저자: Chainalysis
편역: 深潮 TechFlow
들어가며: 암호화폐 발전사에서 단일 사건 기준 가장 참혹한 손실을 낸 보안 사건인 바이낸스 64억 달러 탈취 사건은 단일 스마트 컨트랙트 취약점이나 고위험 시스템 제로데이 취약점 때문에 발생한 것이 아니라, 북한 국가급 해커 조직이 "인적 사회공학 침투"를 수년간 갈고닦은 끝에 완성한 집대성의 일격이었다. 초기 직장인 소셜 네트워크에서 그물처럼 뿌리던 피싱 링크에서, 핵심 프로토콜 개발자를 겨냥해 맞춤 제작한 "고연봉 미끼와 연쇄 면접"에 이르기까지, 북한 해커는 정상적으로 보이던 인재 채용 절차를 내부망으로 곧장 이어지는 트로이 목마로 무기화했다.
바이낸스 사건에서 공격자는 정식 헤드헌터 배경을 위조하고 여러 차례 모의 기술 사전 심사를 실시했으며, 악성 코드가 담긴 코딩 테스트 과제를 통해 피해자 단말에 최초 거점을 마련한 뒤, 로컬에서 활성화된 자격 증명과 내부 협업 도구를 이용해 핵심 업무 클러스터로 치명적인 측면 이동(lateral movement)을 완수했다. 이 같은 체계적 침해는 전통적인 정적 네트워크 경계 방어의 무효화를 선언한다. 암호화폐 기업과 보안 팀은 단말 행위 감사, 레드팀 상시 모의 훈련, 온체인 실시간 자금 이상 거래 모니터링을 최우선 순위에 두어야 한다.
핵심 요약
바이낸스, 북한의 가짜 구직 사기가 자사 60억 달러 도난 사건의 배후라고 공개: 공격자는 허구의 일자리와 일련의 가짜 면접으로 바이낸스 직원을 표적으로 삼아, 평범해 보이던 채용 절차를 암호화폐 역사상 최대 규모 도난 사건의 돌파구로 진화시켰다.
소규모 공격이 북한 해커의 공격 시나리오를 계속 개선시켜 왔다: 지난 18개월간 Chainalysis는 1,430만 달러가 넘는 손실이 이와 유사한 북한 연계 가짜 면접 사기에서 비롯된 것을 확인했다. 분석에 따르면 이런 초기 침투를 통해 북한 공격자들은 소규모 표적에서 수법을 반복적으로 연마한 뒤 더 높은 가치의 표적에 투입할 수 있었다.
이번 공격은 북한의 거대한 불법 구직 생태계의 빙산의 일각에 불과하다: 가짜 면접 시나리오는 북한의 고수익 사이버 범죄 생태계의 한 축일 뿐이며, 이 생태계에는 신분을 도용한 사기성 IT 외주 구직과 온체인 자금세탁 네트워크도 포함된다. Chainalysis는 이러한 수법의 진화와 그 밑단의 암호화폐 인프라를 계속 추적하고 있다.
북한 해커가 바이낸스에서 64억 달러에 달하는 자금을 탈취한 사건은, 북한 해커 팀이 이미 능숙하게 다뤄 온 고전적 전술, 즉 구직 사기에서 시작됐다.
Chainalysis 조사원들은 수년간 이 전략을 면밀히 추적해 왔다. 이 전술은 형태가 다양하다. 바이낸스 사건에서 북한 해커는 피해 직원을 가짜 일자리에 지원하도록 유도해 그의 컴퓨터에 악성 코드를 심었다. 그러나 다른 사례에서 공격자들은 흔히 직접 구직자 본인으로 위장해, 허위 신분으로 급여를 받아 국가 정권의 수입을 창출하거나, 기회를 틈타 기업 내부 시스템에 침입하거나, 심지어 두 가지를 모두 노리기도 했다.
모든 보안 사건은 온체인에 흔적을 남긴다. 지난 18개월 동안 Chainalysis는 1,430만 달러가 넘는 자금 손실이 이와 유사한 북한 연계 가짜 면접 및 악성코드 사기에서 비롯된 것을 확인했다. 이러한 공격은 개인 암호화폐 자산 보유자와 독립적인 개인 지갑에서부터 기관 조직, 암호화폐 프로토콜, DAO에 이르기까지 광범위한 표적 집단을 아우른다. 바이낸스는 이 연쇄적 표적 공격에서 가장 최근의 피해자일 뿐이다.
