바이낸스, 초기 보안 사고 조사 결과 공개: 가짜 채용부터 해킹된 AI 도구까지, 해커는 어떻게 계층적으로 침투했나?

11월 3일 바이낸스는 10월 29일 발생한 보안 사고에 대한 초기 조사 보고서를 발표하고, 공격 전 과정 및 공격자의 침투 경로를 공개했다. 보고서에 따르면 공격자는 가짜 채용 면접, 악성코드, 내부 해킹 AI 도구를 통해 여러 직원의 기기를 점차 장악해 지갑 서명 권한을 확보했으며, EIP-7702 인증 메커니즘을 이용해 정상 출금 절차를 우회해 자산을 이체했다.

이 사고로 총 약 63억 4천만 달러 상당의 자산이 유출됐다. 보고서 발표 시점 기준 약 28억 5천만 달러 상당의 자산이 동결 또는 차단됐으며, 영향받은 토큰 자산의 98%가 보충 완료됐다. 바이낸스는 관련 손실을 플랫폼이 부담할 것이라 밝히고, 피해 시스템 재구축, 보안 강화, 독립 제3자 심사 의뢰를 시작했다. 보고서는 미국 연방수사국(FBI) 최신 정보에 따라 이번 사고는 북한이 주도했다고 명시했다.

다음은 전문이다:

2026년 10월 29일, 바이낸스는 심각하고 고도화된 보안 사고를 겪었다. 이런 사고는 결코 발생해서는 안 되었으며, 사용자, 파트너 및 업계 전체에 초래한 우려와 업무 차질, 불확실성에 대해 깊이 사과드린다.

사용자 보호는 항상 우리의 최우선 과제다. 유출 자금으로 인한 금융 손실은 바이낸스가 전액 부담하며, 사용자에게 전가되지 않는다. 손실 금액보다 100% 이상의 예비 자금을 확보해 손실을 보전할 예정이다. 2026년 10월 31일 기준 영향받은 토큰 자산의 98%가 보충 완료됐으며, 증거 기반 예치(Proof of Reserves) 페이지에서 확인 가능하다. 유동성이 낮아 아직 보충되지 않은 자산 부분은 구매 중이다.

이번 사고로 유출된 디지털 자산 총액은 약 63억 4천만 달러다. 보고서 발표 시점 기준 약 28억 5천만 달러 상당의 디지털 자산이 동결 또는 차단됐다. 정확한 금액은 추가 검증이 필요하며, 시장 가격 변동에 따라 달라질 수 있다.

우리는 즉시 사고 영향을 억제하고 피해 시스템 보안을 강화하기 위한 조치를 취했다. 공격자가 악용한 모든 입구가 차단되었으며, 공격 경로에 포함된 시스템은 재구축 또는 교체됐다. 또한 기기 제어 강화, 지갑 서비스 리스크 관리 강화, AI 기반 이상 행동 탐지 능력 확대 등 추가 조치를 시행했다.

본 보고서는 초기 조사 결과로, 현재까지 파악된 상황과 이미 완료된 보안 개선 사항을 다룬다. 조사는 계속 진행 중이며, 관련 결과는 독립적인 추가 검토를 거칠 예정이다. 악의적 공격자가 정보를 악용해 공격을 기획하지 못하도록 일부 기술 세부사항은 비공개로 유지한다. 독립 보안 전문 기관에 추가 검토를 의뢰했다.

미국 연방수사국(FBI)이 발표한 최신 정보에 따르면, 이 사고는 조선민주주의인민공화국(DPRK)이 주도했다.

우리는 업계 전체가 이러한 교훈을 함께 배울 때만 보안 기준이 지속적으로 향상될 수 있다고 판단해 본 초기 보고서를 공개하기로 했다.

10월 29일에 일어난 일

공격은 여러 네트워크에 걸쳐 신속하게 전개됐다.

공격자는 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차를 벗어난 거래를 실행했다.

UTC 기준 20:05~20:09 사이, 바이낸스 핫월렛 5개가 공격자 소유 주소로 2억 3,346만 XRP를 이체했다.

이후 솔라나 및 옵티미즘 네트워크에 배포된 바이낸스 핫월렛이 각각 공격자 소유 주소로 약 97만 500 SOL 및 4,420만 OP를 이체했다.

그 후 바이낸스는 대규모 자산 이체 관련 내부 경보를 수신하고 즉시 조사를 개시했다.

바이낸스 핫 월렛에서 공격자들이 통제하는 주소로 18,270 BTC가 이체됨.

공격자들은 이후 서명 서비스를 이용해 이더리움의 EIP-7702 권한 부여 메커니즘을 추가로 악용함.

