바이낸스, 보안 사고 1차 조사 결과 공개: 가짜 채용에서 AI 도구 장악까지, 해커는 어떻게 단계적으로 침투했나

편역: 다롄즈(大钳子)

11월 3일, 바이낸스는 10월 29일 보안 사고에 대한 1차 조사 보고서를 발표하고 이번 공격의 전체 과정과 배후 공격자의 침투 경로를 공개했다. 보고서에 따르면 공격자는 가짜 채용 면접, 악성코드, 그리고 침해된 내부 AI 도구를 통해 여러 직원의 기기를 단계적으로 장악했으며, 최종적으로 지갑 서명 권한을 획득하고 EIP-7702 승인 메커니즘을 이용해 정상 출금 절차를 우회하여 자산을 이체했다.

이번 사고와 관련된 자산 총액은 약 63억 4,000만 달러이며, 보고서 발표 시점 기준 약 28억 5,000만 달러의 자산이 이미 동결 또는 차단되었다. 영향을 받은 토큰 자산 중 98%는 충당이 완료되었다. 바이낸스는 관련 손실을 플랫폼이 부담할 것이며, 영향을 받은 시스템 재구축과 보안 강화에 착수했고 독립적인 제3자 감사도 의뢰했다고 밝혔다. 보고서에 따르면 미국 연방수사국(FBI)의 최신 정보는 북한이 이번 사고에 책임이 있음을 보여준다.

다음은 보고서 전문이다.

2026년 10월 29일, 바이낸스는 심각하고 매우 복잡한 보안 사고를 겪었다. 이번 사고는 발생하지 않았어야 했던 일이다. 사용자, 파트너 및 업계 전체에 초래한 우려와 업무 중단, 불확실성에 대해 깊이 사과드린다.

사용자 보호는 언제나 우리의 최우선 책임이다. 이번에 도난당한 자금으로 인한 재정적 손실은 사용자에게 전가되지 않으며 바이낸스가 부담한다. 우리는 손실 금액의 100%를 초과하는 자금을 이미 확보해 두었다. 2026년 10월 31일 기준, 영향을 받은 토큰 자산 중 98%의 충당이 완료되었으며, 사용자는 지급준비금 증명(PoR) 페이지에서 이를 확인할 수 있다. 아직 충당되지 않은 유동성이 낮은 일부 자산은 현재 매입을 진행하고 있다.

이번 사고와 관련된 디지털 자산 총액은 약 63억 4,000만 달러다. 본 보고서 발표 시점 기준 약 28억 5,000만 달러의 디지털 자산이 동결 또는 차단되었으며, 구체적인 금액은 추가 확인이 필요하고 시장 가격 변동의 영향을 받을 수 있다.

우리는 즉시 사고 영향을 통제하고 문제가 된 시스템의 보안을 강화하기 위한 조치를 취했다. 공격자가 악용한 것으로 확인된 침입 경로는 모두 차단되었고, 공격 경로에 포함된 시스템도 재구축 또는 교체되었다. 또한 기기 통제 조치를 더욱 강화하고, 지갑 서비스의 리스크 통제를 강화했으며, AI 기반 행위 이상 탐지 역량을 확대했다.

본 보고서는 현재까지 파악된 상황과 이미 완료된 보안 개선 사항을 담은 1차 조사 보고서다. 조사는 여전히 진행 중이며 관련 조사 결과는 추가적인 독립 검토를 거칠 예정이다. 악의적인 공격자가 관련 정보를 이용해 공격을 기획하는 것을 막기 위해 일부 기술적 세부 사항은 계속 비공개로 유지한다. 우리는 독립 보안 회사를 고용해 추가 검토를 진행하고 있다.

미국 연방수사국(FBI)이 최근 발표한 정보에 따르면 조선민주주의인민공화국(DPRK)이 이번 사고에 책임이 있다.

우리가 이 1차 보고서를 공개하기로 한 이유는 업계 전체가 함께 교훈을 얻어야만 보안 수준을 지속적으로 끌어올릴 수 있기 때문이다.

10월 29일에 무슨 일이 있었나

이번 공격은 여러 네트워크에서 빠르게 전개되었다.

공격자는 내부 지갑 서명 서비스에 대한 비인가 접근 권한을 이용해 정상 출금 절차와 무관하게 거래를 발생시켰다.

