바이낸스, 해킹 사건에서 가짜 채용 면접과 AI 도구 침해 정황 공개

바이낸스는 2026년 11월 3일 발표한 초기 조사 결과에서 2026년 10월 29일 약 63억 4천만 달러 상당의 디지털 자산이 탈취되기 전 가짜 채용 면접과 악성 개발자 소프트웨어, 내부 AI 도구 침해가 있었다고 밝혔다.

바이낸스는 재정적 손실을 이용자에게 전가하지 않고 직접 부담할 예정이다. 바이낸스는 손실 보전에 필요한 자금의 100%를 초과하는 금액을 확보했으며, 2026년 10월 31일 기준 피해를 입은 토큰 자산의 98%를 보충하고, 대사 및 시장 가격 변동성에 따라 약 28억 5천만 달러를 동결하거나 회수했다고 밝혔다. 바이낸스는 아직 확보하지 못한 유동성이 낮은 자산을 매입하고 있다.

자산 보충의 근거로 제시된 준비금 증명 페이지에는 수탁 중인 이용자 자산이 1:1로 뒷받침된다고 설명되어 있다. 이 페이지는 머클 트리 기록과 zk-SNARK 증명을 활용해 이용자가 자신의 잔액이 부채 보고서에 포함되어 있는지 확인할 수 있도록 한다.

조사 결과는 아직 초기 단계다. 조사가 진행 중이고 독립적인 검토는 아직 이뤄지지 않았으며, 바이낸스는 악의적인 행위자가 공격을 계획하는 데 도움을 주지 않도록 일부 기술적 세부 정보를 공개하지 않고 있다.

지갑 공격 전 수개월간 이어진 접근

2026년 6월, 한 지갑 DevOps 엔지니어가 검색 엔진을 통해 찾은 인기 AI 코딩 도구를 설치하려다 변조된 Homebrew 설치 파일을 내려받았다. 바이낸스는 이상 징후를 감지해 해당 기기를 교체하고 관련 자격 증명을 갱신했지만, 지갑 인프라 팀에서 맡은 엔지니어의 역할과 동료들은 이미 공격자에게 노출된 상태였다.

2026년 9월, 또 다른 소프트웨어 엔지니어가 정상적인 구직 플랫폼을 통해 자신을 프로젝트 책임자라고 소개한 사람에게 연락을 받았다. 인사 담당자라고 주장하는 사람과 실시간 화상 면접을 한 뒤, 가상의 회사 CEO라고 주장하는 사람과 인기 소셜 채팅 앱에서 두 번째 면접을 진행했다. 면접이 끝나갈 무렵 엔지니어는 악성 코드 저장소가 포함된 과제를 업무용 컴퓨터에 내려받으라는 지시를 받았다. 해당 저장소의 코드는 설치 과정에서 실행됐다.

악성코드는 정상적인 pyenv 구성 요소를 악성 버전으로 교체하고 공격자가 제어하는 서버와 통신했다. 바이낸스는 당시 엔드포인트 보호 기능이 제로데이 악성코드를 탐지하지 못했으며, 공격자는 활동을 숨기고 침해 흔적을 제거하려 했다고 밝혔다.

2026년 10월 20일, 공격자는 두 번째 엔지니어의 침해된 컴퓨터와 내부 AI 도구를 이용해 최초의 DevOps 엔지니어와 또 다른 지갑 소프트웨어 엔지니어까지 통제 범위를 넓혔다. 이후 DevOps 엔지니어의 컴퓨터에서 컨테이너 배포 권한 토큰이 발견됐다. 10월 29일 17:15부터 19:56 UTC까지 공격자는 세 번째 엔지니어의 컴퓨터에 로그인해 DevOps 엔지니어에게서 훔친 자격 증명을 사용하고 컨테이너를 배포한 뒤, 지갑 공격을 시작하는 악성 스크립트를 실행했다.