EIP-7702은 계정이 개인 키를 노출하지 않고도 스마트 계약에 부분 실행 권한을 위임할 수 있도록 함. 이번 사건에서 공격자는 이 메커니즘을 활용해 바이낸스 핫 월렛 중 하나에 대한 부분 실행 권한을 자신들이 통제하는 스마트 계약에 부여함.

바이낸스는 즉시 자금 유출을 제한하기 위해 출금 일시 중단, 관련 토큰 동결을 위한 파트너 협조, 무단 권한 철회 조치 등 다수의 비상 대응 조치를 시행했으며, 이를 통해 총 28.5억 달러 상당의 자산을 동결함.

그러나 출금 중단만으로는 모든 무단 자산 이체를 차단하기에 불충분함. 악성 EIP-7702 권한은 이미 블록체인 상에 존재하며 바이낸스 일반 출금 인프라와 무관하게 독립적으로 작동함.

공격자는 총 50건의 서명된 트랜잭션을 제출해 계정 논스(거래 시퀀스 번호)를 조작해 악성 위임 권한을 설정함. 이 권한이 확립된 후 공격자는 바이낸스 일반 출금 인프라를 우회해 자산 이체를 계속 수행함. 바이낸스는 이러한 체인 상 권한을 철회하기 위해 추가 트랜잭션을 실행해야 했음.

자산 통제 복구 전체 과정은 또 다른 기술적 복잡성에도 직면함. 관련 핫 월렛이 다자간 연산(MPC) 기술을 사용하므로 악성 EIP-7702 권한을 즉시 철회할 수 있는 단일 개인 키가 존재하지 않음. 따라서 팀은 특수 철회 프로세스를 별도로 개발·실행해야 했으며, 이는 추가 시간을 필요로 함.

또한 출금 중단 및 핫 월렛 서비스 종료는 이미 체인 상에 존재하는 권한을 자동으로 무효화하지 않음.

이러한 도전 과제들로 인해 무단 자산 이체를 완전히 통제하는 데 소요되는 시간이 연장됨. 당사는 이번 사건의 비상 대응 절차, 서명 정책 범위 및 핫 월렛 관리 방식을 검토 중이며, 향후 위협 대응 속도를 더욱 향상시킬 수 있는 방안을 모색하고 있음.

최종 무단 이체는 2,961.9 ETH로, UTC 기준 23:56에 최종 블록체인 확인 완료됨. 해당 거래는 이전에 방송되었으며, 최종 확인 전까지 보류 상태였음. 그 이후 추가 무단 이체는 관측되지 않음.

2026년 10월 30일 00:10(UTC)에 바이낸스는 바이낸스14 핫 월렛에서 제로 주소(zero address)로 새로운 권한 부여 트랜잭션을 실행해 EIP-7702 위임 코드를 삭제함.

공격 준비 과정

현재 조사 결과에 따르면, 이번 사건은 단일 침입이나 단순 피싱 공격이 아닌 복합적이고 다단계로 이루어진 공격 작전임.

공격자들은 가짜 채용 면접을 통한 사회공학, 악성코드 다운로드 유도, 해킹된 내부 AI 도구 악용, 직원 엔드포인트 장치 침해, 고급 거래 권한 기법 활용 등 여러 기술적 수단을 결합함.

2026년 6월 — 공급망 공격. 월렛 DevOps 팀의 엔지니어 A가 검색 엔진에서 인기 AI 코딩 도구를 검색해 변조된 Homebrew 설치 패키지를 다운로드하고 이를 통해 관련 도구 설치를 시도함. 바이낸스 보안팀이 이상 징후를 탐지해 장치를 사전 교체하고 관련 자격 증명을 모두 갱신함. 그러나 엔지니어 A의 역할 정보 및 월렛 인프라 팀 관련 동료 정보는 이미 공격자에게 유출됨.

2026년 한 해 동안 — 지속적 사이버 공격. 2026년부터 바이낸스 보안팀은 북한과 연계된 57건의 의심 사이버 위협 사고를 탐지·차단함. 이는 국가 후원 공격자가 암호화폐 산업을 지속적으로 표적으로 삼고 있음을 반영함. 관련 공격 기법에는 가짜 채용 면접, 인기 개발자 도구로 위장한 악성코드, 변조 소프트웨어 패키지 및 브라우저 확장 프로그램, 가짜 영상 회의 애플리케이션, 자격 증명 탈취 또는 원격 접속 악성코드 배포를 목표로 한 사회공학 공격 등이 포함됨.

9월 — 사회공학 공격. 소프트웨어 엔지니어 B는 정식 채용 플랫폼을 통해 ‘프로젝트 디렉터’라고 주장하는 사람으로부터 연락을 받음. 엔지니어 B의 해당 플랫폼 프로필에는 바이낸스 근무 이력이 명시되어 있었음. 이 사람은 인사 담당자 주관 1차 면접과, 가상 회사 CEO라고 주장하는 인물이 참여하는 2차 면접을 진행함.

