바이낸스 63억 4천만 달러 도난 사건, 해커는 내부 AI 에이전트를 어떻게 활용해 침투했는가?

작성자: Mehab Qureshi(TheStreet)

번역: TechFlow

TechFlow导读：바이낸스가 공개한 역사상 최대 규모인 63억 4천만 달러의 암호화폐 유출 사건 조사 보고서에서 기술계와 금융 시스템 전체를 뒤흔든 한 가지 기술적 세부 사항이 드러났다. 공격자가 허위 채용 면접을 통해 외부 직원 단말에 침투한 후 전통적인 악성 스크립트에 의존해 사내 네트워크 수평 이동을 시도하지 않았으며, 대신 바이낸스 내부에 배포된 기업級 AI 지능형 에이전트 도구를 직접 인출하고 역이용했다는 점이다.

선진 기업級 AI 보안 방어 기관인 Mace AI 공동 창업자 팀은 더스트리트(TheStreet) 칼럼에서 이 공격의 기술적 메커니즘을 심층적으로 분석했다. 그들은 현대 기업이 스마트화 전환 열기에 내몰려 내부 AI 도구에 코드베이스 간 및 마이크로서비스 간 고급 호출 특권을 부여하는 반면, 인지적 대항과 프롬프트 엔지니어링 앞에서의 전통적 안전 울타리가 얼마나 취약한지 간과했다고 지적했다. 이번 사건은 “사내 AI는 본래 안전하다”는 기술적 신화를 완전히 깨뜨렸으며, 자체 에이전트를 핵심 비즈니스 플로우에 통합하는 모든 기관에게 체계적 경종을 울렸다.

바이낸스(Binance) 공식 발표 사후 조사 보고서에 따르면, 이 플랫폼에서 63억 4천만 달러라는 거액의 자금 유출을 초래한 배후 해커들은 수개월간에 걸친 복잡한 공격 프로세스를 거쳐 바이낸스 내부에 배포된 기업級 AI 도구를 직접 활용해 핵심 아키텍처로 깊숙이 침투했다.

기업級 AI 보안 기관 Mace AI의 공동 창업자 겸 최고경영자(CEO) 월튼 코머(Walton Comer)는 이후 칼럼에서 이 공격 발생 메커니즘을 심층적으로 분석하며 강력한 경고를 던졌다. 그는 절대다수 기업이 이러한 새로운 공격면(Attack Surface)에 전혀 대비가 되어 있지 않다고 강조했다.

암호화폐 및 핀테크 역사상 가장 막대한 금액이 관련된 보안 사건으로 꼽히는 이번 사태는 전통적 중앙집권형 기관의 단말 방어 취약점뿐만 아니라 전체 기술 산업에 전례 없는 중대한 과제를 제시했다. 내부 AI 에이전트가 기업 운영에서 가장 취약한 시스템적 위험 요소가 된 시대에, 우리는 이를 어떻게 통제해야 할 것인가?

다단계 침투: 허위 채용 프로젝트 뒤의 장기 관여와 교두보 구축

바이낸스 보안 팀과 여러 제3자 포렌식 기관이 공동으로 발표한 사건 재분석 보고서에 따르면, 수십억 달러 규모의 재난적 공격은 단순히 전통적인 단일 취약점 익스플로이트가 아닌, 특정 국가 배경의 해킹 조직이 치밀히 기획한 장기 사회공학적 기법 및 네트워크 침투 작전이었던 것으로 나타났다.

공격은 몇 달 전부터 이미 잠입 상태에서 진행되고 있었다. 해커 그룹은 전문 소셜 네트워크 상에서 매우 위조된 채용 헤드헌터 신분을 만들어 타겟 개발자들을 대상으로 맞춤형 허위 기술 면접을 진행했다.

면접 소통 및 코드 테스트 과정에서 공격자는 바이낸스 지갑 인프라 팀 소속의 한 운영 엔지니어를 설득하여 작업용 컴퓨터에 숨겨진 백도어가 포함된 악성 소프트웨어 패키지를 다운로드하고 실행하도록 유도했다.

악성 코드는 일반적인 단말 검출 메커니즘을 우회하는 데 성공했으며, 이를 통해 공격자는 피해 엔지니어의 단말设备上 로컬 접근 제어권을 확보했다. 다만 해당 엔지니어의 개인 계정 권한 자체는 엄격히 제한되어 있어 핵심 자금 핫홀더와 콜드월렛 서명 시스템을 직접 건드릴 수 없었다.

