바이낸스 63억 달러를 탈취하기 전에 북한 해커는 수십 차례의 공격을 통해 가짜 채용 시나리오를 어떻게 다듬었는가?

작성자: Chainalysis

번역: TechFlow

TechFlow 요약: 가상자산 발전 역사상 단일 사건으로 가장 큰 피해를 낳은 보안사고인 바이낸스 64억 달러 해킹 사건은 단일 스마트 계약 취약점이나 위험한 시스템 제로데이(exploit) 때문에 발생한 것이 아니다. 이는 북한 국가 지원 해커 조직이 '직원을 통한 사회공학적 침투'를 수년간 숙련시켜 완성해 낸 집대성 공격이다. 초창기 직장 소셜 네트워크에서 광범위하게 뿌린 피싱 링크부터 핵심 프로토콜 개발자를 겨냥한 '고액 보상에 유혹하는 연속 면접'에 이르기까지, 북한 해커들은 표면적으로는 합법적인 채용 절차를 내부망으로 직접 관통하는 트로이 목마로 무장시켰다.

바이낸스 사건에서 공격자는 정통 채용 대행사 배치를 위조하고 다단계의 모의 기술 적합도 평가 시험을 시행했으며, 악성 코드가 포함된 코드 테스트 과제를 통해 피해자 단말기에 초기 침입점을 확보했다. 이어 로컬에서 활성화된 자격 증명의 내協业 도구 접근 권한을 이용해 핵심 업무 영역까지 치명적인 수평 이동(Horizontal Movement)을 감행했다. 이번 체계적 방어선은 전통적인 정적 네트워크 경계 방어 방식의 붕괴를 알렸으며, 가상자산 기업과 보안 팀은 엔드포인트 행동 감사, 지속형 레드팀 훈련, 그리고 온체인 실시간 자금 흐름 이상 감시를 최우선 과제로 삼아야 한다.

요약

바이낸스, 북한 가짜 채용 사기가 60억 달러 도난 사건의 주범임을 발표: 공격자는 허구의 일자리와 일련의 가짜 면접을 통해 바이낸스 직원을 표적으로 삼아, 평범해 보이는 채용 과정을 가상자산 역사상 최대 규모의 절도 사건의 구멍로 탈바꿈시켰다.

소규모 공격들이 북한 해커들의 공격 스크립트 고도화를 지원했다: 지난 18개월 간 Chainalysis는 약 1,430만 달러 이상의 손실이 유사한 북한 관련 가짜 면접 사기에서 비롯됐다고 확인했다. 분석에 따르면 이러한 초기 침투는 북한 공격자들이 소규모 목표를 대상으로 기법을 반복 연마한 뒤, 더 높은 가치의 표적을 공략할 수 있도록 도와줬다.

이번 공격은 북한 거대 불법 채용 생태계의 빙산의 일각에 불과하다: 가짜 면접 스크립트는 북한 고수익 사이버 범죄 생태계의 일부일 뿐이며, 이 생태계에는 부정직한 신분의 IT 아웃소싱 채용과 온체인 자금 세탁 네트워크가 포함된다. Chainalysis는 지속적으로 이러한 기법의 진화와 이를 뒷받침하는 기본 암호화 인프라를 추적 중이다.

북한 해커들이 바이낸스에서 최대 64억 달러를 탈취한 사건의 출발점은 북한 해커 팀이 이미 익숙하고 능숙하게 구사해 온 고전 전술인 채용 사기다.

Chainalysis 조사팀은 수년 동안 해당 전략을 면밀히 추적해 왔다. 해당 전술의 형태는 다양하다. 바이낸스 사건에서 북한 해커들은 피해 직원들에게 가짜 채용 공고에 지원하도록 유도한 뒤, 대상자의 컴퓨터에 악성 코드를 심었다. 그러나 다른 사례에서는 공격자가 주로 구직자 본인으로 위장해, 가짜 신분을 통해 급여를 수령해 국가 정권에 자금을 올리거나, 기업 내부 시스템에 침투하는 등 복합적인 수법을 사용한다.