온체인 권한 부여로 봉쇄 조치가 복잡해져

공격자는 내부 지갑 서명 서비스에 무단으로 접근해 바이낸스의 일반적인 출금 절차를 거치지 않고 거래를 시작했다. 20:05부터 20:09 UTC까지 바이낸스 핫월렛 5개가 공격자가 제어하는 주소로 XRP 2억 3,346만 개를 보냈다. 이후 솔라나와 옵티미즘 핫월렛에서도 자금이 유출됐으며, 바이낸스 핫월렛 한 곳은 공격자가 제어하는 주소로 비트코인 18,270개를 보냈다.

공격자는 계정이 개인 키를 노출하지 않고도 특정 실행 권한을 스마트 계약에 위임할 수 있게 하는 이더리움의 EIP-7702 권한 부여 메커니즘도 악용했다. 서명 거래 50건을 통해 계정 논스가 조작되고 악성 위임 권한이 설정되면서, 공격자가 제어하는 계약이 바이낸스 핫월렛에 대해 부분적인 실행 권한을 갖게 됐다. 이 권한으로 인해 거래소의 출금 인프라와 별개로 자산이 계속 이동할 수 있었다.

따라서 출금을 중단하고 핫월렛 서비스를 종료해도 기존 온체인 권한은 무효화되지 않았다. 해당 지갑은 다자간 연산을 사용했기 때문에 즉시 폐기할 수 있는 단일 개인 키가 없었고, 이에 따라 추가 시간이 걸리는 특수 절차가 필요했다. 앞서 대기 상태였던 마지막 무단 이체인 이더리움 2,961.9개는 23:56 UTC에 온체인에서 확정됐으며, 이후 추가 무단 이체는 관찰되지 않았다. 2026년 10월 30일 00:10 UTC, 바이낸스는 Binance14 핫월렛에서 제로 주소로 새 권한 부여를 실행해 악성 위임 코드를 제거했다.

시스템 재구축과 FBI의 별도 지목

11월 3일 기준, 바이낸스는 영향을 받은 지갑 시스템을 새 환경에 재구축했으며, 영향을 받은 내부 AI 도구와 해당 도구의 접근 제어도 재구축했다. 또한 영향을 받은 기기를 교체하고 관련 자격 증명과 토큰을 폐기했으며, 직원 기기 전반에 대한 강화된 검사를 완료하고 AI 기반 행동 이상 탐지를 확대했으며 지갑 서비스 위험 통제를 강화했다.

조사 결과를 검증하고 추가 조치를 권고하기 위해 독립적인 제3자 사이버 보안 전문가들을 참여시키고 있습니다. Binance는 AI 기반 탐지, 엔드포인트 보호, 개발 환경 보안 및 행동 모니터링에 대한 투자를 늘리고 있습니다. 또한 블록체인 환경의 AI 보안에 주력하는 AI 기업, 업계 관계자 및 보안 업체들과 함께 보안 연구 기금과 맞춤형 이니셔티브를 마련하기 위해 노력하고 있습니다.

별도의 2026년 10월 31일자 공지에서 FBI는 북한의 TraderTraitor 세력이 이번 사건의 책임이 있다고 밝혔습니다. 또한 FBI와 협력 기관인 USSS 및 IRS-CI는 이들이 탈취 자산을 주로 이더로 전환하는 것을 관찰했으며, DeFi 및 즉시 교환 서비스를 통한 추가 자금 세탁이 예상된다고 밝혔습니다. 관계 기관들은 노드 운영자, 거래소, DeFi 서비스, 블록체인 분석 업체 및 기타 가상자산 서비스 제공업체에 공개된 주소와 관련되거나 해당 주소에서 파생된 거래를 차단할 것을 촉구했습니다.

이 설명은 악성코드 탐지를 넘어서는 봉쇄 문제를 드러냅니다. 처음 침해된 기기를 교체해도 공격자가 지갑 팀에 접근할 가능성은 사라지지 않았고, 출금을 중단해도 온체인 권한은 제거되지 않았습니다. 이제 독립적인 검토를 통해 Binance가 해당 공격 경로를 재구성한 방식과 재구축한 통제 장치가 그 경로에 대응하는지 모두 검증하게 됩니다.