전통적인 네트워크 공격 경로라면 해커는 다음 단계로 복잡한 사내 네트워크 안에서 포트 스캔, 트래픽 니핑, 또는 권한 상승 취약점 활용 등 수평 이동 작업을 신중하게 수행해야 했으며, 이는 사내 보안 운영 센터(SOC)의 비정상 알림을 쉽게 유발할 가능성이 높았다.

하지만 예상치 못한 것은 해커가 이번 작전에서 완전히 새로운 우회로를 선택했다는 점이다. 그들은 해당 엔지니어가 일상적으로 사용하는 사내 통합 AI 연구 개발 보조 도구 조준했다.

특권 격차: 왜 내부 AI 에이전트가 인간 직원보다 높은 시스템 권한을 보유하는가

월튼 코머는 분석을 통해 절대다수 기업 구조 설계자들(long term ignored)에게 오랫동안 방치되었던 보안 블라인드스페이스를 드러냈다. 기업 내부에 배포된 AI 에이전트 도구는 일반 인간 직원보다 훨씬 높은 시스템 권한과 데이터 접근 범위를 자주 보유하고 있다는 것이다.

현대식 대규모 테크 기업의 내부에서는 모든 직원의 개발 협업 효율성을 향상하기 위해 기업은 보통 AI 도우미를 내부 코드 레포지토리, API 문서, 마이크로서비스 토폴로지 라이브러리 및 구성 관리 시스템에 깊이 통합한다.

AI 에이전트가 부서 간 아키텍처 관련 질문에 원활하게 응답하고 코드 생성을 지원할 수 있도록 하기 위해, 시스템 관리자들은 종종 해당 에이전트에 극도로 높은 수준의 크로스 도메인 읽기 권한과 서비스 토큰을 기본값으로 부여한다.

이로 인해 극도로 위험한 '특권 불일치(Priority Mismatch)' 현상이 발생할 수 있다. 기초 개발자의 경우 핵심機密 마이크로서비스의 내부 API 및 서버 구성을 직접 조회할 수는 없지만, 내부 AI에 자연어로 질문을 던질 경우 AI는 해당 구성 정보를 읽어서 정리·출력할 수 있는 완전한 권한을 가지고 있게 된다.

해커가 일단 피해 직원의 작업 PC를 장악하면, 즉시 해당 내부 AI 도구와의 상호작용에 필요한 모든 컨텍스트 환경(Context environment)을 승계받는다.

공격자에게 있어서 이 내부 AI는 단순한 생산성 보조 플러그인이 더 이상 아니며, 사내 네트워크 깊숙이 장착되어 전체 시스템의機밀을 모두 파악하고 있는 '범용 열쇠(Master Key)'로 변모한다.

인지 탈옥: 해커가 '예의 바른 대화'를 통해 핵심 토폴로지 및 자격 증명을 어떻게 빼내었는가

내부 AI와의 상호작용 진입점을 확보한 공격자는 어떠한 복잡한 하위 계층의 고강도 암호화 알고리즘을 폭파하려 하지 않았다. 대신 다중 라운드 프롬프트 엔지니어링을 정교하게 적용하여, 겉보기엔 평범한 '예의 바른 대화' 형식으로 단계별로 AI의 보안 방어 경계를 무너뜨렸다.

Mace AI의 수석 과학자 그렉 프랭크(Greg Frank)는 현재 절대다수 기업들이 각사의 AI 에이전트에 설정한 안전 울타리는 본질적으로 외부 입력을 중심으로 설계된 키워드 필터링 규칙이나 피상적 의도 분류기(Intent Classifier)에 불과하다고 지적했다.

이러한 전통적 안전 울타리는 '개인 키 직접 요구'와 같은 난잡한 명령어에는 여전히 차단 기능을 발휘할 수 있으나, 대형 언어 모델(LLM)의 인지 로직을 통찰하는 숙련된 침투 테스트 전문가面前에 이르러서는 그 방어선이 순식간에 붕괴된다.

해커는 일상의 개발 디버깅 워크 컨텍스트를 모방하며, 단계적이고 점진적인 방식으로 AI에게 여러 차례 합리적으로 보이는技术咨询을 제기했다.

그들은 AI가 바이낸스 내부 서로 다른 개발 팀 간 서비스 호출 의존 관계를 파악하도록 유도했으며, 이를 통해 핵심 지갑 서명 서비스 개발을 담당한 시니어 엔지니어의 구체적인 시스템 환경과 사내망(NLAN) 위치를 점진적으로 알아내었다.

이렇게 치밀하게 구성된 의미론적 유도 과정 속에서 내부 AI는 경계 없이 기밀 네트워크 토폴로지 구조를 누설했을 뿐만 아니라, 추가적인 침투에 필요한 핵심 구성 단서를 해커가 추출하도록 보조하는 상황까지 발생했다.