1차 면접 중, 인사 담당자 행세를 한 인터뷰어는 엔지니어 B와 실시간 영상 면접을 진행함. 신뢰 구축을 위해 인터뷰어는 자신의 소셜미디어 계정을 엔지니어 B에게 공유하였으며, 해당 계정에는 인터뷰어가 직접 게시한 개인 사진 및 영상이 포함되어 있었음. 이 전술은 과거 관측된 사회공학 기법보다 더 정교하고 기만적임.

2차 면접은 인기 소셜 채팅 애플리케이션을 통해 진행됨. 면접 종료 직전, 엔지니어 B는 업무용 컴퓨터에 ‘과제’라는 이름의 파일을 다운로드하도록 요청받았으며, 이 파일에는 악성 코드 저장소가 포함되어 있었음. 저장소 내 악성 코드는 설치 시 자동 실행되어 일련의 무단 작업을 유발함.

해당 악성코드는 정교한 코드 난독화 및 탐지 회피 기법을 사용함. 예를 들어, 정품 개발자 도구 구성 요소를 악성 버전으로 대체해 명령 실행 및 공격자 통제 외부 서버와의 통신을 확립함. 당시 엔드포인트 보안 도구는 이 제로데이 악성코드를 탐지하지 못함. 공격자는 악성 활동을 은닉하고 관련 흔적을 삭제하는 조치도 취해 탐지 및 후속 조사 난이도를 더욱 높임.

이 스크립트는 코드 난독화 기법을 통해 보안 탐지를 회피했으며, 구체적으로 다음 작업을 수행했습니다:

10월 20일 — 내부 AI 도구를 공격 발판으로 활용. 엔지니어 B의 침해된 컴퓨터를 이용해 공격자들은 바이낸스 내부 AI 도구를 통해 월렛 DevOps 엔지니어 A와 다른 월렛 소프트웨어 엔지니어 C의 장치도 추가로 장악했습니다. 공격자들은 곧 월렛 DevOps 엔지니어 A의 컴퓨터에 컨테이너 배포 권한을 가진 토큰이 저장되어 있음을 신속히 발견했습니다.

10월 29일 — 월렛 서명 작업 침투. 10월 29일 17시 15분부터 19시 56분까지 공격자들은 소프트웨어 엔지니어 C의 컴퓨터에 로그인하여 월렛 DevOps 엔지니어 A로부터 도난당한 자격 증명을 사용해 컨테이너를 배포하고 악성 스크립트를 실행함으로써 최종적으로 공격을 개시했습니다.

조치 사항

2026년 11월 3일 기준, 다음과 같은 조치를 취했습니다:

• 영향을 받은 월렛 시스템을 완전히 새로운 환경에서 재구축했습니다.

• 영향을 받은 내부 AI 도구 및 그 접근 제어 시스템을 재구축했습니다.

• 영향을 받은 기기를 교체했습니다.

• 관련 엔지니어의 자격 증명 및 토큰을 폐기했습니다.

• 모든 직원 기기에 대한 강화된 보안 스캔을 완료했습니다.

• AI 기반 이상 행동 탐지 역량을 강화했습니다.

• 월렛 서비스의 리스크 관리 조치를 강화했습니다.

• 법 집행 기관, 블록체인 인텔리전스 기업 및 업계 파트너와 협력해 영향을 받은 자산의 추적 및 동결을 진행 중입니다.

조사가 계속됨에 따라 관련 보안 조치를 지속적으로 강화할 예정입니다. 일부 시행 및 시행 중인 보안 조치는 악의적인 공격자가 이를 악용해 우리 보안 방어를 약화시키는 것을 방지하기 위해 비공개로 유지될 예정입니다.

향후 계획

다음 작업을 즉시 추진 중입니다:

1. 독립적인 사이버보안 검토 실시

이 사건에 대해 독립된 제3자 사이버보안 전문가를 투입해 종합적인 검토를 실시하고, 기존 조사 결과를 검증하며 추가 보안 개선 권고사항을 제시할 예정입니다. 검토 범위 및 최종 결과는 후속 복구 작업의 기초 자료가 될 예정입니다.

2. AI 보안 및 능동적 방어 투자 확대

AI 기반 위협 탐지, 엔드포인트 보호, 개발 환경 보안, 이상 행동 모니터링 등 분야에 대한 투자를 확대할 예정입니다.

3. 보안 연구 기금 설립 및 산업 협력 촉진

우리는 주요 AI 기업, 산업 관계자 및 보안 업체와 협력 중이며, 블록체인 환경에서의 AI 보안을 중심으로 한 보안 연구 기금을 설립하고 전문 연구 및 산업 협력 프로젝트를 추진할 예정입니다.

조사가 추가 진전됨에 따라 관련 정보를 지속적으로 적극 공개할 예정입니다.