요약
- 바이낸스는 60억 달러 규모의 해킹 사건 배후에 북한의 가짜 채용 사기가 있었다고 밝혔다. 공격자들은 조작된 채용 공고와 일련의 가짜 면접을 통해 바이낸스 직원을 표적으로 삼았으며, 겉보기에는 평범해 보였던 채용 절차를 역사상 최대 규모의 바이낸스 코인( 가상자산 ) 탈취 사건의 침투 경로로 이용했다.
- 소규모 공격들이 북한 해커들이 공격 수법을 완성하는 데 도움이 되었을 수도 있다: 체이널리시스 지난 18개월 동안 발생한 1,430만 달러 이상의 손실은 북한과 연계된 유사한 가짜 인터뷰 사기 수법에 기인한 것으로 파악되었다. 우리의 분석에 따르면, 이러한 초기 침해 사례들을 통해 북한 해커들은 더 가치가 높은 표적을 공격하기 전에 소규모 표적을 대상으로 수법을 다듬을 수 있었던 것으로 보인다.
- 이번 공격은 북한의 광범위한 불법 고용 생태계의 일부입니다. 가짜 면접 사기 수법은 북한의 수익성 높은 생태계에서 단지 한 가지 요소일 뿐이며, 이 생태계에는 사기성 IT 고용 수법과 가상자산 자금 세탁 등이 포함됩니다. 체이널리시스 이 보고서는 이러한 진화하는 전술과 이를 뒷받침하는 가상자산 인프라를 추적합니다.
북한 해커들에 의해 발생한 바이낸스의 64억 달러 규모 해킹 사건은 북한 해킹 팀이 흔히 사용하는 수법인 채용 사기로 시작되었다.
체이널리시스 수사관들은 수년 동안 이 전략을 추적해 왔다. 이 전략은 다양한 형태로 나타난다. 바이낸스 사건의 경우, 북한 요원들이 표적 대상들을 가짜 구인 공고로 유인한 뒤 그들의 컴퓨터에 악성코드를 심었다. 하지만 다른 사례에서는 공격자들이 직접 구직자로 위장해 정권에 자금을 조달하기 위해 활동하거나, 기업 시스템에 악성코드를 유포하거나, 혹은 두 가지 모두를 병행하기도 한다.
각 사례는 온체인 흔적을 남길 수 있습니다. 지난 18개월 동안, 체이널리시스 이와 유사한 북한과 연계된 가짜 인터뷰 및 악성코드 사기 사건으로 인해 1,430만 달러 이상의 손실이 발생한 것으로 집계되었습니다. 이러한 사기 수법은 개인 가상자산 보유자와 개인 지갑부터 조직, 프로토콜, DAO에 이르기까지 광범위한 대상을 대상으로 이루어졌습니다. 바이낸스는 이러한 일련의 사건 중 가장 최근의 사례가 되었습니다.
우리 기관의 수석 정보 분석가인 톰 맥루스는 “개인 차원에서 ‘지갑 해킹’으로 이어진 수십 건의 다른 채용 면접 관련 보안 침해 사례를 확인했다”고 말했다. 이러한 초기 사건들의 피해 규모는 수만에서 수백만까지 다양했지만, 더 큰 의미는 공격자들이 이를 통해 무엇을 배웠는지에 있을지도 모른다.
맥루스는 일련의 타협 과정을 거치면서 북한 해커들이 “공격 기법을 완성하고 발전시켜 왔다”고 설명하며, 이들은 접근 방식을 정교화하고 점점 더 가치가 높아지는 표적을 노리는 데 필요한 역량을 구축했을 가능성이 있다고 덧붙였다. “그렇게 해서 역사상 최대 규모의 해킹 사건이 발생한 것이다.”
이러한 맥락에서 볼 때, 바이낸스 해킹 사건은 수개월, 혹은 수년에 걸친 준비와 연습의 정점일 수 있다.
가짜 면접이 어떻게 바이낸스로 가는 문을 열어주었는지
화요일, 바이낸스는 북한 측이 자사 거래소를 대상으로 감행한 다단계 공격에 대한 초기 조사 결과를 발표했다.
이 공격은 지난 9월, 한 엔지니어가 채용 면접 초대를 받은 것으로 시작되었습니다. 바이낸스는 공격자들이 수 주에 걸쳐 바이낸스 직원과 신뢰를 쌓아간 과정을 공개했는데, 공격자들은 먼저 합법적인 채용 플랫폼을 통해 해당 직원에게 채용 제안을 보내며 접근했습니다. 가상의 회사와 두 차례의 면접을 거친 후, 해당 바이낸스 직원은 악성 코드가 포함된 면접 과제를 다운로드하라는 요청을 받았습니다. 이를 통해 공격자들은 초기 침투 경로를 확보했습니다. 이후 공격자들은 악성코드를 배포하고 내부 AI 도구에 대한 접근 권한을 악용하여 바이낸스 시스템 깊숙이 침투했습니다.
