[태그:] 바이낸스

바이낸스 해킹은 기록적인 규모로 꼽힌다. 그런데 시작점은 서버 취약점이 아니라 채용 면접이었다. 공격자들은 링크드인에서 엔지니어 한 명을 골라 접근했고, 가짜 면접을 침투 수단으로 썼다고 NBC 뉴스가 전했다.

새로운 기술은 쓰이지 않았다. 보안 연구자들이 이미 여러 차례 경고해 온 수법이 그대로 통했다. 알려진 수법이라는 사실만으로는 막지 못했다는 얘기다.

방화벽이 아무리 단단해도 직원 노트북에서 과제 파일 하나가 실행되면 안쪽 문이 열린다. 개발자, 그중에서도 가상자산·금융 분야 엔지니어라면 채용 제안 메시지가 들어온 순간부터 보안 이벤트로 다루는 습관이 필요하다.

공격의 첫 관문은 회사가 아니라 직원 한 명

최종 목표는 회사 시스템이다. 하지만 첫 관문은 직원 개인. 엔지니어는 소스 코드, 서버 접속 키, 클라우드 계정, 내부 메신저에 손이 닿는 사람이라 공격자 입장에서는 값어치가 큰 표적이다.

경계심을 낮추는 데 채용만 한 구실도 드물다. 이직 제안은 일단 반갑다. 면접 도중에 파일을 받거나 프로그램을 설치하는 일도 이상하게 느껴지지 않는다. 보안 교육에서 ‘모르는 파일은 열지 말라’고 배웠어도, 면접관이 보낸 과제는 머릿속에서 ‘모르는 파일’ 칸에 들어가지 않는다. 공격자가 파고드는 곳이 바로 이 분류의 빈틈이다.

흔히 알려진 진행 흐름은 여섯 단계로 나뉜다.

1. 표적 선정: 공개된 경력·직무·소속 회사를 훑어 접근할 대상을 고른다.
2. 첫 접촉: 채용 담당자나 헤드헌터를 사칭한다. 미끼는 높은 연봉, 원격 근무 같은 조건.
3. 채널 이동: 대화를 플랫폼 밖 메신저나 개인 이메일로 옮긴다.
4. 과제 전달: 코딩 테스트, 기술 과제, ‘면접용 화상 도구’ 설치를 명목으로 파일이나 저장소 링크를 보낸다.
5. 실행과 탈취: 파일이 실행되면 악성코드가 브라우저에 저장된 계정, 접속 키, 가상자산 지갑 정보를 노린다.
6. 내부 침투: 손에 넣은 자격 증명으로 회사 시스템에 들어간다.

모든 사례가 이 순서를 그대로 밟지는 않는다. 다만 5번, 상대가 제 손으로 파일을 실행하게 만드는 단계는 거의 빠지지 않는다. 방어 지점도 여기로 모인다. 3번에서 대화를 개인 메신저로 옮기자는 말이 나왔다면 경고등은 이미 하나 켜진 상태다.

진짜 채용과 가짜를 가르는 일곱 가지 신호

신호 하나만 보고 단정하기는 어렵다. 여러 개가 겹칠수록 의심 수위를 올리는 쪽이 현실적이다.

확인 항목	일반적인 채용 과정	의심해야 할 신호
회사 확인	공식 채용 페이지·회사 도메인 메일로 확인 가능	회사 이름만 있고 공식 채널에서 해당 공고를 찾기 어려움
담당자 프로필	경력과 활동 이력이 오래 쌓여 있음	가입한 지 얼마 안 됐거나 인맥·활동이 빈약함
대화 채널	플랫폼 메시지나 회사 메일로 유지	초반부터 개인 메신저로 이동 요구
일정	서류, 면접, 과제 단계가 비교적 명확	몇 시간 안에 과제를 내라는 식의 촉박한 마감
과제 방식	온라인 코딩 테스트, 설명 문서 중심	압축·실행 파일이나 비공개 저장소를 받아 내 PC에서 돌리라고 요구
설치 요구	널리 쓰이는 화상회의 도구 사용	처음 보는 ‘면접 전용’ 프로그램 설치 요구
보상·조건	시장 수준에서 크게 벗어나지 않음	경력 대비 지나치게 높은 연봉이나 계약금 제시

눈여겨볼 건 마지막 세 줄이다. 과제 방식, 설치 요구, 보상·조건이 한꺼번에 걸린다면, 즉 좋은 조건과 함께 실행 파일이 날아온다면 그 자리에서 멈추는 편이 안전하다. 조건이 좋을수록 확인 절차를 건너뛰고 싶어진다. 공격자가 노리는 것도 정확히 그 마음이다.

