가상의 회사 최고경영자(CEO)로 위장한 면접관의 이 한마디가 역대 최대 암호화폐 탈취의 문을 열었다. 해커들은 인공지능(AI) 코딩 도구로 위장한 악성코드와 가짜 채용 면접 등 사회공학적 방식을 엮어 세계 최대 암호화폐 거래소 바이낸스의 보안을 뚫은 것으로 나타났다.
바이낸스는 3일(현지시간) 해킹 사건에 대한 초기 조사 보고서를 공개했다. 지난달 29일 발생한 해킹으로 약 63억4000만달러(약 8조 5000억원) 규모 암호화폐가 유출됐다. 미 연방수사국(FBI)은 북한 해킹조직 ‘트레이더트레이터’를 배후로 지목했다. 앞서 지난해 2월 암호화폐 거래소 바이비트에서 15억달러어치 암호화폐를 빼돌린 조직이다. 바이낸스는 올해만 북한 연계로 의심되는 해킹 공격 57건을 막아냈다고 밝혔지만 이번엔 뚫렸다.
보고서에 따르면 해킹 공격은 지난 6월 시작됐다. 바이낸스의 지갑(암호화폐 보관 시스템) 운영 담당 개발자가 검색엔진에서 AI 개발 도구를 찾다 변조된 설치 파일을 내려받았다. 이상 징후를 포착한 보안팀이 PC를 바꾸고 인증정보를 교체했지만, 지갑 담당 팀 조직도와 개발자 동료 신상 정보는 이미 해커에게 넘어간 뒤였다.
바이낸스가 3일(현지시간) 발표한 초기 조사 보고서가 실린 바이낸스 블로그 화면. 사진 화면 캡처
이후 해커는 지난 9월 바이낸스 내 다른 엔지니어를 표적으로 삼았다. 구직 플랫폼에 바이낸스 근무 이력을 공개한 엔지니어에게 가상의 기업 ‘프로젝트 디렉터’를 사칭한 인물이 이직을 제안하며 접근했다. 1차 면접에선 가짜 인사 담당자가 사생활이 담긴 소셜미디어(SNS) 계정을 보여주며 신뢰를 쌓았다. 2차 면접에 등장한 가짜 CEO는 엔지니어에게 ‘과제 파일’ 설치를 권고했다. AI 개발 도구로 위장한 악성 코드다. 처음 보는 악성코드라 보안 프로그램이 이를 잡아내지 못했다.
해커는 엔지니어의 업무용 PC를 발판 삼아 지갑 담당 개발자들의 PC 통제권을 확보했다. 이를 통해 출금 절차를 거치지 않고 비트코인, 리플 등 암호화폐를 빼냈다. 바이낸스가 출금을 중지하고, 통제권을 다시 확보하기까지는 약 4시간이 걸렸다.
바이낸스는 보고서에서 “63억달러어치 암호화폐 중 약 28억5000만달러를 동결·차단했고, 나머지 손실은 회사가 떠안겠다”고 밝혔다. 이어 지갑 시스템과 사내 AI 도구를 새로 구축하기로 결정했다. 하지만 해커들이 AI를 활용한 공격은 더 거세질 것이란 전망이 나온다. 자오창펑 바이낸스 창업자는 같은 날 코인데스크와 인터뷰에서 “100% 안전한 보안은 없다. AI가 발전하면서 이런 일(해킹)을 훨씬 더 많이 보게 될 것”이라고 말했다.
보안업계에서도 비슷한 경고가 나온다. 마이크로소프트(MS) 보안연구소는 지난 2일 취약점을 분석한 보고서에서 “AI가 해킹 코드 작성을 지원해 방어 측 대응 시간이 줄어들 수 있다”고 지적했다. 보안 패치 적용에 걸리는 시간(중앙값)은 윈도 PC 약 2주, 리눅스 서버 10주 이상, 네트워크 장비 1년 이상이다. 반면 지난해 공격의 29%는 취약점이 공개된지 24시간 안에 시작됐다. 방어자가 취약점을 발견하고 이를 고치기 전에 공격은 이미 끝나 있는 구조다. 이주영 정보보호산업협회 선임연구원은 “방어자는 패치 시 오류를 줄이기 위해 검증을 거듭하느라 시간이 오래 걸린다”며 “위협이 없어도 미리 업데이트하는 게 현재로썬 최선의 방어책이다”라고 설명했다.
오현우([email protected])