한 소프트웨어 엔지니어는 채용 담당자로부터 평범해 보이는 연락을 받았습니다. 채용 담당자는 그럴듯한 신원을 가지고 있었고, 라이브 화상 면접을 진행했으며, 다음 단계로 기술 과제를 제시했습니다.
과제에는 악성코드가 포함되어 있었습니다.
바이낸스는 2026년 10월 29일 공격자들이 약 63억 6천만 달러를 지갑에서 인출하기 전에 사용된 여러 의심스러운 침입 경로 중 하나가 가짜 채용 프로세스였다고 밝혔습니다. FBI는 이후 이 도난 사건을 북한의 소행으로 규정하고 관련 활동을 트레이더트레이터(TraderTraitor)로 식별했습니다.
이 사건은 기록상 최대 규모의 암호화폐 도난으로 묘사되고 있습니다. 그 중요성은 도난 금액을 넘어섭니다. 이는 북한 운영자들이 고용 시장의 양면을 이용하고 있음을 보여줍니다. 즉, 개발자로 위장하여 기술 회사에 침투하고, 채용 담당자로 위장하여 이미 회사에 근무 중인 사람들을 침해하는 것입니다.
바이낸스 해킹에서 무슨 일이 있었나?
블록체인 정보 회사인 TRM Labs에 따르면 공격자들은 10개의 블록체인에 걸쳐 바이낸스 지갑에서 약 63억 6천만 달러를 이체했습니다. 대부분의 자금은 약 20분 안에 이동했습니다.
영향을 받은 자산에는 비트코인, 이더리움, 솔라나, XRP, 아비트럼 및 기타 네트워크의 토큰이 포함된 것으로 알려졌습니다. 바이낸스는 연결된 핫 월렛 중 하나가 연루되었다고 확인하면서도 대부분의 고객 자산은 오프라인 콜드 스토리지에 남아 있다고 밝혔습니다.
바이낸스는 손실을 충당하기 위해 63억 4천만 달러 이상의 회사 자금을 확보했다고 밝혔습니다. 거래소와 블록체인 파트너들은 또한 영향을 받은 자산 약 30억 달러를 동결했습니다.
동결은 일부 자산이 참여 네트워크, 발행자 또는 서비스를 통해 이동하는 것을 방지합니다. 이는 자금이 회수되어 반환되었음을 반드시 의미하지는 않습니다. 공격자는 이미 교환, 브릿징 또는 참여 조직의 손이 닿지 않는 곳으로 이동한 자산을 여전히 통제할 수 있습니다.
FBI가 북한을 비난한 이유
FBI는 이 공격을 북한의 소행으로 규정하고 해당 국가의 사이버 작전과 관련된 악의적 활동에 사용되는 라벨인 트레이더트레이터(TraderTraitor)와 연관시켰습니다.
국장은 공격자들이 탈중앙화 금융 프로토콜과 즉석 교환 서비스를 통해 도난당한 자산을 계속 세탁할 것으로 예상한다고 경고했습니다. 이러한 도구는 사용자가 토큰 또는 네트워크 간에 자산을 교환할 수 있도록 하여 잠재적으로 자금 추적을 더 복잡하게 만듭니다.
블록체인 거래는 여전히 볼 수 있지만, 가시성이 회수를 보장하지는 않습니다. 수사관은 서로 다른 네트워크에 걸쳐 지갑을 연결하고, 어떤 서비스가 사용되었는지 결정하고, 주소를 통제하는 사람들을 식별해야 합니다. 자금이 제재 집행 또는 신원 요청에 협조하지 않는 플랫폼에 도달하면 회수가 더 어려워집니다.
TRM Labs는 이 공격의 특징이 북한과 관련된 이전 도난 사건과 유사하다고 말했습니다. Chainalysis 또한 트레이더트레이터가 책임이 있을 가능성이 높다고 평가했습니다. FBI의 귀속은 완전한 포렌식 기록이 공개되지 않았음에도 불구하고 주장에 공식적인 무게를 더합니다.
가짜 면접은 하나의 침입 경로였습니다
바이낸스는 9월에 엔지니어 중 한 명이 합법적인 구직 플랫폼을 통해 가상의 회사를 사칭하는 사람으로부터 연락을 받았다고 밝혔습니다.
첫 번째 면접에서 인사 담당자로 위장한 사람이 라이브 화상 통화에 나타났습니다. 프로필에는 신뢰할 수 있어 보일 만큼 충분한 개인 정보와 경력이 있었습니다.
두 번째 단계에는 기술 과제가 포함되었습니다. 엔지니어는 악성코드를 전달하도록 수정된 코드 저장소를 다운로드하라는 요청을 받았습니다.