과제 파일은 ‘어디서 여느냐’가 갈림길

과제를 무조건 거절하기도 어렵다. 진짜 채용일 수도 있으니까. 그래서 따질 건 ‘열지 말지’보다 ‘어디서 여느냐’다. 순서는 이렇다.

1. 업무용 PC는 배제한다. 회사 계정, 서버 접속 키, 사내 VPN이 연결된 기기에서는 열지 않는다.
2. 지워도 되는 환경을 만든다. 가상 머신이나 클라우드 개발 환경처럼 언제든 초기화할 수 있는 공간을 쓴다. 이 환경에는 개인 계정, 비밀번호 관리자, 가상자산 지갑을 로그인하지 않는다.
3. 실행 전에 구성부터 읽는다. 설치 스크립트, 패키지 설치 때 자동으로 도는 스크립트(postinstall 같은 훅), 난독화된 코드, 외부 주소에서 무언가를 내려받는 부분이 있는지 확인한다. 실력을 평가받으라고 낸 과제에 난독화가 왜 필요한지부터 따져볼 일이다.
4. 의존성 이름을 대조한다. 유명 패키지와 한두 글자만 다른 이름은 위장일 수 있다.
5. 네트워크를 제한한다. 과제 실행에 인터넷이 꼭 필요하지 않다면 연결을 끊고 돌린다.
6. 끝나면 환경을 통째로 지운다. 결과물만 따로 옮기고, 가상 머신은 스냅샷 이전으로 되돌리거나 삭제한다.

화상 면접용 프로그램을 깔라는 요구에도 기준은 같다. 상대가 보낸 링크는 쓰지 않는다. 해당 도구의 공식 사이트나 앱 스토어에서 직접 찾아 설치한다. 공식 경로에서 찾을 수 없는 도구라면 면접 방식을 바꿔 달라고 요청하는 것이 맞다. 널리 쓰이는 화상회의 도구를 두고 굳이 처음 보는 프로그램을 고집한다면, 그것 자체가 앞 표의 ‘설치 요구’ 신호다.

이미 실행해 버렸다면 다음 순서로 움직인다.

• 해당 기기의 네트워크 연결 차단
• 다른 기기에서 주요 계정 비밀번호 변경, 모든 세션 로그아웃
• 서버 접속 키·API 키 폐기 후 재발급
• 회사 보안팀에 즉시 신고 (숨길수록 피해 범위가 커진다)

비밀번호를 굳이 ‘다른 기기에서’ 바꾸라는 데는 이유가 있다. 악성코드가 도는 기기에서 새 비밀번호를 입력하면 그것까지 넘어갈 수 있어서다.

링크드인에서 먼저 바꿔둘 설정 네 가지

메뉴 이름은 앱·웹 버전과 언어 설정에 따라 조금씩 다를 수 있다. 괄호 안은 영문 표기. 먼저 한눈에 보면 이렇다.

설정	줄이는 위험
2단계 인증	계정 탈취 뒤 내 인맥을 노리는 미끼로 악용
구직 중 표시 범위	‘채용 제안에 반응할 사람’으로 찍혀 받는 무작위 접근
이메일·인맥 공개 범위	피싱 메일 발송, 지인 사칭
상대 프로필 정보 확인	갓 만든 계정의 채용 담당자 사칭

1) 2단계 인증 켜기
프로필 사진(나, Me) → 설정 및 개인정보(Settings & Privacy) → 로그인 및 보안(Sign in & security) → 2단계 인증(Two-step verification)

내 계정이 탈취되면 내 인맥을 노리는 미끼로 쓰인다. 나 혼자 당하고 끝나는 문제가 아니다. 문자 인증보다 인증 앱 방식이 더 안전한 선택으로 꼽힌다.

