바이낸스 "北해커, 바이낸스 직원 가짜면접해 컴퓨터에 악성코드 심어"
[금융소비자뉴스 백종국 기자] 북한이 바이낸스 해킹 사태의 배후로 지목된 것에 재차 반발하면서도 미국과의 대화를 거론하는 담화를 냈다.
바이낸스는 북한 해커가 5개월간 작업으로 바이낸스 직원을 가짜면접해 컴퓨터에 악성코드를 심었다는 보고서를 발표했다.
김여정 노동당 총무부장은 4일 발표한 담화에서 미국을 향해 "평화수호를 위한 선택지에는 분명 대화가 포함되여 있지만 이는 우리에게 있어서 국가이익과 반드시 동일시되는 것이 아니다"라고 밝혔다고 조선중앙통신이 이날 보도했다.
이런 언급은 미국과 대화에 여지를 두면서도 대화에만 목을 매지는 않겠다는 의도로 풀이됐다.
김 부장은 "우리는 '바이낸스' 해킹사건을 그 어떤 우연적이고 돌발적인 사고나 고립된 사안으로 보지 않으며 워싱톤의 변함없는 대조선 적대시정책의 연장선에서 고찰하고 있다"면서 "분명히 이번 사건을 악용하여 모종의 정략적 수익을 얻으려던 미국의 악의적 기도는 정치적 부작용을 낳고 있다"고 주장했다.
이어 "우리는 이미 미국의 대조선 적대시정책 포기가 모든 문제 해결의 대전제이며 기본 열쇠라는 데 대해 한두 번만 밝히지 않았으며 그러한 맥락에서 볼 때 확실히 미국의 이번 행위가 역행성 행보라는 것은 두말할 여지도 없다"고 덧붙였다.
그러면서 "조선민주주의인민공화국에 대한 미국의 적대시정책 실행에서 새로운 기록들이 세워지고 있는 오늘의 현실에서 우리의 반사적 대응에서도 새로운 기록들이 창조되어야 마땅하다"고 말해 강경한 대응조치가 이어질 수도 있음을 시사했다.
바이낸스 사태와 관련한 김 부장 명의 담화는 지난 2일에 이어 이번이 두번째다.
앞선 담화에서 김 부장은 "미국의 정치적 도발"이자 "황당무계한 낭설"이라고 반발하며 "미국의 적대적 태도에 대하여 우리는 여러 측면에서 재고해볼 문제들이 있을 것"이라고 경고했다.
이처럼 최고위급이 정치적 의미를 담은 담화를 연속으로 발신한 것은 북한도 이번 사태를 엄중하게 인식해 적극적인 대응이 필요하다고 판단했다는 방증으로 해석되며 바이낸스 사태를 매개로 북미가 대화의 계기를 마련할 수 있을지 관심을 모으고 있다.
바이낸스 "北해커, 내부 AI 도구 해킹은 물론이고 사회공학 기법까지 동원해"
한편 바이낸스는 3일(현지시간) 초기 조사 보고서에서 북한 해커들이은 가상화폐 거래소 바이낸스 해킹을 위해 악성 소프트웨어 공급망 공격과 내부 AI 도구 해킹은 물론이고 사회공학 기법까지 동원하는 고도의 정교한 다단계 공격을 지난 6월부터 5개월간 벌였다고 밝혔다고 연합뉴스가 전했다.
바이낸스에 따르면 공격자들은 지난 6월 바이낸스의 가상화폐 지갑 개발·운영 담당 엔지니어 A가 변조된 개발 도구를 내려받도록 유도하는 공급망 공격을 먼저 벌였다. 바이낸스 보안팀은 당시 이상 징후를 감지해 기기를 교체하고 인증 정보를 갱신하는 등 조치를 취했지만, 지갑 인프라팀 담당자들의 인적 정보가 해커에게 노출됐다.
북한 해커들은 약 3개월 뒤인 9월 구직 플랫폼을 통해 엔지니어 B에게 접근해 가짜 채용 절차를 진행하는 사회공학적 공격을 펼쳤다. 1차 화상 면접을 진행하면서 면접관은 B에게 신뢰를 쌓으려고 자신의 사생활 사진이 담긴 사회관계망서비스(SNS) 계정을 공유하는 등 기만전술을 동원했다.
이어 2차 면접에서는 최고경영자(CEO)로 위장한 인물이 과제 수행 명목으로 악성코드가 담긴 소프트웨어를 B의 업무용 컴퓨터에 내려받도록 했다. 해당 악성코드는 당시 보안 도구에 감지되지 않는 '제로데이' 취약점을 이용해 정상적인 개발 도구를 악성 버전으로 대체했다.
해커들은 지난달 20일 이렇게 감염된 B의 컴퓨터를 통해 사내 AI 도구를 악용, A와 엔지니어 C에 대한 제어권을 단계적으로 얻으면서, A가 보유한 프로그램 배포 인증키(컨테이너 배포 권한 토큰)까지 확보했다.
북한 해커들은 탈취 당일인 29일 C의 컴퓨터에 로그인한 뒤 A의 인증키를 사용해 자신들이 만든 프로그램을 배포, 공격을 감행한 것으로 나타났다.
해커들은 우선 협정세계시(UTC) 기준 오후 8시5분(한국시간 30일 오전 5시5분)부터 4분간에 걸쳐 리플(XRP) 2억3346만 개를 우선 무단 인출하고, 이어 솔라나(SOL) 97만500개와 옵티미즘(OP) 4420만 개를 송금했다. 이어 비트코인 1만8270개와 이더리움 2961.9개를 이체했다.
특히 이더리움 네트워크 공격 과정에서는 'EIP-7702'라는 승인 권한을 악용해 미리 준비한 50개의 사전 서명으로 자산인출에 대한 위임 인증을 받는 수법으로 정상적인 출금 인프라를 우회했다.
바이낸스는 공격 시작 약 4시간 만인 30일 0시10분(한국시간 오전 9시10분) EIP-7702 위임 코드를 초기화해 추가 유출을 차단했으나 이미 상당량의 가상화폐가 탈취된 이후였다.