바이낸스는 또한 다른 엔지니어가 AI 코딩 도구를 설정하려다 변조된 소프트웨어 설치 프로그램을 다운로드한 별도의 사건을 발견했습니다. 보안팀은 해당 설치를 감지하고 장치를 교체했으며 자격 증명을 변경했습니다. 회사는 나중에 해당 직원과 동료들이 여전히 노출되었을 수 있다고 말했습니다.
바이낸스는 여러 의심스러운 침해 지점을 확인했습니다. 따라서 증거는 전체 도난 사건을 하나의 면접이나 한 명의 직원으로 축소하는 것을 지지하지 않습니다. 채용 접근 방식은 귀중한 시스템에 접근할 수 있는 사람들을 대상으로 몇 달 동안 진행된 더 광범위한 캠페인의 일부였던 것으로 보입니다.
직업 면접이 공격 방법으로 효과적인 이유
기술 면접은 일반적인 피싱 이메일이 제공하지 못하는 것을 공격자에게 제공합니다. 즉, 대상에게 코드를 실행하도록 요청할 수 있는 그럴듯한 이유를 제공합니다.
소프트웨어 엔지니어는 일상적으로 저장소를 복제하고, 패키지를 검토하고, 개발 도구를 설치합니다. 이러한 행동을 중심으로 구축된 면접 과제는 일반적인 채용 관행과 일치하는 것처럼 보일 수 있습니다. 공격자는 공황을 조성하거나 불가능한 보상을 약속할 필요가 없습니다. 요청은 맥락에 맞습니다.
또한 어려운 고용 시장에서는 구직자들이 새로운 연락에 더 수용적일 수 있습니다. 설득력 있는 채용 담당자, 현실적인 회사 프로필, 여러 차례의 대화는 파일을 다운로드하기 전에 의심을 낮출 수 있습니다.
이것은 개발자에게 맞춰진 사회 공학입니다. 공격자는 자격 증명을 직접 요청하는 대신, 대상이 자발적으로 신뢰할 수 있는 환경에 악성 소프트웨어를 도입하는 상황을 만듭니다.
북한은 원격 채용의 양면을 이용하고 있습니다
가짜 채용은 작전의 일부일 뿐입니다.
북한 IT 노동자들은 또한 도난당한 신원과 위조된 고용 이력을 사용하여 기술 및 금융 회사에서 실제 직업을 얻었습니다. 그들의 임금은 북한 정부와 관련된 조직에 도달하기 전에 계정, 암호화폐 지갑 및 중개자를 통해 이체될 수 있습니다.
10월 28일 미국 재무부 조치는 이러한 계획과 관련된 10명의 개인과 1개 법인을 제재했습니다. 두 명의 러시아 국적자는 북한 IT 노동자 네트워크를 위해 약 550만 달러의 암호화폐를 전환한 혐의를 받았습니다.
Chainalysis는 급여와 유사한 스테이블코인 지급을 보여주는 지갑에서 제재된 통합 주소로, 그리고 러시아 중개자에게로 이어지는 한 흐름을 추적했습니다. 자금은 궁극적으로 전환을 위해 제재된 러시아 거래소인 Garantex로 보내졌습니다.
Chainalysis의 조사에 따르면 더 광범위한 IT 노동자 네트워크는 유엔 패널의 추정치를 인용하여 북한에 연간 2억 5천만 달러에서 6억 달러의 수익을 창출할 수 있다고 합니다.
10월 28일에 제재된 러시아인들이 바이낸스 도난 사건에 가담했다는 공개적인 증거는 없습니다. 이 사건들은 하나의 입증된 피고인 그룹이라기보다는 동일한 더 넓은 전략의 다른 부분을 보여줍니다.
AI는 허위 신원을 더욱 설득력 있게 만듭니다
북한 운영자들은 이력서 준비, 자기소개서 작성, 기술 면접 연습을 위해 생성형 AI를 사용한 것으로 알려졌습니다. AI 생성 프로필 사진과 조작된 비디오는 원격 통화 중에 지원자가 실제 신원을 숨기는 데 도움이 될 수 있습니다.
동일한 도구는 가짜 채용 담당자를 지원할 수 있습니다. 공격자는 회사 신원을 만들고, 전문적으로 보이는 프로필을 생성하고, 한때 사기를 탐지하기 쉽게 만들었던 언어 오류 없이 설득력 있는 서면 대화를 유지할 수 있습니다.
