바이낸스 해킹으로 약 8조5,444억 원 (원가 63.4억 USD)이 도난당한 사실이 공개됐다. 바이낸스는 2026년 11월3일 이 사건이 수개월에 걸쳐 준비된 조직적 공격 결과라고 밝혔다.
바이낸스 해킹 전개 과정
바이낸스에 따르면 침해 단서는 6월로 거슬러 올라간다. 공격자는 변조된 설치 프로그램과 가짜 채용 절차를 활용해 내부 직원의 인증 정보와 팀 정보를 확보했다.
AI 도구 설치로 팀 정보 유출
한 지갑 개발·유지보수 엔지니어가 AI 프로그래밍 도구를 설치하려다 변조된 Homebrew 설치 프로그램을 다운로드하면서 사건이 시작됐다. 바이낸스는 이상을 발견한 뒤 해당 직원의 컴퓨터를 교체하고 관련 자격증명을 갱신했으나, 이미 직원의 직책과 동료 정보는 공격자에게 유출된 상태였다.
9월에는 다른 엔지니어가 정식 채용 플랫폼을 통해 위장된 면접 초대를 받았다. 면접은 가짜 인사 담당자와 가짜 최고경영자가 참여하는 방식으로 진행됐고, 공격자는 생활 사진이 포함된 소셜 계정으로 신뢰를 쌓은 뒤 악성 코드를 포함한 과제를 내려 엔지니어의 작업 환경에 침투했다.
가짜 면접 과제로 원격 접근 통로 확보
공격자가 제공한 과제를 엔지니어가 업무용 컴퓨터에 설치하는 순간, 악성 프로그램이 실행됐다. 이 악성코드는 Python 버전 관리 도구인 pyenv의 구성 요소를 교체해 공격자가 원격으로 명령을 보낼 수 있는 통로를 만들었다.
10월20일에는 이미 감염된 컴퓨터를 발판으로 내부 AI 도구를 통해 다른 두 명의 엔지니어 컴퓨터에 접근해, 배포용 컨테이너에 필요한 접속 자격증명을 확보했다. 바이낸스는 AI 도구가 어떻게 악용됐는지에 대한 상세한 기술적 설명은 아직 공개하지 않았다.
네 분 만에 2.3346억 XRP 이체
10월29일 공격자는 탈취한 자격증명으로 컨테이너를 배포하고 악성 명령을 실행했다. 홍콩시간으로 다음날 새벽 4시05분부터 4시09분까지 다섯 개의 핫월렛에서 약 2.3346억 XRP가 이체됐다.
이 사건은 XRP 외에도 여러 블록체인과 자산을 포함한다. 이더리움 측면에서는 EIP-7702 계정 위임 기능을 악용해 거래 서명 서비스에 의해 지갑의 일부 실행 권한이 악성 스마트계약에 위임된 것으로 파악됐다. 플랫폼에서 출금을 중단하더라도 이미 체인상에 존재하는 권한은 별도 취소 조치가 필요해 모든 자산 이동을 즉시 차단하지 못했다.
회수와 기소, 재구축의 현실
바이낸스는 10월31일까지 영향받은 토큰의 98%를 보충 완료했으며 손실은 회사가 부담한다고 밝혔다. 그러나 보충한 자산이 곧바로 범죄 수익을 ‘되찾은’ 것과 같지는 않다.
11월3일 기준으로 약 3조8,409억 원 (원가 28.5억 USD) 상당의 자산이 동결되거나 가로채진 것으로 회사는 밝혔다. 이 금액은 추가 확인과 시장가변성에 따라 변동될 수 있다.
미 연방수사국(FBI)은 이번 공격을 북한과 연계된 악성 네트워크 활동으로 규정하고 이 작전명을 TraderTraitor라고 명명했다며, 범죄자들이 탈취 자금을 주로 이더리움으로 전환하고 있다고 밝혔다. 북한은 혐의를 부인했다.
바이낸스는 피해 지갑 시스템과 내부 AI 도구를 재구축했으며, 독립 보안회사를 통해 외부 검증을 진행하고 있다고 전했다. 회사는 완전한 침해 세부 사항과 책임 소재를 밝히기 위해 수사 기관과 협력 중이라고 덧붙였다.
시사점과 보안 권고
이번 사건은 채용 절차를 악용한 사회공학 기법과 내부 도구의 권한 남용이 결합될 경우 대형 자산 유출로 이어질 수 있음을 보여준다. 기업은 외부 설치 파일 관리와 내부 AI 도구 접근 권한 통제, 다중 인증 강화 등을 재점검해야 한다.
암호화폐 거래소 이용자들은 출금 중단 등의 공지가 있을 때까지 지갑별로 보안 수준을 점검하고, 가능하면 자산을 콜드월렛으로 분리 보관하는 것을 권장한다.
