바이낸스 해킹이 자산 탈취 당일 이뤄진 단발성 공격이 아니라, 수주간 내부에 잠복하며 접근 권한을 넓힌 결과일 수 있다는 분석이 나왔다.

공격자가 직원 기기를 발판으로 내부 시스템을 이동한 뒤 지갑의 거래 승인 인프라에 도달했다는 것이다.

비영리 사이버보안 단체 시큐리티 얼라이언스(Security Alliance·SEAL)는 5일 공개한 분석에서 북한 연계 해킹 조직 트레이더트레이터(TraderTraitor)가 지난달 29일 바이낸스 자산 탈취에 앞서 약 8주 동안 시스템에 접근했을 가능성을 제시했다.

다만 보고서에 기재된 최초 접근 시점은 ‘9월 중’으로 정확한 날짜가 특정되지 않았다. 약 8주라는 기간은 공개된 사건 경위와 위협 분석에 기반한 추정치다.

SEAL은 트레이더트레이터가 대상을 신중하게 선정하고, 사전 조사와 맞춤형 침투 경로 설계에 상당한 시간을 투입하는 조직이라고 평가했다.

최초 접근에 성공한 뒤에도 높은 수준의 은밀성을 유지하며 내부 시스템을 이동하고, 최종적으로 대규모 암호화폐 탈취를 시도한다는 설명이다.

가짜 채용 과정은 이러한 공격의 주요 진입 경로로 지목됐다. 공격자는 채용 담당자나 회사 임원을 사칭해 개발자에게 접근하고 여러 차례 면접으로 신뢰를 쌓은 뒤 악성 코드가 포함된 과제를 전달하는 방식을 사용했다.

SEAL은 실제 기업처럼 보이는 웹사이트와 온라인 활동, 제3자 채용 담당자까지 활용하는 사례를 관찰했다고 밝혔다.

바이낸스가 지난 3일 공개한 초기 조사 결과에도 유사한 경위가 담겼다. 회사에 따르면 지난 9월 한 소프트웨어 엔지니어가 정상적인 구직 플랫폼에서 채용 제안을 받은 뒤 두 차례 면접에 참여했다. 이후 업무용 컴퓨터에 내려받은 코딩 과제의 설정 과정에서 악성 코드가 실행돼 기기가 감염됐다.

침투 이후에는 내부 접근 범위가 확대됐다. 바이낸스는 공격자가 지난달 20일 감염된 기기와 내부 AI 도구를 이용해 지갑 관련 엔지니어들의 컴퓨터에 접근했다고 설명했다.

이어 29일에는 탈취한 인증 정보를 활용해 컨테이너를 배포하고 악성 스크립트를 실행했으며, 내부 지갑 서명 서비스에 대한 무단 접근을 통해 정상 출금 절차 밖의 거래를 발생시켰다고 밝혔다.

회사는 이보다 앞선 6월에도 지갑 운영 담당 직원의 기기에서 변조된 개발 도구 설치에 따른 이상 징후를 탐지했다고 공개했다.

당시 기기 교체와 관련 인증 정보 변경을 진행했지만, 공격자에게 직원의 역할과 지갑 인프라팀 동료 정보가 노출됐다는 설명이다.

다만 이러한 선행 활동과 이후 침투가 있었다는 사실을 곧바로 동일한 접근 권한이 수개월간 끊김 없이 유지됐다는 의미로 해석해서는 안 된다.

SEAL은 다른 암호화폐 해킹에서도 자산 탈취 이전 수주간의 접근 흔적이 나타났다고 분석했다. 보고서는 레이어제로 침투를 통한 켈프다오 사건과 비트겟 사건에서 각각 약 6주, AFX 사건에서는 약 3주의 활동 기간을 제시했다.

이는 사건별로 공개 자료와 분석을 바탕으로 산출한 기간으로, 모든 공격이 동일한 침투 방식으로 진행됐다는 뜻은 아니다.

공격 주체에 대해서는 블록체인 분석업체 체이널리시스도 트레이더트레이터를 지목했다. 이 회사는 바이낸스에서 탈취된 자금이 앞선 비트겟 탈취 자금과 온체인에서 섞인 정황을 주요 근거로 제시했다. 북한 측은 해킹 연루 의혹을 부인하고 있다.

이번 분석의 핵심은 최초 침투를 막는 것만큼 침투 이후 활동을 발견하는 능력이 중요하다는 점이다.

직원 기기 한 대의 감염이 내부 시스템 전체의 접근 권한 확대로 이어지는 과정에서 이상 접속과 권한 변경, 인증 정보 오용을 탐지할 기회가 있었다는 것이다.

바이낸스는 영향을 받은 지갑 시스템과 내부 AI 도구를 재구축하고, 관련 기기 교체와 인증 정보 폐기 등을 진행했다고 밝혔다.

독립적인 외부 보안 검토도 추진 중이다. 향후 조사에서는 정확한 최초 침투 시점과 접근 권한의 유지 범위, 자산 탈취 전까지 탐지를 피할 수 있었던 원인이 주요 확인 과제로 남는다.