Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
북한 해커들이 바이낸스에서 63.4억 달러를 탈취한 사건이 공개되었습니다. 이 공격은 단순 무차별 대입이 아닌, 가짜 구직 면접을 통한 최상급 사회 공학적 침투와 무탐지 멀웨어(pyenv 대체)가 결합된 국가급 전방위 해킹이었습니다. 특히 EIP-7702 권한 취약점을 악용하여 콜드 월렛에서 자금을 지속적으로 인출했습니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 X @ayi_ainotes (자동 발견)의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기북한 해커가 바이낸스(Binance)에서 63.4억 달러를 탈취한 사건이 발표되었습니다!
바이낸스는 공식 보안 조사 보고서를 통해 다음과 같은 내용을 밝혔습니다:
정교하게 위장된 가짜 구직 면접, pyenv를 대체하는 3414 바이트의 무탐지(免殺) 멀웨어 공격을 이용해 북한 해커들이 4개월 동안 잠복하여 콜드 월렛에 침투했습니다. 이 36초 분량의 영상은 상업 역사상 가장 값비싼 사회 공학적 침투 전쟁을 완벽하게 재구성합니다!
바이낸스는 오늘(10월 29일) 보안 사건에 대한 예비 조사 보고서를 발표하며,
북한 해커들이 구직 면접을 통해 어떻게 잠복하고 최종적으로 63.4억 달러의 자산을 빼돌렸는지 전체 공격 체인을 완전히 공개했습니다.
이것은 영화에서처럼 키보드를 미친 듯이 두드리는 단순한 무차별 대입(Brute Force) 해킹이 아닙니다. 최상급 사회 공학, 무탐지 멀웨어, 그리고 이더리움 EIP-7702 권한 취약점을 극한으로 활용한 국가급 침투전이었습니다.
이번 강탈의 돌파구는 단지 바이낸스 엔지니어가 구직 웹사이트에 올린 공개된 이력서에서 시작되었습니다:
첫 번째 단계: 실물 영상 면접을 통한 경계 무너뜨리기. 해커들은 고액 연봉 프로젝트의 총괄 디렉터로 위장하여 해당 엔지니어에게 접근했습니다.
가짜 HR 담당자가 실제 얼굴이 나오는 화상 면접을 주선했고, 상대방은 심지어 생활 사진과 일상 영상이 담긴 소셜 계정까지 자발적으로 제공했습니다.
2차 면접은 채팅 소프트웨어로 옮겨졌고, 가상의 CEO가 직접 대화에 참여하여 신뢰도를 최고 수준으로 끌어올렸습니다.
두 번째 단계: 업무용 컴퓨터에서 기술 테스트 문제 수행. 면접이 끝날 무렵, 가짜 CEO는 그에게 코드를 다운로드받아 기술 테스트를 하도록 했습니다.
엔지니어가 평소처럼 업무용 컴퓨터에서 실행하자, 악성 스크립트가 설치 과정에서 자동으로 실행되었습니다.
이는 컴퓨터에 있는 정상적인 개발 도구인 pyenv를 3414 바이트의 독성 멀웨어로 조용히 대체했으며, 해커 서버와 직접 연결되어 흔적을 자동 삭제했습니다. 당시 바이낸스 컴퓨터의 터미널 백신 소프트웨어는 경보 상태가 '0'이었습니다.
세 번째 단계: 내부 AI 도구를 측면 침투(Lateral Movement) 발판으로 활용. 해커들이 이 컴퓨터를 장악한 후, 회사 내부의 AI 도구들을 따라 추적하며 핵심 지갑 운영 엔지니어의 권한을 성공적으로 확보했고, 컨테이너 배포에 대한 최고 토큰까지 얻어냈습니다.
네 번째 단계: 콜드 월렛 서명 시스템 급습 및 이더리움 EIP-7702 악용. 10월 29일 해커들은 시스템에 악성 컨테이너를 배치하여 정상적인 출금 경로를 우회했습니다.
단 몇 분 만에 5개의 콜드 월렛에서 총 2억 3,300만 XRP, 97만 SOL, 4,420만 OP, 그리고 18,270 BTC가 전송되었습니다.
심지어 이더리움 EIP-7702 스마트 컨트랙트 권한 메커니즘을 이용하여 체인 상에서 지속적으로 자금을 인출했으며, 바이낸스가 밤중에 커버 트랜잭션(covering transaction)을 제로 주소로 보내야만 완전히 차단할 수 있었습니다.
현재 28.5억 달러가 가로채기되어 동결되었으며, 바이낸스는 사용자 손실에 대해 100% 전액 보장할 것을 약속했습니다. 영향을 받은 토큰의 98%에 대한 준비 증명도 완료되었습니다.
이번 천문학적인 절도 사건은 업계 전체에 가장 날카로운 경고음을 울렸습니다: 아무리 견고한 암호화 방화벽과 MPC(Multi-Party Computation) 다중 서명 지갑이라 할지라도, 수개월 동안 실제 직원의 인간적 약점을 겨냥하여 정밀하게 설계된 사회 공학적 피싱 앞에서는 여전히 창문지처럼 취약하다는 것입니다.
업무용 컴퓨터에서는 외부 코드를 절대 실행하지 말고, 링크드인(LinkedIn) 배경에 민감한 직책을 함부로 올리지 마십시오.
최고 수준의 해커 눈에는 가장 쉽게 뚫리는 취약점은 결코 코드 자체가 아니라, 화면 앞에 앉아 있는 바로 그 사람입니다.