(AI 생성 이미지)

[이데일리 한광범 기자] 지난 9월 세계 최대 가상자산 거래소 바이낸스의 한 엔지니어에게 채용 제안이 도착했다. 정상적인 구인 플랫폼을 통한 연락이었다. 직원은 제안에 응했고, 한 회사와 두 차례 면접을 진행했다. 이후 면접 담당자는 코딩 과제를 보내며 다운로드를 요청했다. 하지만 채용 제안부터 면접까지 모두 북한 해커들이 꾸민 함정이었다. 과제에는 악성코드가 숨겨져 있었다. 직원이 파일을 내려받으면서 해커들에게 회사 내부로 침투할 통로가 열렸다.

4일 블록체인 분석업체 체이널리시스에 따르면 북한 해커들은 이 같은 가짜 채용 면접을 통해 바이낸스 내부 시스템에 침입했다. 공격자들은 수주에 걸쳐 직원의 신뢰를 얻은 뒤 악성코드를 설치하도록 유도했다. 이후 확보한 접근 권한을 이용해 내부 AI 도구까지 악용하며 거래소 시스템 깊숙이 침투했다. 체이널리시스가 전한 피해 규모는 무려 64억 달러(약 8조 5670억원)에 달한다.

공격 방식 자체는 의외로 단순했다. 해커가 채용 담당자로 위장해 실제 구직 과정처럼 접근한 것이다. 단순한 피싱 메일과 달리 구인 플랫폼에서 대화를 나누고 여러 차례 면접까지 진행해 의심을 피했다. 직원에게 전달한 코딩 과제는 채용 과정에서 흔히 요구하는 절차처럼 보였다.

해커들은 처음부터 회사를 직접 공격하지 않았다. 회사 내부 시스템에 접근할 권한을 가진 직원을 먼저 공략했다. 직원의 컴퓨터를 감염시키고 인증 정보와 접근 권한을 확보하면 외부에서는 접근하기 어려운 내부 시스템으로 진입할 수 있기 때문이다.

더욱 우려스러운 점은 이러한 공격이 하루아침에 완성된 수법이 아니라는 사실이다.

◇작은 해킹 수십 건 거쳐 거대 거래소 노렸다

체이널리시스는 지난 18개월간 북한과 연계된 가짜 면접 및 악성코드 공격으로 발생한 피해액이 1430만 달러(약 191억원)를 넘는 것으로 파악했다. 개인 가상자산 보유자부터 가상자산 지갑, 기업, 탈중앙화자율조직(DAO)까지 표적도 다양했다.

피해 규모는 수만달러에서 수백만달러 수준이었다. 바이낸스 공격보다 훨씬 작은 사건들이었지만, 북한 해커들이 공격 수법을 시험하고 개선하는 과정이었을 가능성이 제기된다. 톰 맥라우스 체이널리시스 선임 인텔리전스 애널리스트는 “개인 차원에서 지갑 침해로 이어진 다른 채용 면접 관련 침해 사례를 수십 건 확인했다”고 밝혔다.

공격 수법도 발전했다. 체이널리시스는 일부 피해자의 컴퓨터가 감염된 이후 클라우드 저장소에 보관된 가상자산 지갑의 개인키까지 탈취된 사례를 확인했다. 해커들이 감염된 컴퓨터뿐 아니라 연결된 클라우드 계정과 브라우저 접속 정보까지 악용했을 가능성이 있다는 의미다.

◇가짜 취업부터 블록체인 악용까지

북한의 가짜 채용 수법은 두 가지 방향으로 활용된다. 하나는 채용 담당자로 위장해 구직자를 공격하는 방식이다. 다른 하나는 북한 IT 인력이 신분을 속이고 실제 해외 기업에 취업하는 것이다.

북한 IT 인력들은 도용한 신분증과 VPN 등을 활용해 신원을 감추고 기업에 취업한다. 이후 급여를 받으면서 기업 내부 시스템에 접근할 기회도 확보한다. 유엔은 이러한 불법 IT 인력 활동이 북한 정권에 연간 6억달러 이상의 수익을 제공하는 것으로 추산한다.

해킹 이후 악성코드를 통제하는 방식도 정교해졌다. 체이널리시스에 따르면 북한 해커들은 2025년 초부터 블록체인에 악성코드 명령을 숨기는 ‘이더하이딩(Etherhiding)’ 수법을 활용했다.

일반적인 악성코드는 해커가 관리하는 서버에서 명령을 받지만, 이 방식은 공개 블록체인에 관련 정보를 기록한다. 서버가 차단되더라도 다른 경로로 명령을 전달할 수 있어 추적과 차단이 어려워질 수 있다.

실제로 북한 해커들이 트론과 앱토스 블록체인을 명령 전달 경로로 활용하고, 최종 악성코드가 저장된 BSC 블록체인으로 감염된 기기를 연결하도록 설계한 사례도 확인됐다.

체이널리시스는 바이낸스 사건이 북한의 해킹, 불법 취업, 가상자산 자금세탁이 서로 연결된 범죄 생태계의 일면을 보여준다고 분석했다. 해커들이 기업에 침입해 자금을 탈취하는 것뿐 아니라 위장 취업으로 급여를 받고, 이를 가상자산으로 옮겨 세탁하는 활동까지 벌인다는 것이다.

체이널리시스는 기존 사이버보안 조치에 블록체인 거래 흐름 분석을 결합하면 탈취 자금을 추적하고 북한의 불법 금융 네트워크를 파악하는 데 도움이 될 수 있다고 설명했다. 바이낸스 공격 역시 북한 해커들이 소규모 공격을 반복하며 수법을 정교화한 결과일 가능성이 있다는 분석이다.

맥라우스 애널리스트는 “북한 공격자들이 연속적인 침해를 거치며 수법을 완성하고 발전시켜 왔다”며 “그렇게 해서 역사상 최대 규모의 탈취 사건이 발생하게 되는 것”이라고 분석했다.

© 이데일리 & 이데일리TV - 상업적 무단전재 & 재배포 금지