바이낸스와 데리빗 거래소는 목요일 보안 침해 이후 예방 조치로 암호화폐 파생상품 거래 플랫폼 시그널플러스와 연결된 API 키를 취소했다고 밝혔다. 두 거래소는 자체 시스템에는 영향이 없었다고 밝혔으며, 데리빗은 고객들이 시그널플러스를 통한 거래·모니터링·자동화를 이용할 수 없게 됐다고 경고했다.

바이낸스 공동창업자 이 허는 또한 거래소와 연동된 서드파티 플랫폼들에 보안 통제를 점검하고 의심스러운 활동을 모니터링하라고 촉구하며, 위협이 특정 한 회사를 넘어 확산됐다고 경고했다.

시그널플러스는 암호화폐 파생상품, 특히 옵션 거래를 위한 인프라를 제공하며, 전문 및 기관 트레이더들이 하나의 플랫폼을 통해 여러 거래소의 포지션을 관리할 수 있도록 한다.

시그널플러스는 X에 올린 글에서 공격이 서드파티 기술 공급업체의 담당자가 사용하는 텔레그램 계정이 침해된 데서 시작됐다고 밝혔다. 공격자는 해당 담당자를 사칭해 시그널플러스 엔지니어에게 가짜 마이크로소프트 팀즈 회의 초대장을 보냈고, 직원의 컴퓨터를 침해했다.

출처: 시그널플러스

회사는 공격자가 침해된 컴퓨터에서 잠복한 뒤 수요일 이른 시간 엔지니어의 접근 권한을 이용해 시그널플러스의 내부 네트워크를 공격했다고 밝혔다.

시그널플러스는 침입을 탐지하고 억제했으며, 총손실은 8만 2,000달러 미만이었고 피해 사용자들에게 전액 환급을 시작했다고 밝혔다. 회사는 일시적으로 서비스를 중단했으며, 보안 검토를 완료하고 패치를 적용한 뒤 앞으로 며칠 내 운영을 복구할 예정이다.

시그널플러스는 거래소 API 접근에 IP 허용 목록을 요구하지 않았다는 점도 인정했다. 회사는 “이러한 감독 소홀에 책임을 지겠다”고 밝히며 API 접근 요건을 강화하고 내부 보안 통제를 강화하겠다고 덧붙였다. IP 허용 목록은 사전에 승인된 인터넷 주소 목록으로 API 접근을 제한하는 보안 조치다.

관련 기사: 비트마트 창업자, 새 해킹 이후 보안팀이 ‘심각한 인력 부족’ 상태였다고 밝혀

시그널플러스 공격, 63억 달러 규모 바이낸스 해킹 이후 발생

시그널플러스 사건은 바이낸스가 10월 29일 63억 달러 규모의 해킹 세부 내용을 공개한 지 며칠 뒤 발생했으며, 이 사건 역시 직원 컴퓨터 침해와 관련이 있었다.

바이낸스의 사후 분석에 따르면, 공격자들은 채용 담당자를 사칭해 한 엔지니어가 코딩 과제로 위장한 악성 파일을 다운로드하도록 속였다. 이후 공격자들은 침해된 컴퓨터를 이용해 추가 시스템에 접근했고, 결국 거래소의 지갑 인프라를 침해했다.

바이낸스 공동 창립자 이허는 화요일 거래소가 2026년에 북한 연계로 의심되는 사이버 위협 57건을 탐지하고 차단했다고 말했다. 여기에는 사기성 채용 면접, 악성 소프트웨어 패키지, 직원 자격 증명을 탈취하려는 시도가 포함됐다.

매거진: 탈중앙화된 전화 네트워크가 AI 혁명을 뒷받침할 수 있을까?