바이낸스 63억 달러 해킹, 북한 해커들의 5가지 수법은?
Decrypt2026년 11월 4일 02:300
지난주 암호화폐 거래소 바이낸스에서 발생한 63억 달러 규모의 해킹 사건은 역대 최대 규모의 암호화폐 해킹으로 기록되고 있습니다. 이 사건의 배후로 지목되는 북한 해커들은 정교하고 다양한 수법을 동원하여 막대한 자금을 탈취한 것으로 드러났습니다. 이들은 가짜 신분으로 채용에 응시하는 것부터 시작해, 코드 라이브러리를 오염시키고, 제3자 지갑 인프라를 침해하는 등 다방면에 걸친 공격 방식을 사용하고 있습니다. 특히 인공지능(AI) 기술의 발전은 이러한 해킹 시도를 더욱 설득력 있게 만들고 있으며, 이미 가짜 면접 영상에 딥페이크 기술이 활용되는 사례도 나타나고 있습니다.
북한 해커들은 암호화폐 탈취에 있어 악명이 높으며, 지난해 발생한 모든 암호화폐 피해액의 60%가 북한 연계 그룹에 의해 발생했다는 추정치도 있습니다. 이들은 복합적인 공격 벡터를 사용하기 때문에 공격 시점을 포착하기 더욱 어렵게 만듭니다. 실제로 지난주 사건에서도 단 20분 만에 63억 달러가 유출되는 초유의 사태가 벌어졌습니다. 공격자들은 가짜 채용 면접을 통해 바이낸스 엔지니어의 업무용 컴퓨터를 침해했고, 내부 AI 도구를 사용해 다른 엔지니어들의 컴퓨터를 장악한 뒤, 탈취한 자격 증명을 이용해 내부 지갑 서명 서비스를 하이재킹한 것으로 알려졌습니다.
과거에도 북한 해커들은 암호화폐 기업에 가짜 신분으로 취업하거나, 제3자 인프라를 통해 공격하거나, 널리 사용되는 코드 라이브러리를 오염시키는 등의 방식으로 악명을 떨쳐왔습니다. 최근에는 이러한 공격들을 더욱 정교하고 설득력 있게 만들기 위해 AI를 적극적으로 활용하고 있습니다. 다음은 북한 해커들이 암호화폐 공격에 사용하는 주요 수법들입니다.
**1. 가짜 직원(Fake Employees)**
바이낸스의 최고 보안 책임자(CSO) 지미 수는 지난 2025년 8월, 바이낸스가 매일 북한 연계로 의심되는 이력서들을 폐기하고 있다고 밝혔습니다. 또한, 당시 발생했던 대규모 북한 해킹 사건의 거의 대부분이 가짜 직원이 공격을 용이하게 하는 데 관여했다고 덧붙였습니다. 수는 이력서에서 북한 출신임을 나타내는 징후가 있다고 언급했지만, 구체적인 내용은 공개하지 않았습니다. 때로는 공격자들이 면접 단계까지 통과하기도 하는데, 이때 공격자들은 딥페이크 기술을 사용해 자신의 얼굴과 목소리를 바꾸는 것으로 알려졌습니다.
지미 수는 "진정한 탐지 방법은 그들이 거의 항상 느린 인터넷 연결을 사용한다는 것"이라며, "이는 번역과 음성 변조기가 통화 중에 작동하기 때문이며, 이것이 항상 지연되는 이유"라고 설명했습니다. 채용된 직원들은 업무에서도 비정상적으로 뛰어난 성과를 보이는 경우가 많다고 합니다. 수는 북한 출신 직원들이 종종 회사의 최고 성과자 중 한 명으로 꼽히는데, 이는 여러 사람이 시간대를 넘어 한 역할을 공유할 가능성이 높기 때문이라고 분석했습니다.
이러한 위협은 줄어들지 않고 있습니다. 바이낸스는 2026년 한 해 동안 사기성 채용 면접부터 가짜 영상 통화 앱에 이르기까지 다양한 기술을 사용하여, 북한 연계로 의심되는 사이버 위협 사례 57건을 탐지하고 예방했다고 밝혔습니다.
**2. 가짜 채용 면접(Fake Job Interviews)**
공격자들은 스캠 방식을 역전시켜, 이미 유명 암호화폐 기업에 재직 중인 사람들을 대상으로 채용 담당자로 위장하기도 합니다. 종종 공격자는 면접 중 영상 또는 오디오 문제임을 주장하며 피해자에게 Zoom 업데이트를 위한 링크를 보내고, 이를 통해 피해자의 개발 환경을 감염시킵니다. 이러한 방식으로 공격자는 민감한 회사 정보에 접근하거나, 내부 시스템으로 침투할 수 있는 발판을 마련합니다.
**3. 제3자 인프라 침해(Compromising Third-Party Infrastructure)**
북한 해커들은 직접적으로 목표 기업의 시스템에 침투하기보다는, 해당 기업이 의존하는 제3자 서비스나 소프트웨어를 먼저 공격하는 방식을 선호합니다. 이는 공격의 흔적을 분산시키고, 보안이 상대적으로 취약한 외부 공급망을 이용함으로써 성공 확률을 높일 수 있기 때문입니다. 예를 들어, 특정 소프트웨어 개발 키트(SDK)나 클라우드 서비스 제공업체를 해킹하여, 해당 서비스를 이용하는 다수의 암호화폐 기업을 한 번에 공격할 수 있습니다.
**4. 코드 라이브러리 오염(Poisoning Code Libraries)**
오픈 소스 소프트웨어 생태계는 많은 기업에서 활용되고 있지만, 이는 또한 북한 해커들에게 새로운 공격 경로를 제공합니다. 이들은 널리 사용되는 오픈 소스 코드 라이브러리에 악성 코드를 삽입하여, 해당 라이브러리를 사용하는 개발자들의 시스템을 감염시킬 수 있습니다. 이러한 공격은 발견하기 매우 어렵고, 광범위한 영향을 미칠 수 있다는 점에서 치명적입니다. 한번 오염된 라이브러리가 프로젝트에 통합되면, 해당 프로젝트를 사용하는 모든 사용자에게 위험이 전파될 수 있습니다.
**5. AI를 활용한 공격 강화(AI-Powered Attacks)**
최근 북한 해커들은 AI 기술을 적극적으로 도입하여 공격의 효율성과 설득력을 극대화하고 있습니다. 딥페이크 기술을 활용한 가짜 면접 영상은 물론, AI 챗봇을 이용해 더욱 정교하고 자연스러운 피싱 이메일을 작성하거나, AI를 이용해 보안 시스템의 취약점을 탐색하는 등의 방식으로 활용될 수 있습니다. 이는 과거보다 훨씬 빠른 속도로, 더욱 정교한 사이버 공격을 가능하게 합니다. 바이낸스 역시 이러한 AI 기반 공격의 위협을 인지하고, AI 기술을 활용하여 탐지 및 방어 시스템을 강화하는 데 주력하고 있습니다.
이번 바이낸스 해킹 사건은 북한의 사이버 범죄 능력이 얼마나 발전했는지를 여실히 보여주는 사례입니다. 암호화폐 업계는 물론, 관련 기관 및 정부는 이러한 첨단 기술을 악용한 범죄에 대응하기 위한 새로운 전략과 기술적 대비책 마련에 더욱 박차를 가해야 할 것입니다. 특히 AI 기술의 양면성을 고려할 때, 이를 방어적으로 활용하는 노력 또한 시급한 과제로 떠오르고 있습니다.