모든 보안 사고는 온체인 상에 흔적을 남긴다. 지난 18개월간 Chainalysis는 약 1,430만 달러 이상의 자금 손실이 유사한 북한 연관 가짜 면접 및 멀웨어 사기에서 비롯됨을 확인했다. 이러한 공격 목표는 개인 가상자산 보유자, 독립 프라이빗 지갑부터 기관, 가상자산 프로토콜 및 DAO에 이르기까지 폭넓게 분포되어 있다. 바이낸스는 단지 이러한 타겟팅 공격 연쇄 가운데 최신 피해자에 불과하다.

"개인 차원에서 면접을 유발해 지갑 도난으로 이어진 사례 수십 건을 식별해 왔습니다."라고 Chainalysis의 분석가인 톰 매클라우드(Tom McLouth)는 지적했다. 초기 사건들의 피해 규모는 수만 달러에서 수백만 달러까지 차이가 있었으나, 더 중요한 의미는 이러한 연습이 공격자들에게 실제 작전 경험을 축적시켰다는 점이다.

매클라우드는 "연속적인 침투 과정에서 북한 해커 조직은 공격 방법론을 지속적으로 개선하고 진화시키고 있으며, 전술 경로를 끊임없이 다듬어 고가치 표적을 사냥하는 데 필요한 실제 작전 역량을 단계적으로 구축하고 있다"며 "이는 역대 최대 규모 절도 사건이 최종적으로 결실을 맺는 원인이다"라고 추가로 설명했다.

이러한 업계 맥락에서 볼 때, 바이낸스가 겪은 절도 사건은 결코 고립되거나 우연적으로 발생하지 않았다. 이는 공격자가 수개월에서 수년에 걸쳐 철저한 준비와 실제 훈련을 거쳐 완성한 공격의 집대성이라 할 수 있다.

가짜 면접이 어떻게 바이낸스의 문을 열었는가

화요일, 바이낸스는 북한 해커들이 자기 거래소에 대해 수행한 다단계 공격에 대한 초기 조사 결과를 공개했다.

공격은 9월부터 시작됐다. 한 바이낸스 엔지니어가 채용 면접 초청장을 받았기 때문이다. 바이낸스는 공격자가 해당 직원과 신뢰 관계를 형성하기 위해 수주간 시간을 쏟은 방식을 공유했다. 공격자들은 먼저 공식 채용 플랫폼에서 허구한 일자리를 제의하며 해당 직원에게 먼저 접근했다.

허구기업이 주최한 두 차례 면접 후, 바이낸스 직원은 악성 코드가 포함된 면접용 코드 테스트 파일을 다운로드하라는 요청을 받았고, 이를 통해 공격자는 초기 침입점을 확보했다. 이후 해커들은 악성 프로그램을 배포하고, 피해 단말기의 내부 AI 도구 접근 권한을 활용해 바이낸스의 핵심 내부망 깊숙이 수평 침투를 진행했다.

이번 시스템 침해 규모가 전례 없이 크다고 하더라도, 해커들이 사용한 진입 수법은 낯선 것이 아니다. 체인alysis 글로벌 서비스 선임 이사인 Alec Zebrick 씨가 이번 인터뷰에서 논의한 바와 같이>, 북한 공격자들은 자신을 ‘감염형 면접(Contagious Interviews)’이라 칭하는 전술을 반복적으로 구사하며 고위 접근 권한을 보유한 직원들을 주요 표적으로 삼아 왔다.

해커들은 대상 직원의 계정 정보와 시스템 권한을 훔쳐 기업 내부망 환경에 침투했으며, 이로 인해 민감한 핵심 인프라에 직접 접근할 수 있는 엔지니어들과 핵심 직무 직원들이 이러한 공격 행동에서 매우 매력적인 고가치 표적이 될 수밖에 없었다.

바이낸스 절도 사건은 가짜 채용이 어떻게 대규모 조직의 보안 방어를 붕괴시키는 진입점이 되는지를 명확히 보여준다. 업계 파트너와의 협력 아래 추적을 진행하며 우리는 공격자가 이 전략을 어떻게 단계적으로 숙련되어갔는지 목격했다.

