바이낸스 63억 달러 해킹, 가짜 홈브류 광고 클릭한 엔지니어 한 명에서 시작됐다

북한 연계 자금세탁 조직이 바이낸스에서 빼낸 자금 일부를 직접 만든 밈코인으로 옮긴 정황이 드러났다. 블록체인 분석업체 엘리프틱(Elliptic)은 11월 9일(현지시각) 보고서에서 이들이 11월 5일부터 7일까지 NEAR 블록체인에 토큰 6종을 만들어 약 43만 달러어치 탈취 자금을 유동성 풀로 돌렸다고 밝혔다. 문제의 해킹은 10월 29일 발생했고 바이낸스가 밝힌 피해액은 63억 4,000만 달러(약 8조 6,000억 원, 1달러 1,361원 기준)다. 이하 날짜는 모두 현지시각 기준이다.

20분 만에 10개 체인…5개월을 기다린 침투

보안업체 팔로알토 네트웍스(Palo Alto Networks)는 바이낸스의 사후 보고서를 분석한 블로그에서 공격자들이 핫월렛(인터넷에 연결된 지갑)에서 약 63억 4,000만 달러를 10개 블록체인에 걸쳐 약 20분 만에 빼냈다고 정리했다. 침투는 그보다 5개월 앞서 시작됐다. 6월 바이낸스 엔지니어 한 명이 패키지 관리자 홈브류(Homebrew) 설치를 시도하다 악성 검색 광고를 눌렀고, 가짜 사이트에서 맥OS용 정보 탈취 악성코드 맥싱크 스틸러(MacSync Stealer)를 내려받았다.

가짜 페이지는 터미널에 명령어 한 줄을 붙여넣게 했다. 스크립트는 관리자 비밀번호를 요구한 뒤 키체인과 브라우저 세션, SSH 개인키, 로컬 지갑 데이터를 ZIP 파일 하나로 묶어 공격자 서버로 보냈다. 바이낸스는 감염을 발견해 해당 엔지니어의 자격 증명을 교체했다. 하지만 공격자는 이미 측면 공격 계획에 필요한 내부 정찰 정보를 챙긴 뒤였다고 팔로알토는 설명했다. 바이낸스는 이 접촉으로 해당 엔지니어의 역할과 동료 정보가 노출됐다고 밝혔다.

두 번째 진입로는 9월의 가짜 채용 면접이었다. 면접 절차를 밟던 엔지니어가 과제 저장소를 업무용 컴퓨터에 내려받았고, 악성 코드가 정상 개발 도구를 바꿔치기했다. 바이낸스에 따르면 이 코드는 엔드포인트 보안 시스템의 탐지를 피했다. 팔로알토는 바꿔치기된 도구가 파이썬 버전 관리 도구 pyenv라고 적었다.

10월 20일에는 공격자가 감염된 컴퓨터와 내부 AI 도구를 이용해 지갑 엔지니어 2명의 컴퓨터에 접근했다. 탈취한 컨테이너 배포 자격 증명이 지갑 서명 운영으로 가는 문을 열어 줬다. 팔로알토는 “공격자들은 첫 번째 노트북을 넘지 못했어야 한다”고 주장하며 자사 제품 코텍스 XDR(Cortex XDR)이 동일한 스크립트를 첫 실행 단계에서 차단했다고 밝혔다. 바이낸스는 손실 전액을 웃도는 금액을 따로 확보했다고 밝혔다.

개당 90달러 밈코인이 ‘직접 이체’ 흔적을 지운다

엘리프틱이 포착한 수법은 단순하다. 세탁 조직은 FUK, OLCCL, MEILI, MMLI, DABI, SINU 등 토큰 6종을 만들어 각각 NEAR와 짝을 이룬 별도 유동성 풀에 올렸다. 한 묶음의 지갑이 탈취한 NEAR로 토큰을 사들이고 다른 묶음의 지갑이 같은 풀에 토큰을 팔아 진짜 자산을 챙겼다. 풀이 중간에 끼어 있어 도난 자금이 구매 지갑에서 수령 지갑으로 직접 넘어간 기록은 남지 않는다.

수령 지갑은 밈코인으로 차익을 챙긴 평범한 트레이더처럼 보일 수 있다. 토큰 하나를 만드는 데는 약 25 NEAR, 달러로 약 90달러가 들었다. 탈취한 NEAR 약 11만 7,000개, 약 43만 달러가 이 6종을 거쳐 갔고 상당 부분은 이후 스테이블코인이나 크로스체인 브리지로 흘러갔다.

디크립트(Decrypt)에 따르면 토큰에는 리본을 맨 원숭이, 깃발을 두른 오리, 침팬지, 여우 같은 만화 로고가 붙었다. 한 토큰은 ‘Elon 2028 President’라는 문구와 일론 머스크 이미지를 썼지만 머스크는 토큰과 관련이 없다. 6종 모두 출시 몇 시간 안에 탈취한 NEAR로 집중 거래된 뒤 버려졌고 남은 유동성은 11월 8일 회수됐다. 비트코인 매거진은 그날 오후 토큰 4종의 제작자가 남은 유동성을 인출했다고 전했다.

