업데이트(UTC 11월 6일 오후 5시 03분): 바이낸스 해킹의 타임라인을 명확히 하기 위해 이 기사를 수정했습니다. 이 기사에는 바이낸스 대변인의 발언도 포함됐습니다.
비영리 사이버보안 단체 시큐리티 얼라이언스(SEAL)는 북한 연계 해커들이 거래소에서 10월 29일 발생한 63억 달러 규모의 익스플로잇 약 8주 전에 바이낸스 직원의 기기를 침해했을 것으로 추정했다. 다만 바이낸스는 더 광범위한 공격 캠페인이 6월에 시작됐으며, 해커들이 추가 지갑 인프라 기기에 접근한 시점은 10월 20일이라고 밝혔다.
해킹 그룹은 가짜 채용 수법을 통해 9월 바이낸스 소프트웨어 엔지니어의 기기를 침해했다고 SEAL은 목요일 보고서에서 밝혔다. SEAL은 초기 침입 이후 위협 행위자들이 “장기간에 걸쳐 높은 수준의 은밀성을 유지하며” 침해된 시스템을 탐색할 수 있다고 덧붙였다. SEAL의 8주 추정치는 바이낸스가 설명한 더 광범위한 캠페인의 시작 시점이 아니라 9월부터 10월까지의 침입 기간을 가리킨다.
코인텔레그래프는 타임라인을 명확히 하기 위해 바이낸스에 문의했다. 대변인은 초기 기기 침해가 6월과 9월에 발생했지만, 공격자들이 지갑 운영에 도달하는 데 필요한 접근 권한을 확보한 시점은 10월 20일이라고 밝혔다.
대변인은 “발표문에 설명한 것처럼 초기 기기 침해는 6월과 9월에 발생했지만, 공격자들은 10월 20일까지 지갑 운영에 도달하는 데 필요한 접근 권한을 확보하지 못했습니다. 공격자들은 그때 확보한 발판을 이용해 측면으로 이동하고 추가 기기와 자격 증명에 접근했습니다”라고 말했다.
SEAL은 2026년 트레이더트레이터의 가짜 채용 캠페인과 연관된 ‘유령 회사’ 최소 4곳을 확인했다. 여기에는 citalab.net, citalab.com, bitfit.io, oddium.io가 포함된다.
바이낸스는 공격 캠페인의 시작 시점을 6월로 추적했다. 당시 한 직원이 AI 코딩 도구를 설치하려다 변조된 Homebrew 설치 파일을 내려받은 후 별도의 직원 기기가 침해됐다. 거래소는 이 사건을 탐지하고 관련 자격 증명을 교체하면서 해당 기기를 교체했다. 그러나 화요일 바이낸스의 X 게시물에 따르면 공격자들은 이미 바이낸스의 지갑 인프라를 담당하는 직원들에 관한 정보를 확보한 상태였다.
바이낸스에 따르면 10월 20일 공격자들은 9월에 표적이 된 엔지니어의 침해된 컴퓨터와 내부 AI 도구를 이용해 지갑 인프라 엔지니어 2명의 기기를 장악했다. 이후 공격자들은 10월 29일 익스플로잇에 사용된 배포 권한 토큰을 발견했다.
이 사이버보안 단체의 분석은 다른 유명 가상자산 해킹에서도 유사한 다단계 침입 패턴을 가리켰다. 분석에 따르면 공격자들은 3억 8,800만 달러 규모의 비트겟 해킹을 실행하기 전 약 6주 동안 접근 권한을 보유했고, 2억 9,300만 달러 규모의 켈프 DAO 익스플로잇 으로 이어진 취약점이 발생하기 전 레이어제로에 6주 동안 접근했으며, 2,400만 달러 규모의 AFX 익스플로잇을 실행하기 전 약 3주 동안 접근했다.
미국 연방수사국(FBI)은 토요일 보고서에서 이번 공격을 북한의 트레이더트레이터(TraderTraitor) 소행으로 지목했다. 북한 지도자 김정은의 여동생 김여정은 혐의를 일축했다.
관련 기사: 바이낸스 해킹은 가상자산에 ‘일시적 차질’일 수 있다고 그레이스케일의 판들이 말해