딥페이크 비디오가 완벽할 필요는 없습니다. 압축된 비디오 피드를 통해 진행되는 짧은 면접에서 사소한 시각적 문제는 일반적인 네트워크 문제처럼 보일 수 있습니다. 후보자 또는 채용 담당자는 카메라 품질, 대역폭 또는 개인 정보 보호 문제로 인해 배경이 흐릿하게 유지된다고 주장할 수도 있습니다.
AI가 근본적인 계획을 만든 것은 아닙니다. 여러 허위 신원을 유지하는 비용을 줄이고 기본적인 심사를 덜 신뢰할 수 있게 만들었습니다.
이전 제재 사건은 금융 파이프라인을 설명합니다
10월 28일의 제재는 북한 요원들이 암호화폐 결제를 받은 후 무슨 일이 일어나는지에 대한 유용한 맥락을 제공합니다.
미국 재무부는 러시아 국적자 일리야 알렉산드로비치 보이코프(Ilya Aleksandrovich Boykov)가 북한 IT 노동자와 관련된 제재 대상 회사인 알리스(Alis)를 위해 약 350만 달러의 암호화폐를 전환했다고 주장했습니다. 비톨드 빅토로비치 오베르타스(Vitold Viktorovich Obertas)는 거의 200만 달러의 암호화폐를 전환하고 북한 관리들을 위해 125만 달러 이상의 다른 통화 거래를 처리한 혐의를 받았습니다.
재무부는 또한 러시아에서 운영되는 북한 통제 조직인 퍼스트 파이낸셜 앤 테크니컬 개발 센터(First Financial and Technical Development Center)를 제재했습니다. 해당 조직과 관련된 6명의 직원은 2025년 이후 75만 달러 이상을 창출한 것으로 알려졌습니다.
이러한 지정은 작전이 기술 면접을 통과할 수 있는 사람들 이상을 필요로 함을 보여줍니다. 또한 관리자, 신원 제공자, 노트북 운영자, 지갑 통제자 및 디지털 자산을 사용 가능한 자금으로 전환할 수 있는 중개자가 필요합니다.
지갑을 제재하는 것은 하나의 경로를 방해할 수 있습니다. 네트워크는 주소, 체인, 중개자 또는 현금화 서비스를 변경하여 대응할 수 있습니다. 이것이 거래 모니터링이 정적 블랙리스트에만 의존하는 대신 관계와 행동을 조사해야 하는 이유입니다.
암호화폐 회사가 매력적인 표적이 되는 이유
암호화폐 회사는 원격 근무와 양도 가능한 가치에 대한 직접적인 액세스를 결합합니다.
개발자는 소스 코드, 배포 도구, 클라우드 인프라 또는 내부 지갑 시스템에 액세스할 수 있습니다. 보안 엔지니어는 여러 네트워크를 보호하는 자격 증명으로 작업할 수 있습니다. 하나의 엔드포인트를 침해한 공격자는 언제든지 이동할 수 있는 자산을 보유한 시스템으로의 경로를 검색할 수 있습니다.
전통적인 금융 이체는 종종 청산 시스템, 은행 및 영업 시간 통제를 거칩니다. 암호화폐 거래는 몇 분 안에 국경을 넘어 정산될 수 있습니다. 그 속도는 합법적인 사용자에게 이익이 되지만, 도난을 막기 위해 사용할 수 있는 시간을 단축하기도 합니다.
바이낸스 사건은 그 문제의 규모를 보여줍니다. 블록체인 파트너들이 도난당한 자산의 거의 절반을 동결한 것으로 알려졌음에도 불구하고, 조정된 대응이 효과를 발휘하기 전에 수십억 달러가 이동했습니다.
핫 월렛은 중요한 보안 경계로 남아 있습니다
핫 월렛은 거래소가 인출을 처리할 수 있도록 온라인 시스템에 연결됩니다. 이러한 가용성은 서명 자격 증명을 오프라인으로 보관하는 콜드 월렛보다 더 노출되게 만듭니다.
AP 보고서는 침해된 승인이 해당 월렛에 과도하게 광범위하거나 장기적인 액세스를 제공했을 수 있는지 의문을 제기한 외부 보안 전문가를 인용했습니다. 바이낸스는 완전한 기술 계정을 공개하지 않았으며 조사는 계속 진행 중입니다.
관련 문제는 거래소가 핫 월렛을 사용하는지 여부만이 아닙니다. 모든 활성 거래 플랫폼은 고객 인출을 처리할 방법이 필요합니다. 문제는 온라인에 얼마나 많은 가치가 보관되는지, 거래 한도가 어떻게 시행되는지, 비정상적인 이체에 대해 몇 개의 독립적인 승인이 필요한지입니다.