UTC 기준 20:05~20:09 사이에 바이낸스의 핫월렛 5개가 공격자가 통제하는 주소로 2억 3,346만 개의 XRP를 전송했다.

이어서 바이낸스가 솔라나(Solana)와 옵티미즘(Optimism) 네트워크에 배포한 핫월렛이 각각 공격자가 통제하는 주소로 약 97만 500개의 SOL과 4,420만 개의 OP를 전송했다.

이후 바이낸스는 대규모 자산 이체에 관한 내부 경보를 받고 즉시 조사에 착수했다.

바이낸스의 핫월렛 하나가 이어서 공격자가 통제하는 주소로 18,270개의 BTC를 전송했다.

그 후 공격자는 서명 서비스를 이용해 이더리움 EIP-7702 승인 메커니즘을 추가로 남용했다.

EIP-7702는 계정이 개인키를 노출하지 않고도 일부 실행 권한을 스마트 컨트랙트에 위임할 수 있도록 허용한다. 이번 사고에서 공격자는 이 메커니즘을 이용해 자신이 통제하는 스마트 컨트랙트가 바이낸스의 특정 핫월렛에 대한 일부 실행 권한을 갖도록 했다.

바이낸스는 즉시 여러 비상 조치를 시행했는데, 추가 자금 유출을 제한하기 위한 출금 중단, 파트너사와 협력한 영향 토큰 동결, 비인가 권한 취소를 위한 조치 등이 포함되었다. 이러한 조치를 통해 총 28억 5,000만 달러의 자산이 동결되었다.

그러나 출금을 중단하는 것만으로는 모든 비인가 자산 이체를 막을 수 없었다. 악성 EIP-7702 승인은 이미 온체인에 존재했으며, 바이낸스의 정상 출금 인프라와 독립적으로 작동했다.

공격자는 총 50건의 서명 거래를 제출했고, 계정 논스(Nonce, 거래 순번)를 조작해 악성 위임 승인을 설정했다. 이러한 승인이 설정되자 공격자는 바이낸스의 정상 출금 인프라를 우회해 자산 이체를 계속할 수 있었다. 바이낸스는 해당 온체인 승인을 취소하기 위해 추가 거래를 발생시켜야 했다.

자산 통제 전 과정에는 다른 기술적 복잡성도 존재했다. 문제가 된 핫월렛이 다자간 계산(MPC) 기술을 사용했기 때문에 악성 EIP-7702 승인을 즉시 취소하는 데 바로 쓸 수 있는 단일 개인키가 존재하지 않았다. 이를 위해 팀은 별도의 특수한 취소 절차를 개발해 실행해야 했고, 이 역시 추가 시간이 필요했다.

또한 출금 중단과 핫월렛 서비스 종료는 이미 존재하는 온체인 승인을 자동으로 무효화하지 않는다.

이러한 난관들은 비인가 자산 이체를 완전히 통제하는 데 필요한 시간을 늘렸다. 우리는 이번 사고의 비상 대응 절차, 서명 정책 적용 범위 및 핫월렛 통제 조치를 재검토하고 있으며, 향후 위협 대응 속도를 더욱 높일 수 있는 방안을 찾고 있다.

마지막 비인가 이체는 2,961.9개의 ETH였으며, 23:56 UTC에 온체인에서 최종 확정되었다. 해당 거래는 이미 브로드캐스트되어 처리 대기 상태에 있다가 이후 최종 확정되었다. 그 이후로 다른 비인가 이체는 관찰되지 않았다.

2026년 10월 30일 00:10 UTC, 바이낸스는 Binance14 핫월렛을 통해 제로 주소로 새로운 승인 거래를 실행해 EIP-7702 위임 코드를 제거했다.

공격 준비 과정

현재 조사에 따르면 이번 사고는 단일한 고립형 침해 사건도, 단순한 피싱 공격도 아닌 복잡한 다단계 공격 작전이었다.

공격자는 가짜 채용 면접을 통한 사회공학 공격, 악성코드 다운로드 유도, 침해된 내부 AI 도구 악용, 직원 단말기기 장악, 그리고 고도화된 거래 승인 기술 등 다양한 수법을 결합해 사용했다.