이번 침해 사고의 규모는 전례가 없었지만, 이러한 침입 방식 자체는 새로운 것이 아니었다. 글로벌 서비스 부문 체이널리시스 글로벌 서비스 부문의 수석 매니저인 알렉 제브릭(Alec Zebrick)이 이번 주 언급했듯이, 북한 해커들은 그가 “전염성 인터뷰(contagious interviews)”라고 부르는 수법을 반복적으로 사용해 특권 접근 권한을 가진 직원을 표적으로 삼아, 이들의 인증 정보와 권한을 악용해 조직의 내부 시스템에 침투해 왔다. 이로 인해 민감한 인프라에 접근할 수 있는 직원들은 이러한 작전에서 특히 가치 있는 표적이 된다.
북한의 악성코드는 대상 시스템에 스스로 침투한다
바이낸스 해킹 사건은 가짜 인터뷰가 어떻게 주요 조직에 침투할 수 있는 발판이 될 수 있는지 보여줍니다. 파트너사들과 협력하면서, 우리는 공격자들이 이러한 수법을 어떻게 발전시켜 왔는지 확인했습니다.
악의적인 인터뷰를 통해 피해자의 지갑 개인 키가 클라우드 저장소에서 도난당한 사례가 다수 확인되었습니다. 일부 피해자들은 시드 문구가 감염된 기기에 한 번도 다운로드된 적이 없다고 진술했는데, 이는 공격자의 접근 권한이 로컬 파일을 넘어, 해킹당한 클라우드 계정 정보나 브라우저 세션을 통해 이루어졌을 가능성을 시사합니다.
이는 북한산 악성코드가 감염된 시스템에서 ‘ 가상자산 ’ 시드 문구와 비밀번호 관리자 관련 파일을 검색한다는 마이크로소프트의 보고 내용과 일치합니다. 공격자들이 작전 초기에 수집한 인증 정보는 감염된 기기를 훨씬 넘어 연결된 계정에 대한 접근 권한을 열어줄 수 있습니다. 바이낸스 공격의 경우, 동일한 기본 수법(가짜 인터뷰를 통해 초기 침투 경로를 확보하는 방식)을 통해 공격자들은 결국 거래소 인프라 깊숙이 침투할 수 있었습니다.
북한의 수익성 높은 불법 고용 생태계 내부
바이낸스 해킹 사건은 북한의 막대한 수익을 창출하는 불법 고용 생태계의 한 예에 불과하다.
북한은 기업에 침투하기 위해 다른 가짜 채용 사기뿐만 아니라 사기성 IT 채용 등 다양한 사회공학 전술을 활용하고 있다.
체이널리시스 은 북한 행위자들이 이러한 기법을 어떻게 발전시키고 활용하고 있는지에 대한 여러 가지 다른 사례들을 추적해 왔습니다. 새롭게 대두되고 있는 위협 중 하나는 악성코드 명령어를 숨기기 위해 공개 블록체인을 이용하는 것으로, 우리는 이를 ‘블록체인 데드 드롭(BDD)’이라고 명명합니다. 우리 연구에 따르면, 지난 1년 동안 이러한 블록체인 기반 사이버 공격이 5배나 급증한 것으로 나타났으며, 이러한 급증은 국가 차원의 행위자들과 오픈-웨이트 AI 모델의 잠재적 활용에 기인한 것으로 보입니다.
우리의 연구에 따르면, 북한 관련 주체들은 2025년 초부터 ‘이더하이드(Etherhiding)’ 등 다양한 명칭으로 불리는 이러한 전술을 사용하기 시작했으며, 이는 가짜 취업 면접 수법을 통해 해킹당한 피해자 컴퓨터와 악성코드 명령 및 제어(C2) 인프라 간의 연결을 유지하기 위함이다. 이들은 중앙 집중식 호스팅이나 법 집행 기관의 요청에 따라 압수될 수 있는 호스팅에 의존하는 것보다, 블록체인 거래가 C2 인프라를 구축하기에 더 탄력적인 환경이기 때문에 이러한 방식을 채택한 것이다.