안전한 콜드 스토리지 시스템은 총 손실을 제한할 수 있지만, 이미 운영 지갑으로 이동한 자산은 보호할 수 없습니다. 탐지 및 거래 제어는 해당 경계에서도 여전히 중요합니다.
30억 달러 동결이 회수 프로세스를 끝내지 않습니다
보고된 약 30억 달러의 동결은 상당합니다. 또한 상당한 금액이 해결되지 않은 상태로 남아 있습니다.
일부 블록체인 발행자는 계약 수준에서 토큰을 동결할 수 있습니다. 거래소는 식별된 주소와 연결된 입금을 차단할 수 있습니다. 검증자, 브릿지 및 분석 회사는 도난당한 자산이 이동하기 시작할 때 신속하게 경고를 배포할 수 있습니다.
다른 자산은 막기가 더 어렵습니다. 공격자는 탈중앙화 풀을 통해 토큰을 교환하거나, 체인을 가로질러 이동하거나, 개인 정보 보호 도구를 사용하거나, 미국 당국과 협력하지 않는 관할권에 위치한 서비스를 통해 자금을 라우팅할 수 있습니다.
FBI는 특히 DeFi 및 즉석 교환 서비스가 세탁 과정에 나타날 수 있다고 경고했습니다. 그 경고는 해당 서비스가 의도적으로 참여했다는 것을 의미하지는 않습니다. 허가 없는 도구는 합법적인 고객과 제재 대상 행위자 모두가 사용할 수 있습니다.
회수는 수사관이 새 주소를 얼마나 빨리 식별하고 나머지 자금 중 얼마가 차단할 수 있는 서비스에 도달하는지에 달려 있습니다.
기업이 공격에서 배워야 할 점
바이낸스 사례는 채용 보안이 인사 부서만의 책임이 될 수 없는 이유를 보여줍니다.
그럴듯해 보이는 직업 연락은 프로덕션 시스템으로의 경로가 될 수 있습니다. 면접 중에 받은 코드는 인식된 고용 플랫폼을 통해 전달되더라도 신뢰할 수 없는 소프트웨어로 취급해야 합니다. 격리된 장치 또는 임시 환경에서 테스트하면 일반적인 경력 대화가 회사 자격 증명에 도달하는 것을 방지할 수 있습니다.
신원 확인은 고용 후에도 계속되어야 합니다. 첫날 서류를 확인하지만 비정상적인 원격 액세스, 장치 위치 또는 결제 변경을 무시하는 회사는 다른 사람이 계정을 장악했다는 징후를 놓칠 수 있습니다.
북한 IT 노동자에 대한 FBI의 지침은 고용 이력을 독립적으로 확인하고, 신원 불일치를 조사하고, 제3자 주소로 보낸 회사 장치에 주의를 기울일 것을 권장합니다. 또한 무단 원격 액세스 소프트웨어와 작업자의 실제 위치를 숨기는 데 사용되는 미국 기반 "노트북 농장"에 대해서도 경고합니다.
암호화폐 회사의 경우 채용 통제, 장치 보안, 지갑 권한 및 제재 검사가 하나의 시스템으로 작동해야 합니다. 공격자들은 이미 그렇게 취급하고 있습니다.
Tapbit은 디지털 자산 시장을 형성하는 세력을 따르는 독자들을 위해 시장 분석 및 암호화폐 교육을 발행합니다. Tapbit에 대한 최신 보도를 살펴보고, Tapbit 로그인을 통해 기존 계정에 액세스하거나, 플랫폼에 대해 자세히 알아보려면 Tapbit에 등록하세요.
자주 묻는 질문
2026년 10월 바이낸스를 해킹한 사람은 누구인가?
FBI는 이 도난 사건을 북한의 소행으로 규정하고 트레이더트레이터(TraderTraitor)와 연관시켰습니다. TRM Labs와 Chainalysis는 공격의 행동과 이전 사건과의 연관성을 바탕으로 유사한 평가를 내렸습니다.
바이낸스에서 얼마나 많은 금액이 도난당했나?
약 63억 6천만 달러 상당의 암호화폐 자산이 10개의 블록체인에 걸쳐 바이낸스 지갑에서 이체되었습니다. 이는 기록상 최대 규모의 암호화폐 도난으로 묘사되었습니다.
바이낸스가 고객 자금을 잃었나?
바이낸스는 손실을 충당하기 위해 63억 4천만 달러 이상의 회사 자금을 확보했으며 사용자를 보호하겠다고 약속했습니다. 회사는 대부분의 고객 자산이 오프라인 콜드 스토리지에 남아 있다고 보고했습니다.