악성 면접 이후, 우리는 여러 사례에서 피해자들의 가상자산 지갑 개인키가 직접 클라우드 저장소에서 탈취되는 현상을 관찰했다. 일부 사례에서 피해자는 본인의 뇌리 단어(mnemonic seed)가 감염된 로컬 디바이스에 다운로드되지 않았다고 명시적으로 밝힌 바 있다.

이러한 현상은 공격자의 통제 범위가 이미 로컬 파일 시스템을 넘어섰음을 시사하며, 침해당한 클라우드 자격증명 또는 브라우저 활성 세션(Browser Sessions)을 통해 권한 초과 접근 및 퍼미션 확대(Escalation)가 이루어졌을 가능성이 높음을 보여준다.

이런 포렌식 사실은 마이크로소프트의 보안연구 보고서와 완전히 일치한다: 북한 발 멀웨어는 감염된 시스템 내에서 가상자산용 뇌리 단어 및 비밀번호 관리자 잔여 데이터를 무차별적으로 스캔한다.

공격자가 작전 초기 수집한 자격 증명은 신속하게 수많은 연계 계정을 해제할 수 있는 열쇠로 작용하며, 그 영향 범위는 최초 감염된 단일 장비를 훨씬 뛰어넘는다. 바이낸스 공격에서도 동일한 근본적인 시나리오, 즉 가짜 채용 면접을 통해 초기 입지를 확보한 이후 해커들이 거래소의 핵심 업무 구조로 압도적으로 진격한 것이 바로 그것이다.

북한 멀웨어는 어떻게 대상 시스템에 잠복해 삽입되는가

바이낸스 절도 사건은 북한이 막대한 수익을 올리고 있는 불법 채용 생태계의 한 단면에 불과하다.

북한 해커들은 다양한 사회공학적 전술을 광범위하게 활용하고 있는데, 여기에는 기타 양식의 가짜 채용 사기 외에도 사칭된 명의의 IT 아웃소싱 인력을 이용해 정상적인 기업에 침투하는 다각적인 경로 등이 포함된다.

Chainalysis는 북한 해커들이 이와 같은 기술을 진화시키고 배치하기 위해 사용하는 새로운 수단 몇 가지를 지속적으로 추적하고 있다. 최근 부상하고 있는 새로운 위협 중 하나는 공격자가 퍼블릭 체인 공간을 활용해 멀웨어 명령어를 숨기는 것이며, 우리는 이 전술을 ‘블록체인 데드 드롭(Blockchain Dead Drops, 약칭 BDD)’이라 부른다.

우리의 심층 연구 보고서에 따르면, 지난 1년간 블록체인을 활용한 은밀한 통신을 위한 사이버 공격이 5배나 급증했는데, 이러한 가파른 증가는 주로 국가 차원의 해커 조직들에 의해 주도되었으며, 오픈 소스 기반 대형 AI 모델이 촉매제이자 지지군이 됐을 가능성도 있다.

분석 결과, 북한 해커 조직은 2025년 초부터 ‘이터 히딩(Etherhiding)’이라 통칭되는 기술 수단을 채택해 왔는데, 이는 가짜 채용 공격으로 인해 침투당한 피해자의 컴퓨터와 멀웨어 명령·통제(C2) 인프라 사이에 영구 연결을 수립하는 것을 목표로 한다.

해커들이 온체인 거래를 선택한 이유는 퍼블릭 체인 원장이 조작 불가능과 검열 저항성을 갖추고 있기 때문이다. 법집행 기관이 쉽게 압수수색과 차단 조처를 할 수 있는 기존 중앙화 서버와 비교해, 블록체인은 C2 중계망을 구축하기에 훨씬 더 탄력적인 피난처 역할을 한다.

Chainalysis 온체인 분석팀은 북한 해커들의 높은 재해 복구 기술을 공개했다. 이는 C2 통신 라인을 서로 다른 퍼블릭 체인인 TRON과 Aptos에 분산시켜 중복성(Redundancy)을 확보함으로써, 감염된 단말기를 결국 세 번째 체인인 BSC로 유도하는 방식이다.

