바이낸스 8조 해킹사건 전말

최근 바이낸스에서 발생한 8조 해킹사건은 가짜 채용 면접을 이용한 정교한 해킹 공격이 발생한 것으로 알려졌습니다.

 

이번 공격은 단순히 악성 이메일이나 피싱 링크를 보내는 수준이 아니었습니다. 해커들은 실제 채용 절차와 유사한 면접을 진행해 바이낸스 소프트웨어 엔지니어의 신뢰를 얻었고, 악성코드를 업무용 컴퓨터에 설치하도록 유도했습니다.

더욱 충격적인 점은 최초 감염된 직원의 컴퓨터를 발판으로 바이낸스 내부 AI 도구까지 활용해 다른 엔지니어들을 추가로 공격했다는 것입니다.

이번 사건의 공격 과정을 살펴보겠습니다.

구직 플랫폼에서 시작된 가짜 채용 제안

사건은 2026년 9월, 바이낸스에서 근무하는 소프트웨어 엔지니어에게 해커가 구직 플랫폼을 통해 접촉하면서 시작됐습니다.

해당 엔지니어의 구직 프로필에는 바이낸스 근무 경력이 기재되어 있었습니다. 해커들은 이 정보를 확인하고 내부 시스템에 접근할 수 있는 직원을 공격 대상으로 선정한 것으로 보입니다.

이후 해커들은 실제 기업의 채용 과정과 매우 유사한 절차를 진행했습니다.

• 1차 면접: 인사 담당자와의 면접
• 2차 면접: 회사 CEO를 사칭한 인물과의 면접

단순히 채용 제안 메시지를 보내는 것이 아니라 실제 면접 절차를 흉내 내면서 피해자의 경계심을 낮추는 방식이었습니다.

화상 면접과 SNS까지 활용한 신뢰 형성

특히 1차 면접은 실시간 화상 면접으로 진행됐습니다.

가짜 면접관은 신뢰를 얻기 위해 자신의 개인 사진과 동영상이 게시된 소셜미디어 계정까지 공유했습니다.

물론 해당 계정 역시 해커들이 준비한 가짜 계정이었을 가능성이 있습니다.

2차 면접은 널리 사용되는 채팅 애플리케이션을 통해 진행됐습니다.

면접이 마무리될 무렵, 해커들은 엔지니어에게 사전 과제를 다운로드하도록 안내했습니다.

일반적인 개발자 채용 과정에서도 코딩 테스트나 사전 과제를 다운로드하는 경우가 많다는 점을 악용한 것입니다.

채용 과제에 숨겨진 악성코드

문제는 다운로드한 과제에 있었습니다.

과제에는 악성코드가 포함된 라이브러리가 들어 있었고, 엔지니어는 이를 업무용 컴퓨터에 설치했습니다.

해당 악성코드는 코드 난독화와 탐지 회피 기법을 사용해 보안 시스템이 감염 사실을 쉽게 알아차리지 못하도록 설계됐습니다.

감염 이후에는 개발 도구의 특정 구성 요소를 임의로 교체해 공격자가 원격으로 명령을 실행할 수 있는 환경을 만들었습니다.

또한 해커가 통제하는 외부 서버와 연결해 감염된 컴퓨터를 원격으로 제어할 수 있도록 했습니다.

결국 정상적인 채용 과제처럼 보였던 파일이 내부 시스템으로 침투하는 통로가 된 셈입니다.

바이낸스 내부 AI 도구를 활용한 추가 공격

이번 사건에서 특히 주목할 부분은 최초 감염 이후의 공격 방식입니다.

해커들은 처음 감염시킨 엔지니어의 컴퓨터를 발판으로 바이낸스 내부 AI 도구를 활용했습니다.

이를 통해 월렛 관련 업무를 담당하는 다른 엔지니어 두 명까지 추가로 공격하는 데 성공했습니다.

즉, 최초 피해자 한 명의 컴퓨터에 침투한 뒤 내부 환경을 이용해 공격 범위를 넓혀간 것입니다.

추가로 감염된 엔지니어들의 컴퓨터에서는 컨테이너 배포 권한을 가진 인증 토큰이 발견됐습니다.

해커들은 이 권한을 이용해 바이낸스 내부 시스템에 더 깊숙이 접근할 수 있는 기회를 확보했습니다.

10월 29일, 지갑 서명 시스템을 겨냥한 공격

공격은 2026년 10월 29일 본격적으로 진행됐습니다.

해커들은 지갑 서명 시스템에 접근하고, 앞서 탈취한 인증 정보를 이용해 컨테이너를 배포했습니다.

이후 해당 컨테이너에서 악성 스크립트를 실행하면서 공격을 개시했습니다.

처음에는 단순한 채용 사기로 보였던 사건이 결국 암호화폐 거래소의 핵심 보안 영역인 지갑 서명 시스템까지 이어진 것입니다.

이번 사건이 주는 보안상의 교훈

이번 사건은 기존의 사이버 공격과는 다른 몇 가지 특징을 보여줍니다.

① 채용 절차를 악용한 사회공학적 공격

이메일 피싱이나 악성 링크 대신 실제 채용 면접을 가장했습니다. 화상 면접과 SNS 계정까지 활용해 피해자가 의심하지 않도록 만들었습니다.

② 개발자를 노린 공급망 공격

악성코드를 직접 실행하도록 유도하는 대신 정상적인 개발 과제와 라이브러리에 악성코드를 숨겼습니다. 개발 환경 자체가 공격 경로가 될 수 있다는 점을 보여줍니다.

③ 내부 AI 도구의 악용 가능성

최초 감염된 컴퓨터를 통해 내부 AI 도구까지 공격에 활용했습니다. AI 도구 역시 접근 권한과 사용 범위에 따라 보안 위협의 통로가 될 수 있습니다.

④ 인증 토큰과 권한 관리의 중요성

컴퓨터에 저장된 인증 토큰 하나가 컨테이너 배포와 같은 중요한 내부 권한으로 이어질 수 있습니다. 최소 권한 원칙과 토큰 관리가 얼마나 중요한지 보여주는 사례입니다.

마무리

이번 사건에서 가장 무서운 부분은 해커들이 기술적인 취약점만을 노린 것이 아니라 사람의 신뢰와 일상적인 업무 절차를 공격에 활용했다는 점입니다.

구직 플랫폼에서 시작된 접촉이 실제 면접으로 이어지고, 정상적인 업무용 컴퓨터에 악성코드가 설치된 뒤 내부 AI 도구와 인증 토큰을 거쳐 핵심 지갑 시스템까지 접근하는 과정은 매우 정교합니다.

이제는 출처가 불분명한 이메일이나 첨부파일뿐 아니라 채용 과제, 개발 라이브러리, 외부 협업 도구까지 보안 관점에서 확인해야 하는 시대가 된 것 같습니다.

특히 개발자라면 외부에서 전달받은 프로젝트를 업무용 컴퓨터에서 바로 실행하거나 설치하는 행동에 각별히 주의해야 합니다.