엔지니어 B가 겪은 피싱 또는 소셜 엔지니어링 행위는 최근 몇 년간 해커가 만들어낸 전형적인 사기 행위입니다. 검색 엔진에서 클릭당 지불 피싱 웹사이트를 사용해서는 안 됩니다. 최소한 엔지니어는 Google 검색에서 광고를 차단하려면 uBlock Origin을 설치해야 합니다.
엔지니어 B가 겪는 사기도 매우 흔합니다. 최근 몇 년 동안 해커들은 암호화폐 회사를 대상으로 채용 사기를 치기 위해 가짜 페르소나를 만드는 경우가 많습니다. 일부는 암호화폐 회사에 합류하는 반면, 다른 일부는 구직자에게 악성 창고를 다운로드하고 숙제를 제출하도록 요구합니다. 해커의 성공률도 매우 높습니다.
여기서 엔지니어 A와 엔지니어 B를 비난하는 것은 적절하지 않습니다. 결국 모든 사람에게 보안 엔지니어가 될 것을 요구할 수는 없지만 이는 바이낸스의 내부 보안 교육이 제대로 이루어지지 않았음을 의미하는 것 같습니다. 최소한 내부 보안 교육을 통해 이러한 전형적인 사기 행위를 교육하여 직원의 보안 인식을 향상시켜야 합니다.
그러나 바이낸스 해커가 암호화폐 업계 역사상 최대 규모의 공격을 감행하더라도 다른 암호화폐 회사와 암호화폐 엔지니어들은 계속해서 유사한 사기에 직면할 것으로 추정되며 암호화폐 회사의 사기는 앞으로도 계속될 것입니다.
댓글