공격자는 TRON과 Aptos에 특정 포인터를 기록해 두었는데, 이 둘의 목표 주소는 모두 BSC 상의 특정 거래를 가리킨다. 피해 머신이 TRON 노드 조회에 실패할 경우 자동으로 Aptos로 유연하게 전환돼 대체용 중복 채널로 작동한다. 어떤 경로를 통해든, 감염된 단말기는 결국 BSC에 위치한 악성 Payload가 보관된 표적 주소로 정확히 접근할 수 있다.

최근 북한 해커들은 ‘널 리시버(null receiver)’라 불리는 또 다른 새로운 은신 전술을 진화시켰다. 이들은 원래 C2 통신용으로 쓰이던 명령 데이터는 그대로 두고, 그것을 정교하게 구성된 온체인 번지 주소(burn address) 속에 직접 인코딩해 숨긴다.

이 주소는 실질적으로 아무도 제어하지 않으며, 가상자산 보관 목적으로도 사용되지 않는다. 그러나 악성 프로그램에 감염된 단말기가 해당 주소 문자열을 획득하면, 이를 즉시 역디코딩해 실행 명령으로 변환할 수 있어, 지극히 조용하게 명령 중계와 통제를 완료할 수 있다.

그림: 북한 해커들이 TRON 및 BSC 번지 주소를 활용해 인코딩된 명령어와 암호화 Payload를 저장하는 온체인 C2 통신 아키텍처

북한이 막대한 수익을 올리는 불법 채용 생태계 규명

북한의 채용 사기 수단의 또 다른 측면은 광범위하게 전개된 대규모 IT 인력 투입 계획이다. 이러한 사기극에서는 북한 기술자들이 합법적인 구직자 행세를 하며 전 세계 주요 기업에潛入해 들어간다.

그들은 이를 통해 고액의 급여를 받아내면서 잠복해 있고, 민감한 시스템 침투 기회를 엿본다. 동시에 국가 정권에 막대한 외화 수입을 지속적으로 공급한다.

UN 공식 추정에 따르면, 북한의 IT 노동 생태계는 매년 해당 정권에 6억 달러 이상의 거액을 안겨주고 있다. 이 거대한 지하 그림자 인력 풀은 가상자산 생태계와 긴밀하게 교차하고 있다.

많은 사례에서 이들 IT 종사자들은 웹3 및 가상자산 기관에 철저하게潜藏해 있다. 동시에 이들은 불법 자금의 흐름을 은폐하기 위해 가상자산을 광범위하게 활용한 자금세탁을 행한다. 지난달, 우리는 미국 재무부의 제재 조치를を受けた 러시아 및 북한 국적자들이 구성한 자금세탁 Networks을 상세히 보도한 바 있는데, 해당 Network는 북한이 조정하는 IT 아웃소싱 체제에 자금 유통 및 세탁 경로 제공 역할을 해왔다.

그림: 피해 기업이 북한 IT 종사자에게 급여를 지급하고, 이를 쉘 컴퍼니와 러시아 중간인을 거쳐 집중화하며 현금화하는 자금세탁 경로

Chainalysis는 북한의 IT 인력 투입 사기 제재 목록에 올라 있는 모든 암호화폐 주소 엔티티를 밀접하게 추적하며, 해당 위협 생태계에 대한 오픈 소스 네트워크 정보를 심층적으로 통합하고 있다.

북한 IT 기술자들은 대부분 해외 기지에 파견되어, VPN을 활용해 자신의 물리적 위치를 가리고 도난당한 가짜 신분 자격증을 바탕으로 전 세계 기업들에서 원격 근무 포지션을 지원한다. 일단 입사하면, 이들은 종종 고용주에게 급여를 스테이블코인으로 지급해 줄 것을 명확히 요구한다.

우리는 이미 보고한 바 있듯, 이처럼 매우 특징적인 온체인 활동을 파악해 왔는데, 특정 사건들의 경우 온체인 모니터링 프로브가 지갑이 매달 고정 금액의 급여를 규칙적으로 수신하는 전형적인 징후를 포착했다.