"우리는 개인 차원에서 구직 면접이 계기로 지갑이 탈취된 사례 수십 건을 확인했다"고 Chainalysis 선임 정보 분석가 Tom McLouth는 지적했다. 초기 사건의 손실 금액은 수만 달러에서 수백만 달러까지 다양했지만, 더 깊은 의미는 이런 훈련이 공격자에게 실전 경험을 쌓아 줬다는 점에 있다.
McLouth는 이어 연이은 침투 과정에서 북한 해커 조직이 "공격 방법론을 끊임없이 보완하고 진화시키고" 있으며, 전술 경로를 계속 다듬고 더 높은 가치의 표적을 사냥하는 데 필요한 실전 역량을 점차 구축해 왔다고 설명했다. "역사상 최대 규모의 절도 사건이 결국 실현된 이유가 바로 여기에 있다."
이 같은 업계 배경에서 볼 때 바이낸스가 겪은 탈취 사건은 결코 고립된 우발적 사고가 아니라, 공격자가 수개월에서 수년간 치밀하게 준비하고 실전에서 단련한 끝에 폭발한 결과다.
가짜 면접은 어떻게 바이낸스의 문을 두드렸나
화요일, 바이낸스는 북한 해커가 자사 거래소에 감행한 다단계 공격에 관한 1차 조사 결과를 공개했다.
공격은 9월에 시작됐다. 바이낸스 엔지니어 한 명이 구직 면접 초대를 받았다. 바이낸스는 공격자가 수 주에 걸쳐 해당 직원과 신뢰를 쌓은 과정을 공개했다. 이들은 우선 정식 채용 플랫폼에서 허구의 일자리를 내세워 직원에게 먼저 접근했다.
허구의 회사가 주선한 두 차례 면접이 끝난 뒤, 이 바이낸스 직원은 악성 코드가 포함된 면접 코딩 테스트 과제를 내려받도록 요구받았고, 공격자는 이를 통해 최초의 거점을 확보했다. 이후 해커는 악성코드를 배포하고, 피해 단말의 내부 AI 도구 접근 권한을 이용해 바이낸스 핵심 내부 시스템 깊숙한 곳까지 측면 침투를 확대했다.
이번 시스템 침해의 규모는 전례가 없지만, 해커가 사용한 돌파 수법은 새롭지 않다. Chainalysis 글로벌 서비스 선임 디렉터 Alec Zebrick이 이번 주 인터뷰에서 논의한 것처럼, 북한 공격자는 이른바 "전염성 면접"(Contagious Interviews) 전술을 거듭 활용해 특권 접근 권한을 가진 직원을 집중 겨냥한다.
해커는 표적 직원의 신원 자격 증명과 시스템 권한을 탈취해 기업 내부망에 침투한다. 그렇기 때문에 민감한 핵심 인프라에 접근할 수 있는 엔지니어와 핵심 직책 인력은 이런 공격에서 매우 매력적인 고가치 표적이 된다.
바이낸스 탈취 사건은 가짜 면접이 어떻게 대형 기관의 보안 방어선을 무너뜨리는 진입점이 되는지를 명확히 보여준다. 업계 파트너와의 협업 추적을 통해 우리는 공격자가 이 전략을 한 단계씩 성숙시켜 온 과정을 목격했다.
악성 면접이 벌어진 뒤, 우리는 피해자의 암호화폐 지갑 개인키가 클라우드 저장 공간에서 직접 도난당한 여러 사례를 확인했다. 일부 사례에서 피해자는 자신의 니모닉(복구 구문)을 감염된 로컬 기기에 내려받은 적이 없다고 분명히 밝혔다.
이 현상은 공격자의 통제 권한이 이미 로컬 파일 시스템을 넘어섰으며, 침해된 클라우드 자격 증명이나 브라우저 활성 세션(Browser Sessions)을 통해 권한을 넘어선 접근과 권한 확산을 이뤄냈을 가능성이 크다는 점을 시사한다.
이 포렌식 사실은 마이크로소프트의 보안 연구 보고서와 정확히 일치한다. 북한 악성코드는 감염된 시스템에서 암호화폐 니모닉과 비밀번호 관리자 잔여 데이터를 샅샅이 검색한다.