2026년 6월 — 공급망 공격. 지갑 DevOps 팀의 엔지니어 A는 검색 엔진에서 인기 있는 AI 코딩 도구를 검색한 뒤 변조된 Homebrew 설치 패키지를 내려받아 해당 도구를 설치하려 했다. 바이낸스 보안팀은 이상 징후를 탐지하고 자발적으로 해당 기기를 교체했으며 관련 자격 증명을 모두 교체했다. 그러나 엔지니어 A의 직무 정보와 지갑 인프라 팀 내 관련 동료 정보는 이미 공격자에게 노출된 상태였다.

2026년 한 해 — 지속적인 사이버 공격. 2026년 이후 바이낸스 보안팀은 북한과 연관된 것으로 의심되는 사이버 위협 사건 57건을 탐지하고 차단했다. 이러한 공격은 국가 배후 공격자들이 가상자산 업계를 계속 표적으로 삼고 있음을 보여준다. 관련 수법으로는 가짜 채용 면접, 인기 개발 도구로 위장한 악성코드, 변조된 소프트웨어 패키지와 브라우저 확장 프로그램, 가짜 화상회의 앱, 자격 증명 탈취나 원격 접근 악성코드 설치를 노린 사회공학 공격 등이 있었다.

9월 — 사회공학 공격. 소프트웨어 엔지니어 B는 정식 구인 플랫폼을 통해 자신을 프로젝트 디렉터라고 소개하는 인물로부터 연락을 받았다. 엔지니어 B는 해당 플랫폼의 프로필에 과거 바이낸스에서 근무한 경력을 기재해 두었다. 상대는 인사 담당자 명의로 1차 면접을, 이어서 가상의 회사 CEO라고 자칭하는 인물이 참여하는 2차 면접을 주선했다.

1차 면접에서 HR 담당자라고 자칭한 인물은 소프트웨어 엔지니어 B와 실시간 화상 면접을 진행했다. 신뢰를 쌓기 위해 면접관은 엔지니어 B에게 자신의 소셜 미디어 계정도 공유했는데, 여기에는 해당 플랫폼에 게시한 개인 사진과 영상이 담겨 있었다. 이런 수법은 과거에 관찰된 사회공학 공격 방식보다 더 정교하고 기만적이다.

2차 면접은 인기 있는 소셜 채팅 앱을 통해 진행되었다. 면접이 끝나갈 무렵 엔지니어 B는 업무용 컴퓨터에 '과제'라는 파일을 내려받으라는 요구를 받았고, 이 파일에는 악성 코드 저장소가 포함되어 있었다. 해당 저장소의 악성 코드는 설치 과정에서 자동으로 실행되어 일련의 비인가 작업을 촉발했다.

이 악성코드는 정교한 코드 난독화와 탐지 회피 기술을 사용했으며, 정상적인 개발 도구 구성 요소 하나를 악성 버전으로 바꿔치기하여 명령을 실행하고 공격자가 통제하는 외부 서버와 통신을 수립하도록 했다. 당시 엔드포인트 보안 보호 도구는 이 제로데이(0-day) 악성코드를 탐지하지 못했다. 공격자는 악성 활동을 은폐하고 관련 흔적을 삭제하는 조치도 취해 탐지와 후속 조사를 더욱 어렵게 만들었다.

해당 스크립트는 코드 난독화 기술로 보안 탐지를 회피했으며, 구체적으로 다음과 같은 작업을 실행했다.

10월 20일 — 내부 AI 도구를 공격 발판으로 악용. 공격자는 이미 침해된 엔지니어 B의 컴퓨터를 이용해 바이낸스 내부 AI 도구를 통해 지갑 DevOps 엔지니어 A와 또 다른 지갑 소프트웨어 엔지니어 C의 기기를 추가로 통제했다. 공격자는 곧 지갑 DevOps 엔지니어 A의 컴퓨터에 컨테이너 배포 권한을 가진 토큰이 있다는 것을 발견했다.

10월 29일 — 지갑 서명 작업 침투. 10월 29일 17:15~19:56 사이에 공격자는 소프트웨어 엔지니어 C의 컴퓨터에 로그인해 지갑 DevOps 엔지니어 A로부터 탈취한 자격 증명을 사용해 컨테이너를 배포하고 악성 스크립트를 실행하여 최종적으로 이번 공격을 감행했다.