그림: 북한 IT 종사자의 온체인 지갑이 매달 약 5,000달러의 급여를 규칙적으로 받는 온체인 거래 세부 내역

급여 입금 직후, 북한 IT 종사자들은 가상자산들을 단계적으로 자금세탁 중간인에게 급히 이체하는데, 앞서 언급된 대로 이미 제재 목록에 오른 러시아 및 북한 국적자들이 운영하는 자금세탁 Network가 대표적이다.

Chainalysis의 온체인 자금 흐름 추적 방식

바이낸스의 중대한 보안 사고는 북한 해커들이 어떻게 지속적으로 진화시키고, 테스트하며, 다차원적으로 연계된 사이버 범죄 무기고를 다듬어 가는지를 전면적으로 보여준다.

같은 해커 그룹은 채용 플랫폼을 통한 사회공학적 돌파와 기업의 핵심 인프라 침투 능력을 갖춘가 하면, 섀도우 직원을 파견해 정상 기업에 위장 침투시키거나, 가상자산을 활용해 온체인 상으로 은밀히 몰득금을 이체하는 숙련된 기법도 함께 동원한다.

공격 수법이 계속 정교해짐에 따라, 기업과 보안 기관은 결코 기존의 전통적인 사이버 보안 경계 방어에만 머물러서는 안 되며, 이러한 국제적 범죄 활동의 기반이 되는 하부 금융 흐름과 온체인 인프라를 중점적으로 모니터링해야 한다.

Chainalysis는 24시간 북한 해커들이 어떻게 암호화폐 생태계를 활용해 수익을 창출하고, 몰득금을 집중 이체하며, 불법 이익을 세탁하는지를 엄격하게 모니터링하고 있다.

블록체인 데이터 정보는 이러한 대응 작전에서 핵심적인 역할을 수행한다. 온체인 분석이 기존 사이버 보안 방어 조치 및 위협 정보와 심층 결합될 때, 보안 팀과 사법 집행 기관은 도난된 자산을 정확하게 식별하고 긴급 정지할 수 있다.

이러한 종합 판단 능력은 북한이 지속적으로 확장해 나가는 온체인 금융 네트워크의 전체 모습을 그려내는 데 도움이 될 뿐만 아니라, 이들의 조달 및 지급 자금 흐름을 탐지해 국제 제재 조사 및 합동 사법 집행에 강력한 온체인 포렌식 근거를 제공한다.

바이낸스 절도 사건에 대한 추적 조사는 여전히 가속도를 내고 있으며, 도난된 자산들이 향후 며칠간 계속해서 온체인 상에서 분할 및 이체될 것으로 예상된다. Chainalysis는 바이낸스 및 전체 가상자산 산업과 적극 협조해 연합 추적을 진행하면서, 이후 자금세탁 경로를 차단하고 잠재적 2차 손실을 최소화하기 위해 최선을 다하고 있다.

자주 묻는 질문

북한 해커들이 바이낸스에서 최대 64억 달러의 자산을 탈취한 과정은 어떠한가?

공격은 바이낸스 직원을 겨냥한 가짜 채용 공고에서 시작됐다. 공격자는 허구한 기업이 주최한 다단계 면접을 통해 해당 직원의 신뢰를 얻은 뒤, 악성 코드가 포함된 프로그래밍 과제 테스트 파일을 송부했다.

해당 직원이 테스트 코드를 다운로드해 실행하자 PC에 바이러스가 감염되었고, 이로써 해커들이 바이낸스 시스템에 침투할 수 있는 초기 입지가 마련됐다. 이후 공격자는 멀웨어를 배포하고, 피해 단말기가 가진 내부 AI 도구 접근 권한을 활용해 점차 거래소의 핵심 업무 인프라 깊숙이 침투해 들어갔다.

북한의 가짜 면접 공격 사기는 무엇인가?

북한의 가짜 면접 사기는 해커들이 가짜 채용 절차를 통해 구직자의 개인 PC를 침투시킨 후, 기업 민감 시스템 접근 권한을 탈취하거나 가상자산 지갑을 훔치는 사회공학적 수법이다.

