바이낸스 해킹, 가짜 면접 인터뷰와 악성 Homebrew 다운로드에서 시작되다

바이낸스는 북한 해커들이 지난주 약 63억 4천만 달러 상당의 암호화폐를 훔치기 위해 몇 달 동안 준비했던 방식을 공개했습니다. 거래소에 따르면, 공격자들은 악성 Homebrew 설치를 이용해 한 엔지니어를 감염시켰고, 가짜 채용 과정을 통해 다른 직원을 속여 코딩 도우미로 위장된 악성코드를 설치하게 했습니다. 바이낸스는 "현재 조사 결과, 이는 정교하고 다단계적인 캠페인이었습니다. 단일 고립적 침해나 단순한 피싱 사고가 아니었습니다"라고 밝혔습니다.

바이낸스에 따르면 최초의 알려진 감염은 6월에 발생했습니다. 당시 바이낸스의 Wallet DevOps 팀 소속 한 엔지니어가 온라인에서 인기 있는 AI 코딩 도구를 검색하여 변조된 Homebrew 설치 파일을 다운로드한 것이었습니다. Homebrew는 개발자들이 macOS에서 다양한 소프트웨어 도구를 설치하고 관리하는 데 사용하는 패키지 매니저입니다.

바이낸스는 이 비정상적인 활동을 감지하고 해당 엔지니어의 장치를 교체했으며 관련 자격 증명을 순환시켰습니다. 그러나 이러한 조치들은 너무 늦은 대응이었습니다. 공격자들은 이미 직원의 역할에 대해 파악했고, 거래소의 지갑 인프라를 담당하는 동료들을 식별했기 때문입니다.

https://t.co/sU9dUqLQDH[2026년 11월 3일](https://twitter.com/cantworkitout/status/2117626126214504729)

이번 사건은 프로젝트 디렉터로 위장한 악의적인 행위자가 합법적인 구직 플랫폼을 통해 연락한 또 다른 Binance 소프트웨어 엔지니어의 계정 탈취 사례를 따른 것입니다. 가짜 채용 담당자는 두 번의 인터뷰를 주선했습니다. 첫 번째는 라이브 화상 통화를 진행하고 신뢰성을 확보하기 위해 개인 사진과 비디오가 담긴 소셜 미디어 계정을 공유한 것으로 알려진 인사(HR) 대표자가 참여했으며, 두 번째는 허구의 회사 CEO로 위장한 사람이 참여했습니다.

인터뷰 막바지에 엔지니어는 악성 소프트웨어 저장소(repository)가 포함된 코딩 과제를 업무용 컴퓨터에 다운로드하도록 요청받았는데, 이는 흔한 사회 공학적 기만 수법이었습니다. 이 악성 코드는 설정 과정 중에 실행되었습니다. 당시 Binance는 해당 악성코드가 [Python] 버전 관리 도구인 "pvenv"의 합법적인 구성 요소를 명령을 실행하고 공격자가 통제하는 서버와 통신할 수 있는 악성 버전으로 대체했다고 밝혔습니다. 거래소의 엔드포인트 보안 도구들은 당시 이 악성코드를 감지하지 못했습니다.

이러한 탈취는 10월 20일에 결실을 맺기 시작했는데, 공격자들은 가짜 인터뷰와 관련된 감염된 컴퓨터와 내부 AI 도구를 사용하여 두 명의 지갑(wallet) 엔지니어 장치에 대한 통제권을 확보했습니다. 또한 그들은 6월에 처음 목표가 되었던 엔지니어의 컴퓨터에서 컨테이너 배포 권한 토큰을 발견했습니다.

이후 10월 29일, 공격자들은 도난당한 자격 증명(credentials)을 사용하여 다른 엔지니어의 컴퓨터에 접근하고, 컨테이너를 배포하며, 악성 스크립트를 실행했습니다. 이를 통해 그들은 바이낸스(Binance)의 내부 지갑 서명 서비스에 접근할 수 있었고, 이는 거래소의 정상적인 출금 절차를 거치지 않은 다섯 개의 핫 월렛(hot wallet)으로부터의 거래를 가능하게 했습니다.

미국 FBI는 11월 1일 이 도난 사건을 북한에 직접적으로 귀속시켰습니다. FBI는 성명을 통해 “FBI는 민주인민공화국(북한)이 2026년 10월 29일경 암호화폐 거래소 바이낸스에서 60억 달러(USD) 이상의 가상 자산을 도난당하는 데 책임이 있다”고 발표했습니다. FBI는 이 특정 북한의 악성 사이버 활동을 “트레이더트레이터(TraderTraitor)”라고 지칭합니다. 한편, 평양은 자신들이 해킹에 연루된 바가 없다고 선을 그으며, 미국의 주장을 “황당무계한 헛소리”로 일축했습니다.

바이낸스는 이후 약 28억 5천만 달러(USD) 상당의 손상된 자산을 동결하거나 가로챘으며, 피해를 입은 자금의 98%가 보충되었다고 밝혔습니다.

이러한 전술은 이전에 북한과 연관된 캠페인들과 유사합니다. [WaterPlum 공격자들]은 이전에 가짜 구인 공고와 코딩 테스트를 사용하여 100개국에 걸쳐 30,000대 이상의 장치를 감염시켰으며, 9월에는 7,000개가 넘는 암호화폐(crypto) 지갑을 손상시킨 바 있습니다. 가짜 채용 제안과 코드에 숨겨진 악성 코드로 Python 개발자를 표적으로 삼았던 2024년 캠페인은 [라자루스 그룹]의 소행으로 알려졌으며, 이 그룹은 또한 2025년 15억 달러 규모의 Bybit 해킹 사건과도 연관되었습니다. 공격자들은 잠재적 고용주로 위장하여 Base64 난독화(obfuscated)된 악성 코드가 포함된 코딩 테스트를 보냈습니다. 이 테스트들을 실행하는 것만으로도 개발자들의 컴퓨터가 감염되어 공격자들에게 원격 접근(remote access) 권한을 부여할 수 있습니다.