2) 구직 중 표시는 채용 담당자에게만
내 프로필 → 구직 중(Open to work) 편집 → 공개 대상(Who can see you’re open) → 채용 담당자만(Recruiters only)

전체 회원에게 ‘구직 중’을 띄워 두면 공격자에게 ‘채용 제안에 반응할 사람’이라는 신호를 주게 된다. 노출 범위만 좁혀도 무작위 접근이 줄어든다. 채용 담당자에게는 여전히 보이는 설정이라, 구직자 입장에서 잃을 건 많지 않다.

3) 이메일·인맥 공개 범위 줄이기
설정 및 개인정보 → 공개 범위(Visibility) → 이메일 주소를 볼 수 있는 사람(Who can see or download your email address), 인맥 목록 공개(Connections)

이메일과 인맥 목록은 피싱 메일 발송과 ‘지인 사칭’의 재료다. 1촌 또는 나만 보기로 좁혀 둔다.

4) 연락해 온 사람의 프로필 정보 확인
상대 프로필 → 더보기(More) → 이 프로필 정보(About this profile) — 이 단계의 메뉴 위치는 확실하지 않으며, 이름 옆 인증 배지를 눌러 들어가는 버전도 있다.

가입 시점, 연락처·사진 변경 시점, 인증 여부 같은 정보가 뜬다. 인증 배지가 있다고 무조건 안전하지는 않다. 그래도 갓 만든 계정이 대기업 채용 담당자를 자처한다면 회사 공식 채널로 한 번 더 확인할 이유는 충분하다. 앞 표의 ‘담당자 프로필’ 항목을 실제로 점검하는 통로가 바로 이 메뉴다.

해외 원격 제안이 잦은 국내 개발자, 틈이 더 넓다

국내 개발자도 링크드인으로 해외 기업의 채용 제안을 받는 일이 적지 않다. 영어로 오는 해외 원격 근무 제안은 회사 실체를 확인하기가 더 까다롭다. 가짜 면접이 파고들 틈도 그만큼 넓다. 직무별로 무게중심은 이렇게 달라진다.

• 가상자산·핀테크 엔지니어: 바이낸스 사례처럼 지갑·거래 시스템 접근 권한이 있는 직무가 우선 표적이 된다. 개인 기기에 회사 키를 두지 않는다는 원칙이 그만큼 더 무거워진다.
• 구직 중인 주니어 개발자: 좋은 조건을 놓치기 싫어 과제를 서둘러 실행하기 쉽다. 과제 전용 가상 환경을 미리 만들어 두면 급하게 판단할 일이 줄어든다. 연락을 받고 나서 꾸리려 하면 촉박한 마감에 쫓겨 건너뛰기 쉽다.
• 회사 보안 담당자: 직원의 구직 활동 자체는 막을 수 없다. 업무 기기와 개인 활동을 분리하고 의심 메시지 신고 창구를 갖추는 쪽이 현실적이다.
• 개인 투자자: 이번 침해로 전문 가상자산 수탁(커스터디) 업체 수요가 늘 수 있다는 분석이 나온다. 국내 투자자 사이에서도 거래소를 고를 때 자산 보관 방식을 따지는 경향이 강해질 수 있다는 부분은 아직 추측 단계다.