우리의 온체인 분석을 통해 밝혀진 북한의 한 기법은 C2 통신을 두 개의 블록체인(TRON과 Aptos)에 분산시켜 중복성을 확보하고, 감염된 기기를 세 번째 블록체인인 BSC로 유도합니다. 공격자는 TRON과 Aptos에 BSC상의 트랜잭션을 가리키는 포인터를 삽입합니다. 감염된 기기가 TRON을 조회하여 필요한 정보를 얻지 못하면, 백업 수단으로 Aptos로 전환합니다. 어느 쪽이든 결국 페이로드가 저장된 BSC로 연결되어 목적지에 도달하게 됩니다.
최근 북한은 ‘널 리시버(null receiver)’라고 불리는 전술을 사용하고 있는데, 이는 실제로 누구도 제어하지 않으며 ‘ 가상자산 ’ 자산을 제어하도록 설계되지 않은, 특수하게 조작된 주소에 동일한 C2 통신 명령을 삽입하는 방식이다. 이 주소 자체는 감염된 기기가 읽을 수 있는 명령어로 해독될 수 있다.
북한의 IT 종사자들이 기업에 위장 침투하고 있다
북한의 고용 사기 수법 중 또 다른 측면은 대규모 IT 인력 사기 scheme이다. 이 scheme에서 북한 요원들은 합법적인 구직자로 위장해 전 세계 기업들에 취직하여 급여를 받으며, 기밀 시스템에 접근할 기회를 얻을 수도 있고, 동시에 국가에 수익을 창출한다.
유엔은 북한의 IT 인력 생태계가 정권에 연간 6억 달러 이상의 수익을 창출하는 것으로 추산하고 있다. 이러한 ‘그림자 인력’은 종종 가상자산 과 직접적으로 연계되어 있다. 많은 경우, IT 인력들은 가상자산 에 속한 기업들에 침투하려 시도해 왔다. 또한 이들은 가상자산 을 이용해 불법 수익을 세탁하기도 한다. 지난달, 우리는 북한이 운영하는 IT 인력 사기 계획에 가담한 혐의로 미국으로부터 제재를 받은 러시아 및 북한 국적자들로 구성된 네트워크에 대해 소개한 바 있다.
체이널리시스 북한 IT 인력 활용 방식을 겨냥한 제재 대상 지정 시 가상자산 주소의 포함 여부를 면밀히 추적하며, 이 위협에 관한 공개 정보도 함께 모니터링하고 있다.
북한의 IT 종사자들은 대개 해외로 파견되어 VPN이나 도난당한 신분증 등 다양한 위장 기법을 활용해 전 세계 각지의 기업에 취업합니다. 채용된 후, 이들은 종종 스테이블코인으로 대금을 지급해 달라고 요청합니다.
우리는 이러한 온체인 활동을 포착했는데, 그중 한 사례에서는 지갑으로 급여 지급을 암시하는 정기적인 입금이 이루어진 경우도 있었습니다.
월급을 받으면 북한 IT 근로자들은 이 자금 가상자산 을 앞서 언급한 러시아 및 북한 국적자 같은 중개자들에게 송금한다.
어떻게 체이널리시스 돈의 흐름을 추적하는가
바이낸스 사건은 북한이 어떻게 다각적인 사이버 범죄 전략을 지속적으로 개발하고, 시험하며, 개선해 나가고 있는지를 보여준다.
동일한 공격자들은 채용 플랫폼을 악용하고, 기업 인프라를 침해하며, 합법적인 기업에 침투한 뒤, 가상자산 을 이용해 이를 통해 얻은 수익을 이동시킬 수 있습니다. 공격자들의 수법이 진화함에 따라, 조직들은 기존의 사이버 보안 통제 수단을 넘어 이러한 작전을 가능하게 하는 금융 인프라까지 고려해야 합니다.
체이널리시스 북한 관련 주체들이 ‘ 가상자산 ’를 이용하여 수익을 창출하고, 자금을 이동 및 통합하며, 불법 수익을 세탁하는 방식을 면밀히 모니터링하고 있다.
이러한 노력에 있어 블록체인 인텔리전스는 매우 중요합니다. 블록체인 분석은 기존의 사이버 보안 조치 및 위협 인텔리전스와 결합될 경우, 조직과 수사관들이 도난당한 자금을 파악하고 동결하며, 북한의 확장되는 금융 네트워크를 파악하고, 제재 조사 및 집행에 기여할 수 있는 조달 및 지급 패턴을 밝혀내는 데 도움을 줄 수 있습니다.