공격자가 행동 초기에 수집한 자격 증명은 대량의 연관 계정을 여는 열쇠로 빠르게 전환될 수 있으며, 그 영향 범위는 최초에 감염된 단일 기기를 훨씬 뛰어넘는다. 바이낸스 공격에서도 바로 이 같은 기본 시나리오, 즉 가짜 구직 면접으로 최초 거점을 확보하는 방식이 결국 해커가 거래소의 핵심 업무 구조 깊숙이 파고들도록 만들었다.
북한 악성코드는 어떻게 표적 시스템에 잠복·이식되는가
바이낸스 탈취 사건은 북한의 수익성 높은 불법 구직 생태계의 한 단면에 불과하다.
북한 해커는 각종 사회공학 전술을 폭넓게 활용하며, 다른 형태의 가짜 채용 사기뿐 아니라 신분을 도용한 사기성 IT 인력으로 정규 기업에 침투하는 등 여러 각도를 아우른다.
Chainalysis는 북한 해커가 이런 기술을 진화시키고 배치하는 몇 가지 새로운 수법을 계속 추적해 왔다. 그중 새롭게 부상하는 위협은 공격자가 퍼블릭 블록체인 공간에 악성코드 명령을 숨기는 것으로, 우리는 이 전술을 "블록체인 데드 드롭"(Blockchain Dead Drops, BDD)이라고 부른다.
우리의 특집 연구 보고서에 따르면, 지난 1년간 블록체인을 이용한 은닉 통신 기반 사이버 공격이 5배 급증했으며, 이 급격한 증가는 주로 국가급 해커 조직이 주도했고 동시에 오픈 웨이트 AI 대형 모델의 촉매 작용을 받았을 가능성이 있다.
분석에 따르면 북한 해커 조직은 이른바 "이더하이딩"(Etherhiding)으로 통칭되는 기술을 2025년 초부터 채택하기 시작했으며, 그 목적은 가짜 면접 공격에서 침해된 피해 컴퓨터와 악성코드 명령제어(C2) 인프라 사이에 영구적인 연결을 구축하는 것이다.
해커가 온체인 거래를 선택한 이유는 퍼블릭 블록체인 원장의 불변성과 검열 저항성 때문이다. 수사 당국이 법에 따라 압수·폐쇄하기 쉬운 전통적인 중앙화 서버와 비교할 때, 블록체인은 C2 중계 네트워크를 배치하기에 더 회복력 있는 피난처다.
Chainalysis 온체인 분석 팀은 북한 해커의 한 가지 고가용성 기술을 밝혀냈다. C2 통신 경로를 TRON과 Aptos 두 개의 서로 다른 퍼블릭 블록체인에 분산시켜 중복성(Redundancy)을 높이고, 감염된 단말을 최종적으로 세 번째 체인인 BSC로 유도하는 방식이다.
공격자는 TRON과 Aptos에 특정 포인터를 기록하며, 두 포인터 모두 BSC의 특정 거래를 가리킨다. 피해 기기의 TRON 노드 조회가 차단되면 자동으로 Aptos로 매끄럽게 전환해 예비 중복 채널로 사용한다. 어느 경로를 거치든 피해 단말은 최종적으로 BSC에 있는 악성 페이로드(Payload) 보관 주소를 정확히 찾아낼 수 있다.
최근 북한 해커는 "널 리시버"(Null Receiver)라고 불리는 새로운 은닉 전술도 발전시켰다. 해커는 원래 C2 통신에 쓰이던 명령 데이터를 정교하게 구성된 온체인 소각 주소에 직접 인코딩해 삽입한다.
이 주소는 어떤 실체도 실제로 통제하지 않으며, 암호화폐 자산을 보관하는 용도도 아니다. 하지만 악성코드에 감염된 단말은 이 주소 문자열을 가져온 뒤 곧바로 역방향 디코딩해 실행 명령으로 바꿀 수 있어, 조용히 명령 중계와 제어를 완수한다.
북한의 수익성 높은 불법 구직 생태계 해부
북한 구직 사기 무기고의 다른 축은 광범위하게 전개된 대규모 IT 인력 파견 계획이다. 이런 사기에서 북한 기술자들은 합법적인 구직자로 위장해 전 세계 주요 기업에 지원하고 잠복한다.
이들은 이를 통해 고액 급여를 벌고, 잠복하며 민감 시스템에 침투할 기회를 엿보는 동시에 국가 정권에 막대한 외화 수입을 끊임없이 공급한다.
유엔의 공식 추산에 따르면 북한 IT 노동자 생태계는 매년 이 정권에 6억 달러가 넘는 막대한 수입을 창출한다. 이 거대한 지하 그림자 노동력은 암호화폐 생태계와 뗄 수 없이 직접적으로 얽혀 있다.