확인된 것과 아직 불확실한 것

확인된 것

• 바이낸스 해커들이 가짜 채용 면접을 침투 수단으로 사용
• 링크드인을 통해 엔지니어 한 명을 표적으로 삼음
• 보안 연구자들이 같은 수법을 앞서 여러 차례 경고
• 전문 가상자산 수탁 업체 수요가 늘 수 있다는 시장 분석

아직 불확실한 것

• 탈취된 자산의 구체적 규모와 종류
• 면접 과정에서 전달된 파일·프로그램의 정체
• 공격 주체와 배후
• 엔지니어 기기에서 내부 시스템까지 이동한 경로
• 링크드인의 사칭 계정 대응 방식 변화 여부

채용 제안이 오면 지킬 다섯 가지 원칙

1. 회사는 공식 채널로 역확인한다. 상대가 준 링크 말고, 직접 검색한 채용 페이지와 대표 메일로 묻는다.
2. 대화는 플랫폼 안에 둔다. 개인 메신저로 옮기자는 요구가 빠를수록 의심한다.
3. 실행 파일은 격리 환경에서만 연다. 업무 기기와 개인 주력 기기는 쓰지 않는다.
4. 급하다는 말에 속도를 맞추지 않는다. 진짜 채용 담당자는 하루 이틀 확인 시간을 달라는 요청을 문제 삼지 않는다.
5. 이상하면 회사에 알린다. 같은 회사 동료가 동시에 표적이 됐을 수 있다.

가짜 면접 해킹이 악용하는 건 기술이 아니라 맥락이다. 바이낸스 사례에서도 공격자가 꺼낸 카드는 새 기술이 아니라 ‘채용’이라는 포장이었다. 그 포장을 벗기면 남는 건 ‘모르는 사람이 보낸 실행 파일’ 하나. 그렇게 다시 보면 판단은 대부분 어렵지 않다.

출처: MIT Tech Review AI

63억 달러. 바이낸스가 이번 해킹으로 영향을 받았다고 밝힌 자산 규모다. MIT 테크놀로지 리뷰는 이 사건을 암호화폐 역사상 최대 해킹으로 소개했다. 분석가들이 지목한 배후는 북한.

사고 직후 바이낸스는 입금과 출금을 전부 막았다. 블룸버그의 전망은 더 어둡다. 도난당한 비트코인이 끝내 회수되지 못할 가능성이 크다는 것.

이 기간에는 OTP를 빈틈없이 걸어 둔 이용자도 자기 코인을 한 개도 꺼내지 못한다. 보안 설정을 아무리 잘해 둬도 소용없는 구간이 있다는 얘기다.

그래서 개인이 손댈 수 있는 영역은 두 가지로 좁혀진다. 코인을 어디에 두느냐. 그리고 거래소 계정을 얼마나 단단히 잠그느냐.

거래소 해킹과 계정 탈취는 막는 법이 다르다

둘은 노리는 대상부터 다르다. 대응법이 갈리는 것도 그래서다.

구분	거래소 해킹	계정 탈취
노리는 곳	거래소가 관리하는 지갑, 내부 시스템	내 거래소 계정(피싱 사이트, 악성 앱, 다른 곳에서 유출된 비밀번호로 로그인)
내 비밀번호·OTP와의 관계	무관	직접 걸려 있음
피해가 나면	거래소가 입출금을 막고, 손실 보전 여부는 거래소 정책에 달림	거래소 시스템이 멀쩡해도 내 코인이 빠져나감
줄이는 방법	보관 위치 나누기	계정 보안 설정

출금 화이트리스트나 OTP가 듣는 건 오른쪽 칸, 계정 탈취뿐이다. 보안 설정을 다 켰다고 거래소에 전 재산을 맡겨도 되는 건 아니라는 뜻이다.

거래소 지갑 구조를 알아 두면 이 차이가 더 선명해진다. 거래소는 보통 자산을 두 종류의 지갑에 나눠 담는다.

• 핫월렛: 인터넷에 연결된 지갑. 출금 요청을 바로 처리할 수 있는 대신, 원격 공격에 그대로 노출된다.
• 콜드월렛: 인터넷과 분리된 지갑. 꺼내는 데 시간이 걸리지만 원격으로 털기는 어렵다.

출금 속도를 맞추려면 어느 거래소든 일정량은 온라인에 둘 수밖에 없다. 거래소 보관을 은행 금고처럼 여기면 안 되는 이유가 여기 있다.

보관 방식 3가지, 거래소가 털리면 갈리는 결과

따질 기준은 하나. 개인키, 곧 코인을 움직이는 열쇠를 누가 쥐고 있느냐다. 열쇠를 쥔 쪽이 실질적인 주인이다.