바이낸스에 대한 조사는 여전히 진행 중이며, 향후 며칠 동안 도난당한 자금이 계속 이동할 것으로 예상됩니다. 체이널리시스 는 도난 자금을 추적하고, 추가적인 자금 세탁을 차단하며, 추가 손실을 최소화하기 위해 노력하는 과정에서 바이낸스와 업계 전반을 지원하기 위해 최선을 다하고 있습니다.
자주 묻는 질문
북한 해커들은 어떻게 바이낸스에서 64억 달러를 훔쳤을까?
이번 공격은 바이낸스 직원을 대상으로 한 가짜 채용 공고로 시작되었습니다. 공격자들은 가상의 회사를 통해 여러 차례의 면접을 진행하며 신뢰를 쌓은 뒤, 해당 직원에게 악성 코딩 과제를 보내 컴퓨터를 감염시키고 바이낸스 시스템에 대한 초기 접근 경로를 확보했습니다. 이후 공격자들은 악성코드를 배포하고 내부 AI 도구에 대한 접근 권한을 악용하여 거래소 인프라 깊숙이 침투했습니다.
북한의 가짜 인터뷰 사기 수법이란 무엇인가?
북한의 가짜 면접 수법은 사기성 채용 절차를 이용해 구직자의 컴퓨터를 해킹하고, 민감한 시스템이나 가상자산 지갑에 접근권을 확보합니다. 공격자들은 채용 담당자나 인사 관리자로 위장해 겉보기에는 합법적인 면접을 진행한 뒤, 악성 코딩 과제나 기타 다운로드 파일을 통해 악성코드를 유포합니다. 체이널리시스 이러한 작전을 “전염성 면접(contagious interviews)”이라고 부릅니다.
북한 해커들이 다른 ‘ 가상자산 ’ 공격에서도 가짜 인터뷰를 활용했는가?
네. 지난 18개월 동안, 체이널리시스 북한과 연계된 유사한 가짜 인터뷰 및 악성코드 사기 수법으로 인해 1,430만 달러 이상의 손실이 발생한 것으로 집계되었습니다. 공격 대상에는 개인 이더리움( 가상자산 ) 보유자, 개인 지갑, 기관, 프로토콜, DAO 등이 포함되었습니다. 이러한 초기 공격들은 북한 해커들이 더 큰 규모의 표적을 노리기 전에 공격 수법을 다듬는 데 도움이 되었을 가능성이 있습니다.
가짜 면접은 북한 해커들이 조직에 침투하는 데 어떻게 도움이 될까?
가짜 인터뷰를 통해 공격자는 직원의 기기, 인증 정보 및 권한에 접근할 수 있습니다. 민감한 인프라에 대한 특권적 접근 권한을 가진 직원은 특히 가치 있는 표적이 되는데, 이들의 계정이 해킹당하면 조직의 내부 시스템으로 침투할 수 있는 통로가 열리기 때문입니다.
북한의 불법 IT 근로자 계획이란 무엇인가?
북한 요원들은 합법적인 구직자로 위장하여, 종종 도용된 신원 정보나 기타 위장 기법을 활용해 전 세계 기업에서 원격 근무 자리를 확보한다. 이들은 급여를 받아 정권에 수익을 창출할 뿐만 아니라, 기업의 민감한 시스템에 접근할 수도 있다. 유엔은 이러한 생태계가 북한에 연간 6억 달러 이상의 수익을 창출하는 것으로 추산하고 있다.
북한은 사이버 범죄 활동에서 ‘ 가상자산 ’를 어떻게 활용하고 있는가?
북한과 연계된 행위자들은 스테이블코인( 가상자산 )을 통해 불법 고용으로 얻은 수익을 수령할 뿐만 아니라, 사이버 공격으로 얻은 자금을 이동 및 세탁하기도 한다. IT 종사자들은 중개자에게 자금을 이체하기 전에 스테이블코인으로 급여를 받을 수 있다. 또한 해커들은 퍼블릭 블록체인을 악용해 악성코드의 명령을 은폐하고 명령·통제 인프라를 유지하기도 한다.
어떻게 체이널리시스 북한과 관련된 사이버 범죄를 추적하는 데 어떻게 도움이 됩니까?
체이널리시스 블록체인 활동을 분석하여 북한과 연계된 주체들이 불법 자금을 어떻게 수령, 이동, 통합 및 세탁하는지 파악합니다. 이러한 정보는 수사 기관과 관련 기관이 도난당한 자금을 추적 가상자산 하고, 중개 네트워크를 식별하며, 제재 이행 조사 을 지원하고, 가능한 경우 자금을 동결하는 데 도움이 될 수 있습니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