많은 사례에서 이런 IT 고용 인력은 치밀하게 Web3 및 암호화폐 기관에 잠입하며, 동시에 암호화폐를 폭넓게 활용해 자금세탁으로 불법 자금 흐름을 감춘다. 지난달 우리는 미국 재무부 제재를 받은 러시아·북한 국적자 자금세탁 네트워크를 상세히 공개했는데, 이 네트워크가 바로 북한이 운용하는 IT 외주 체계에 자금 흐름과 세탁 경로를 제공했다.
Chainalysis는 북한 IT 노동자 사기 관련 제재 명단에 오른 모든 암호화폐 주소 실체를 면밀히 추적하고, 이 위협 생태계에 관한 오픈소스 네트워크 정보를 심층 통합한다.
북한 IT 기술자들은 대개 해외 거점에 파견되며, VPN으로 네트워크 위치를 혼란시키고 도난당한 허위 신원 자격 증명을 이용해 전 세계 기업의 원격 직무에 지원한다. 일단 채용되면 이들은 통상 고용주에게 급여를 스테이블코인으로 지급할 것을 명확히 요구한다.
우리는 이미 이런 고도로 특징적인 온체인 활동을 공개했다. 특정 사건에서는 온체인 모니터링 탐지가 지갑이 매달 규칙적으로 고정 금액의 급여를 수령하는 전형적 특징을 포착하기도 했다.
급여가 입금된 뒤 북한 IT 인력은 암호화폐 자산을 신속히 여러 단계로 자금세탁 중개인, 예컨대 앞서 언급한 제재 명단에 오른 러시아·북한 국적자 자금세탁 네트워크로 이체한다.
Chainalysis는 온체인 자금 흐름을 어떻게 추적하는가
바이낸스의 중대한 보안 사건은 북한 해커가 다차원 협력형 사이버 범죄 무기고를 어떻게 지속적으로 진화시키고 시험하고 개선하는지를 총체적으로 보여준다.
동일한 해커 그룹이 채용 플랫폼을 이용한 사회공학적 돌파로 기업 핵심 인프라를 침해하고, 그림자 직원을 정규 회사에 잠복시키며, 암호화폐를 능숙하게 활용해 온체인에서 장물을 은밀히 이체할 수 있다.
공격 수법이 계속 정교해짐에 따라 기업과 보안 기관은 전통적인 사이버 보안 경계 방어에만 머물러서는 안 되며, 이런 초국가 범죄 운영을 가능하게 하는 근본적인 금융 흐름과 온체인 인프라를 중점 모니터링 시야에 반드시 포함해야 한다.
Chainalysis는 북한 해커가 암호화폐 생태계를 이용해 수익을 창출하고, 장물을 모아 이체하며, 불법 소득을 세탁하는 방식을 24시간 면밀히 모니터링하고 있다.
블록체인 데이터 인텔리전스는 이런 대응·반격에서 핵심적인 역할을 한다. 온체인 분석이 전통적인 사이버 보안 방어 조치 및 위협 인텔리전스와 깊이 결합될 때, 보안 팀과 사법·집행 기관은 도난 자금을 정확히 식별하고 긴급 동결할 수 있다.
이러한 종합 판단 역량은 북한의 계속 확장되는 온체인 금융 네트워크의 전모를 그려내는 데 도움을 줄 뿐 아니라, 그 조달·결제 자금 사슬을 탐지해 국제 제재 조사와 공동 사법 집행에 강력한 온체인 포렌식 근거를 제공한다.
바이낸스 탈취 사건의 추적 조사는 여전히 전력으로 진행 중이며, 우리는 도난 자산이 앞으로 수일간 온체인에서 계속 분할·이체될 것으로 예상한다. Chainalysis는 바이낸스 및 암호화폐 업계 전체와 협력해 공동 추적을 진행하고, 후속 자금세탁 경로를 차단하며, 잠재적 2차 피해를 최대한 억제하고 줄이기 위해 노력하고 있다.
자주 묻는 질문
북한 해커는 어떻게 바이낸스에서 64억 달러에 달하는 자금을 탈취했나?
공격은 바이낸스 직원을 겨냥한 가짜 일자리에서 시작됐다. 공격자는 허구의 회사가 주선한 여러 차례 면접으로 해당 직원의 신뢰를 얻은 뒤, 악성 코드가 포함된 프로그래밍 과제 테스트를 보냈다.