공격자는 주로 업계 헤드헌터나 채용 담당자 행세를 하며, 겉보기엔 정식으로 엄격한 채용 면접을 진행하는 척 한다. 이후 악성 프로그래밍 테스트 파일이나 기타 다운로드 첨부 파일을 통해 트로이 목마를 전달한다. Chainalysis는 이와 같은 행위를 총칭해 ‘감염형 면접(Contagious Interviews)’이라 명명한다.

북한 해커들이 과거 다른 가상자산 공격에서도 가짜 채용 수법을 사용해왔는가?

예, 그렇다. 지난 18개월 간 Chainalysis는 약 1,430만 달러 이상의 손실이 유사한 북한 관련 가짜 채용 및 멀웨어 사기에서 비롯됨을 확인했다.

피해 목표는 개인 가상자산 보유자, 독립 프라이빗 지갑, 기관 신탁, 가상자산 프로토콜 및 탈중앙화 자율 조직(DAO)을 망라한다. 이러한 초기 공격들을 통해 북한 해커들은 보다 고가치 표적을 사냥하기 전에 사회공학적 실제 작전 시나리오를 충분히 검증하고 다듬어 볼 수 있었다.

가짜 채용 면접이 북한 해커들의 기업 조직 침투에 어떻게 기여하는가?

가짜 면접을 통해 공격자는 대상 직원의 개인 단말 장비, 로그인 자격증명 및 내부망 접근 권한을 직접 확보할 수 있다. 핵심 인프라에 대한 높은 접근 권한을 가진 직원들은 해커들이 매우 중요하게 여기는 표적인데, 이러한 직원들의 계정과 장비를 함락시키면 공격자가 기업의 내부 시스템으로 곧바로 관통할 수 있는 수평 이동 지대를 확보할 수 있기 때문이다.

북한의 불법 IT 인력 투입 사기는 무엇인가?

이는 북한 기술자들이 합법적인 구직자 행세를 하며, 일반적으로 도난당한 가짜 신분이 확인서 및 각종 네트워크 혼란 수법을 이용해, 전 세계 기업들의 원격 근무 포지션에 지원해 입사하는 사기 수법을 말한다.

그들은 이를 통해 고액의 급여를 받아 국가 정권의 재정을 충당하고, 기회를 타 기업 민감 시스템에 대한 내부 통제권을 장악하려 한다. UN 추정에 따르면, 이러한 회색 경제 생태계는 매년 북한에 6억 달러 이상의 자금을 창출해 낸다.

북한은 자신의 사이버 범죄 활동에서 어떻게 가상자산을 활용하는가?

북한과 연계된 해커 그룹들은 가상자산을 불법 취업 급여 수령용과 동시에 사이버 공격을 통해 탈취한 거액의 몰득금 이체 및 세탁 수단으로 적극 활용한다. 아웃소싱 근로자들은 보통 스테이블코인으로 급여를 정산해 달라고 요구한 뒤, 이를 자금세탁 중간인의 계정으로 이체한다.

또한 해커들은 퍼블릭 체인 네트워크를 활용해 멀웨어의 통제 명령어를 은폐함으로써, 높은 재해 복원력과 검열 저항성을 갖춘 명령·통제(C2) 중계 인프라를 구축하기도 한다.

Chainalysis는 북한 관련 사이버 범죄 추적을 어떻게 지원하는가?

Chainalysis는 24시간 온체인 자금 궤적을 심층 분석해, 북한 해커와 섀도우 엔티티들이 불법 자금을 수신·이체·집중화 및 세탁하는 구체적인 수법 경로를 정확히 식별한다.

이러한 블록체인 데이터 정보는 보안 조사관과 산업 기관들이 도난 자산의 향방을 추적하고, 자금세탁 중간인 Networks를 특정하며, 제재 준수 조사에 증거 자료를 제공하는 것을 돕는다. 또한 핵심 지점에서 생태계 파트너들과 협력해 도난된 자산을 최대한 신속하게 정지시키는 데 기여한다.