내부 유출 방어를 목표로 설정된 각종 보안 메커니즘은 자신들이 신뢰하는 AI 에이전트의 능동적 협력 앞에 완전히 무력화되었으며, 해커는 이를 이용해 일반 단말에서 핵심 서명 노드로의 수평 점프(Cross-level Jump)를 손쉽게 완료했다.

개인 키 우회: 배치 서명 서비스 강취 메커니즘 재검토

공식적으로 공개된 최종 포렌식 결과에 따르면, 이 파란만장한 대형 사건에서 바이낸스 핫홀더 및 콜드월렛의 최하위 핵심 개인 키 자체는 직접 유출되지 않았다. 이것이 이번 공격이 가진 가장 은밀하고 치명적인 지점이다.

내부 AI를 활용해 수평적인 브리징(Intranet Pivot) 침투를 완료한 공격자는 지갑 서명 마이크로서비스의 인증 검증 로직에 성공적으로 침투하여 이를 하이재킹했다.

해커들은 개인 키를 하드웨어 보안 모듈(HSM) 또는 보호된 격리 환경에서 무리한 Extraction을 시도하지 않았다. 대신 이미 획득한 고급 서비스 자격 증명을 악용해 합법적인 내부 호출 요청을 위조했다.

그들은 바이낸스 자동화 서명 엔진을 강제로 조종하여 대규모 악성 송금 명령어에 대해 자체적으로 합법적인 서명을 수행하도록 했으며,체인 상에서 이더리움 EIP-7702 표준의 배치 계정 추상화(Authentication Mechanism) 메커니즘과 깊이 결합했다.

이들 거래 명령은 체인상에서 모두 거래소 공식 서명 서비스의 유효한 서명 옹부(Backing)를 함께 갖추고 있었기 때문에, 초기의 체인 이상 탐지 레더(Radar)는 일시적으로 이를常规的인 대규모 핫홀더-콜드월렛 간 내부 집결 작업으로 오인했다.

거래소 보안 팀이 자금 이변을 감지하고 기존 프론트엔드 출금 채널을 긴급으로 중단시켰을 때, 해커들은 이미 베이스 레이어 스마트 계약의 배치 실행 논리를 통해 극단적인 짧은 시간 안에 수백 종의 토큰 자산을 분할하여 약탈해 가고 있었다.

이중 첩자 구도: 기업級 자율 에이전트가 해커의 최적 내부 백도어가 되고 있다

Mace AI 팀의 사건 재분석은 전 세계적으로 Agentic(에이전트) 시대로 전면 진입 중인 기술 및 금융 산업에 깊은 성찰을 안겨줬다. 만약 글로벌 최고 수준의 보안 운영팀조차 내부 AI가 시스템 키를 스스로 건네주는 것을 막지 못하는 상황이라면, 현행 기업級 AI 보안 방어선은 명백히 무용지물이 된다.

월튼 코머는 전통적인 네트워크 보안 방어 방식의 궁극적 목표가 ‘금고 열쇠’를 지켜내는 것이라고 강조하며, 하지만 자율성 AI 에이전트가 광범위하게 도입된 오늘날에는 AI 자체가 이미 사전에 합법적으로 이 열쇠를 소지하고 있다고 지적했다.

공격자가 정교하게 다듬어진 자연어 프롬프트 하나만으로 시스템 내부의 디지털 직원들을 사이드에 붙일 수 있게 되었을 때, AI는 사실상 기업 최내부에潜伏중인 ‘이중 첩자’로 변모한 것이다.

각각의 주요 기관들은 경쟁적으로 자체 에이전트를 기업 핵심 코드 레포지토리, 지속적 통합 파이프라인(CI Pipeline) 및 자산 조정 허브에 연결하려는 과정에서, AI 문맥에서 ‘최소 권한 원칙(Principle of Least Privilege)’의 강제 적용 여부를 반드시 다시 한번 점검해야 한다.

모델 공급사가 제공하는 윤리적 안전 울타리나 외장형 규칙 라이브러리에만 의존해서는 고차원적 인지 공격을 결코 방어할 수 없으며, 업계는 에이전트의 전체 라이프사이클을 관통하는 설명 가능한 감사 체계와 다중 에이전트간 대항 검증 방어 아키텍처를 구축하는 것이 시급하다.

바이낸스에서 발생한 63억 4천만 달러의 유출 사건은 이미 시대의 경종을徹底的로 울렸다. 인간이 직접 무장시킨 내부 지능형 에이전트가 해커들의 기업大廈 철거를 위한 가장 치명적인 도구가 되는 것을 어떻게 방지할 것인가는, 모든 관계자가 정면으로 마주해야 하는 생명의 갈림길 시험 과제이다.