북한 해커들이 세계 최대 가상자산 거래소 바이낸스를 공격하기 전 수십 차례의 '가짜 채용 면접'을 이용한 해킹을 벌이며 공격 수법을 고도화했을 가능성이 제기됐다. 소규모 가상자산 탈취를 통해 침투 기술을 정교하게 다듬은 뒤 대형 거래소를 공격했을 수 있다는 분석이다.
4일 블록체인 분석업체 체이널리시스에 따르면 북한 연계 해킹 조직은 지난 18개월간 가짜 면접과 악성코드를 이용해 1430만달러 이상의 가상자산을 탈취한 것으로 파악됐다. 공격 대상은 개인 가상자산 보유자와 지갑부터 기업, 블록체인 프로토콜, 탈중앙화자율조직(DAO)까지 다양했다.
체이널리시스는 이런 공격이 지난달 발생한 바이낸스의 대규모 해킹 사건과 유사한 방식으로 이뤄졌다는 점에 주목했다. 북한 해커들이 상대적으로 규모가 작은 표적을 공격하면서 침투 수법을 발전시키고, 점차 더 큰 규모의 자산을 보유한 조직으로 공격 대상을 확대했을 가능성이 있다는 것이다.
톰 맥라우스 체이널리시스 선임 인텔리전스 애널리스트는 “채용 면접과 관련된 침해로 개인 지갑이 탈취된 사례를 수십 건 확인했다”며 “공격자들이 연속적인 침해를 통해 수법을 완성하고 발전시켜 왔다”고 설명했다.
바이낸스 해킹 역시 가짜 채용 면접에서 시작됐다. 바이낸스의 초기 조사에 따르면 공격자들은 지난 9월 합법적인 구인 플랫폼을 통해 바이낸스 엔지니어에게 접근했다. 가상의 회사에서 채용을 제안한 뒤 수주에 걸쳐 신뢰를 쌓았으며, 두 차례 면접을 진행한 후 악성코드가 포함된 과제를 내려받도록 유도했다.
직원이 해당 파일을 다운로드하면서 공격자들은 최초 침입 거점을 확보했다. 이후 악성코드를 추가로 배포하고 내부 인공지능(AI) 도구에 대한 접근 권한을 악용해 거래소 시스템 깊숙이 침투한 것으로 조사됐다.
체이널리시스는 이 같은 수법을 '전염성 면접(Contagious Interviews)'이라고 설명했다. 정상적인 채용 절차로 위장해 직원의 컴퓨터를 감염시키고, 확보한 인증 정보와 접근 권한을 이용해 기업 내부 시스템까지 침투하는 방식이다.
특히 높은 접근 권한을 가진 엔지니어와 개발자가 주요 표적이 된다. 공격자가 이들의 계정을 탈취하면 개인 기기를 넘어 기업의 핵심 인프라에 접근할 가능성이 커지기 때문이다.
북한 해커들의 공격 방식도 한층 정교해지고 있다. 체이널리시스는 가짜 면접을 통해 감염된 컴퓨터에서 가상자산 지갑의 개인키뿐 아니라 클라우드 저장소에 보관된 정보까지 탈취된 사례를 확인했다. 일부 피해자는 감염된 기기에 지갑 복구용 시드 구문을 저장한 적이 없다고 밝혀, 클라우드 인증 정보나 브라우저 접속 정보까지 침해됐을 가능성이 제기됐다.
최근에는 블록체인을 악성코드 통신 수단으로 악용하는 방식도 등장했다. '블록체인 데드 드롭(Blockchain Dead Drops)'으로 불리는 이 수법은 공개 블록체인에 악성코드 명령을 숨겨 감염된 기기와 공격자의 통신을 유지하는 방식이다.
체이널리시스에 따르면 북한 해커들은 트론과 앱토스 블록체인에 통신 경로를 분산하고, 바이낸스 스마트체인(BSC)에 저장된 악성코드 실행 정보로 감염된 기기를 연결하는 방식을 사용했다. 한 경로가 차단되더라도 다른 블록체인을 통해 명령을 전달할 수 있도록 설계한 것이다.
북한의 사이버 공격은 불법 IT 인력 취업과도 연결돼 있다. 북한 공작원들은 도용한 신분증과 가상사설망(VPN) 등을 이용해 해외 기업에 원격으로 취업한 뒤 급여를 받거나 내부 시스템에 접근하는 것으로 파악됐다.
체이널리시스는 북한의 가짜 면접 공격과 불법 취업, 가상자산 자금세탁이 서로 연결된 사이버범죄 생태계를 형성하고 있다고 분석했다. 기업들이 기존 보안 시스템뿐 아니라 직원 채용 과정과 내부 접근 권한, 가상자산 이동 경로까지 종합적으로 점검해야 한다는 지적이다.
체이널리시스는 “바이낸스 사건은 북한이 다양한 사이버범죄 수법을 지속적으로 개발하고 시험하며 정교화하고 있음을 보여준다”며 “블록체인 분석과 기존 사이버보안 조치를 결합해 탈취 자금과 북한의 금융 네트워크를 추적해야 한다”고 강조했다.
송혜영 기자 hybrid@etnews.com