6종은 서로 이어져 있다. 토큰 제작자 6곳 가운데 5곳은 직전 토큰을 판 지갑에서 다음 토큰 출시 2분에서 13분 전에 자금을 받았다. 엘리프틱은 같은 수법을 트론 블록체인에서도 확인했고 솔라나에서는 새로 만든 토큰 대신 거래가 뜸한 기존 토큰을 쓴 유사 방식이 나타났다고 밝혔다.

추적은 가능…‘시간 벌기’ 싸움

엘리프틱 공동창업자 톰 로빈슨은 보고서에서 “북한 자금세탁 조직은 한 가지 기법에만 의존하는 일이 드물다”며 “값싼 기법을 여러 겹 쌓아 지연 효과를 조금씩 더한다”고 적었다. 밈코인은 자금을 숨기지 못한다. 모든 단계가 온체인에 공개돼 있어 추적할 수 있고, 조사관의 속도를 늦추는 효과만 낸다는 것이 엘리프틱의 설명이다. 로빈슨은 유동성 풀에서 들어온 자금을 깨끗하다고 가정해서는 안 된다고 컴플라이언스 팀에 경고했다.

같은 수법은 2025년 바이빗 해킹 이후에도 쓰였다. 당시 트론에서 새로 만든 토큰을 거쳐 최소 2,400만 달러가 이동했다. 바이빗 사건은 15억 달러 규모로, 이번 바이낸스 해킹을 일으켰다는 지목을 받은 트레이더트레이터의 소행으로 알려졌다.

엘리프틱이 분석한 시점에 탈취된 NEAR 약 1,180만 개, 4,370만 달러어치는 움직이지 않은 상태였다. 비트코인 매거진에 따르면 탈취된 솔라나는 전부 스왑·브리지·믹싱을 거쳤고 XRP 경로 상당수는 비트코인으로 흘러들었다.

2만 개 지갑·16개 체인…토네이도 캐시까지

엘리프틱은 11월 9일 갱신한 세탁 추적 현황에서 2만 개가 넘는 지갑과 16개 블록체인, 최소 36개 서비스, 6만 5,000건 이상의 거래를 확인했다고 밝혔다. 크립토뉴스가 전한 내용에 따르면 11월 8일 이후 해킹과 연결된 지갑이 이더리움 약 7,000개, 1,500만 달러어치를 토네이도 캐시에 넣었다. 일부는 코인조인을 거친 비트코인을 이더리움으로 되바꾼 자금이었다.

새 비트코인 주소에는 다른 도난 자산을 바꾼 약 3,000 BTC, 2억 2,500만 달러어치가 쌓였고 핵심 비트코인·이더 보유분은 움직이지 않았다. 도난 연계 주소에는 약 30억 달러가 남아 있고 28억 5,000만 달러는 동결 상태다. 엘리프틱은 현금화된 금액이 미미할 것으로 추정한다. 디크립트는 엘리프틱이 앞서 세탁 조직이 약 25초마다 새 지갑을 만들어 기계적 속도로 자금을 옮긴다고 밝혔다고 전했다.

아비트럼 동결 자산과 이더리움 지갑 장악 기법

회수 작업도 진행 중이다. 바이낸스는 11월 5일 아비트럼에 묶인 8,425.997 ETH와 7,456만 ARB의 반환을 요청했다. 아비트럼 보안위원회가 컨트랙트를 일시 업그레이드해 자산을 동결 주소로 옮긴 뒤 원래 구현으로 되돌려 놓았다. 자산을 다시 옮기려면 DAO 승인이 필요하다. 바이낸스는 새로운 재무 배정 없이 임시 컨트랙트 업그레이드로 반환받자고 제안했고, 회수 자산으로 사고 관련 비용과 고객 보상에 쓴 준비금을 채울 수 있다고 밝혔다.

일정은 길다. 포럼 논의 1주, 온도 체크 1주, 온체인 투표 2주를 거치고 승인 뒤 실행까지 약 18일이 더 걸린다. 바이낸스는 총 7주 이상을 예상했다.

기술적 단서도 나왔다. 블록에이드는 악성 EIP-7702 권한 부여가 이더리움 지갑에 공격자 통제 코드를 실행하게 했다고 설명했다. 한 트랜잭션에 50개 권한 부여가 담겼고 그중 하나가 바이낸스 14번 지갑의 트랜잭션 카운터와 일치했다. 이 지갑은 출금을 계속 처리해 카운터가 수시로 바뀌었는데, 권한 부여가 연속된 카운터 값을 덮도록 설계돼 일치 확률을 높였다는 것이다. 바이낸스는 초기 조사에서 지갑 개인키 유출 증거를 찾지 못했다고 밝혔다.