해당 직원이 테스트 코드를 내려받아 실행하자 컴퓨터가 바이러스에 감염됐고, 해커에게 바이낸스 시스템으로 들어가는 최초 거점이 열렸다. 공격자는 이후 악성코드를 배포하고 피해 단말의 내부 AI 도구 접근 권한을 이용해 거래소의 핵심 업무 인프라 깊숙이 단계적으로 침투했다.
북한의 가짜 면접 공격 사기란 무엇인가?
북한 가짜 면접 사기는 해커가 허위 채용 절차를 이용해 구직자의 개인 컴퓨터를 침해하고, 그를 통해 기업의 민감 시스템 접근 권한을 얻거나 암호화폐 지갑을 탈취하는 사회공학 수법을 말한다.
공격자는 통상 업계 헤드헌터나 채용 담당자로 위장해 정규 채용 면접처럼 보이게 조직하고, 악성 프로그래밍 테스트 과제나 기타 다운로드 첨부 파일을 통해 트로이 목마 페이로드를 전달한다. Chainalysis는 이런 행위를 통칭해 "전염성 면접"(Contagious Interviews)이라고 부른다.
북한 해커가 이전의 다른 암호화폐 자산 공격에서도 가짜 면접 수법을 사용한 적이 있나?
그렇다. 지난 18개월 동안 Chainalysis는 1,430만 달러가 넘는 자금 손실이 이와 유사한 북한의 가짜 면접 및 악성코드 사기와 직접 관련이 있음을 확인했다.
피해 표적은 개인 암호화폐 자산 보유자, 독립적인 개인 지갑, 기관 실체, 암호화폐 프로토콜, 탈중앙화 자율 조직(DAO)을 아우른다. 이런 초기 공격을 통해 북한 해커는 더 높은 가치의 표적을 사냥하기 전에 사회공학 실전 시나리오를 충분히 검증하고 개선할 수 있었다.
가짜 구직 면접은 어떻게 북한 해커의 기업 조직 침투를 돕나?
가짜 면접은 공격자가 표적 직원의 개인 단말 기기, 로그인 자격 증명, 내부망 접근 권한을 직접 확보하게 해준다. 핵심 인프라에 대한 높은 권한을 가진 특권 직원은 해커에게 매우 가치 있는 표적인데, 그들의 계정과 기기를 장악하면 기업 내부 시스템으로 곧장 이어지는 측면 이동 발판이 열리기 때문이다.
북한의 불법 IT 노동자 사기란 무엇인가?
북한 기술자들이 합법적인 구직자로 위장해, 대개 도난당한 허위 신분 증명과 각종 네트워크 위치 혼란 수단을 이용해 전 세계 기업의 원격 일자리에 지원하고 채용되는 것을 말한다.
이들은 이를 통해 고액 급여를 벌어 국가 정권의 금고를 채우고, 기회를 엿봐 기업 민감 시스템의 내부 통제권을 확보한다. 유엔의 추산에 따르면 이 회색 생태계는 매년 북한에 6억 달러가 넘는 자금을 창출한다.
북한은 사이버 범죄 활동에서 암호화폐를 어떻게 활용하나?
북한 연계 해커 그룹은 암호화폐를 불법 근로 급여 수령에 이용할 뿐 아니라, 사이버 공격으로 탈취한 거액의 장물을 이체하고 세탁하는 데도 이용한다. 외주 인력은 통상 급여를 스테이블코인으로 결제할 것을 요구하고, 이후 자금세탁 중개인 계좌로 이체한다.
또한 해커는 퍼블릭 블록체인 네트워크를 교묘하게 이용해 악성코드 제어 명령을 은닉함으로써 고가용성·차단 저항성을 갖춘 명령제어(C2) 중계 인프라를 구축한다.
Chainalysis는 북한 관련 사이버 범죄 추적을 어떻게 지원하나?
Chainalysis는 24시간 온체인 자금 궤적을 심층 분석해 북한 해커와 그림자 실체가 불법 자금을 수령·이체·집결·세탁하는 수법과 경로를 정확히 식별한다.
이러한 블록체인 데이터 인텔리전스는 보안 조사관과 업계 기관이 도난 자산의 행방을 추적하고, 자금세탁 중개인 네트워크를 특정하며, 제재 준수 조사에 증거를 제공하고, 결정적 시점에 생태계 파트너와 협력해 도난 자금 동결에 최선을 다하도록 돕는다.
