[이코노미스트 정길준 기자] 북한 해커들이 인사 담당자로 위장해 접근한 뒤 악성 코딩 과제를 건네는 이른바 ‘전염성 면접’ 수법으로 바이낸스의 방어벽을 무너뜨린 것으로 확인됐다. 겉보기엔 평범한 입사 지원 과정이었지만 역사상 최대 규모의 가상자산 탈취로 이어졌다.

4일 블록체인 데이터 플랫폼 체이널리시스에 따르면, 이번 64억 달러(약 8조5600억원) 규모의 바이낸스 해킹 사태 배후에는 북한 정권과 연계된 주체들이 있는 것으로 파악됐다.

공격자들은 지난 9월 구인 플랫폼을 통해 바이낸스 엔지니어에게 채용 기회를 제안하며 수주에 걸쳐 신뢰를 쌓았다. 이후 가상의 회사와 두 차례 면접을 진행한 뒤, 악성코드가 포함된 면접 과제를 내려받도록 유도해 최초 침입 거점을 확보했다. 이들은 탈취한 인증 정보와 내부 인공지능(AI) 도구 접근 권한을 악용해 거래소 인프라 내부로 파고들었다.

톰 맥라우스 체이널리시스 선임 애널리스트는 북한 해커들이 대형 표적을 노리기에 앞서 수십건의 침해를 거치며 수법을 완성하고 발전시켜 왔다고 분석했다. 지난 18개월간 개인 지갑부터 탈중앙화자율조직(DAO)에 이르기까지 유사한 가짜 면접 수법으로 발생한 피해액만 1430만 달러(약 191억원)를 넘는다. 북한 악성코드는 감염된 시스템에서 가상자산 시드 구문과 비밀번호 관리자 관련 데이터를 탐색하며 클라우드 저장소에 접근해 지갑 개인키를 빼돌리기도 한다.

공격자들은 해커의 지휘부 서버(C2)와 감염된 컴퓨터가 몰래 연락을 주고받도록 ‘블록체인 데드 드롭(BDDs)’ 수법을 동원했다. 간첩이 비밀 장소에 쪽지를 남기고 가듯, 누구나 볼 수 있는 암호화폐 거래 장부(블록체인) 안에 해킹 명령을 숨겨두는 방식이다. 이들은 보안 당국의 추적을 피하기 위해 트론과 앱토스 등 여러 암호화폐 네트워크에 통신 경로를 쪼개어 분산시켰다. 이후 최종적으로는 바이낸스 스마트 체인(BSC) 네트워크를 거쳐 실제 피해를 유발하는 악성코드(페이로드)를 실행했다.  최근에는 누구도 통제하지 않는 주소에 통신 명령을 삽입해 감염된 기기가 읽어들이게 하는 ‘널 리시버’ 기법까지 등장했다.

이러한 사이버 범죄는 북한의 광범위한 불법 취업 생태계와 맞닿아 있다는 설명이다. 북한 공작원들은 가상사설망(VPN)과 도용한 신분증을 이용해 전 세계 IT 기업에 원격으로 위장 취업한 뒤 급여를 챙기고 있다. 이들은 주로 스테이블코인으로 급여를 받아 러시아 및 북한 국적의 중개자에게 이체해 자금을 세탁한다. 유엔은 북한이 불법 IT 인력 생태계를 통해 연간 6억 달러(약 8000억원) 이상의 수익을 올리는 것으로 추산했다.

체이널리시스는 가상자산 생태계를 노린 북한의 공격이 진화하고 있는 만큼, 탈취 자금을 동결하고 불법 금융 네트워크를 파악하기 위해 온체인 자금 흐름을 추적하는 블록체인 인텔리전스 결합이 필수적이라고 강조했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지