구분	거래소 보관	소프트웨어 지갑(앱·브라우저 확장)	하드웨어 지갑
열쇠 관리 주체	거래소	나(스마트폰·PC 안)	나(전용 기기 안)
거래소가 해킹되면	입출금 중단, 보전은 거래소 정책에 좌우	직접 영향 없음	직접 영향 없음
주된 위험	거래소 해킹·운영 중단, 계정 탈취	기기 악성코드, 가짜 지갑 앱, 피싱 서명	기기·복구 구문 분실, 조작된 중고 기기
열쇠를 잃으면	본인 인증으로 계정 복구 가능	복구 구문 없으면 복구 불가	복구 구문 없으면 복구 불가
어울리는 자금	바로 사고팔 금액	자주 주고받는 소액	오래 묵힐 큰 금액

표만 보면 개인 지갑이 정답처럼 보인다. 꼭 그렇지는 않다.

개인 지갑은 거래소 해킹 위험을 덜어내는 대가로 열쇠 관리 책임을 내가 떠안는 구조다. 복구 구문을 잃어버리면 누구도 되찾아 주지 않는다. 본인 인증만으로 계정을 되살릴 수 있다는 점에서, 사용자 실수에는 오히려 거래소 보관이 더 관대한 편이다. 결국 어느 한쪽을 고르기보다 금액별로 나눠 담는 게 현실적인 답이다.

바이낸스 계정에 켜 둘 보안 설정 4가지

경로는 바이낸스 앱 기준이다. 앱 업데이트가 잦아 버튼 표기가 바뀔 수 있으니, 찾아가는 방향 정도로 참고하면 된다.

1. 2단계 인증을 인증 앱·패스키로 바꾸기
   프로필 아이콘(왼쪽 위) → 보안 → 2단계 인증(일부 버전은 ‘패스키 및 생체 인증’으로 따로 표시). SMS 인증만 켜 둔 상태라면 인증 앱을 먼저 추가하고 SMS는 끄는 편이 낫다. 문자 인증은 휴대폰 번호 탈취와 유심 복제에 약하다.
2. 출금 화이트리스트 켜기
   프로필 → 보안 → 주소 관리(출금 주소 관리) → 화이트리스트 켜기. 경로가 확실하지 않은 단계다. 일부 버전은 출금 화면 안의 주소록에서 켠다. 켜 두면 미리 등록한 주소로만 출금이 나가고, 새 주소를 추가할 때는 추가 인증을 거친다. 계정이 털려도 공격자 지갑으로 곧장 빼 가기 어려워진다. 탈취가 실제 손실로 이어지는 마지막 길목을 막는 설정이다.
3. 피싱 방지 코드 설정
   프로필 → 보안 → 피싱 방지 코드. 내가 정한 문구가 거래소가 보내는 진짜 이메일에 함께 찍힌다. 문구가 빠진 메일은 가짜로 보면 된다.
4. 기기·로그인 기록 점검
   프로필 → 보안 → 기기 관리, 계정 활동. 모르는 기기가 보이면 삭제하고 비밀번호를 바꾼다. 탈취가 의심될 땐 보안 메뉴 하단의 계정 비활성화로 거래를 막는다(위치 불확실).

국내 원화 거래소도 짜임새는 비슷하다. 2단계 인증은 대개 마이페이지(또는 내 정보) → 보안 설정에, 출금 주소 등록은 입출금 메뉴의 출금 주소 관리에 있다(경로 불확실).

한 가지는 분명히 해 두자. 네 가지 모두 계정 탈취를 막는 장치다. 거래소 전체가 해킹돼 입출금이 멈춘 상황에서는 효과가 없다.

개인 지갑 고르기 전 따질 5가지

어떤 제품을 살지는 나중 문제다. 기준부터 세운다.

• 금액과 보관 기간: 오래 묵힐 큰 금액은 하드웨어 지갑, 자주 옮기는 소액은 소프트웨어 지갑. 둘을 함께 쓰는 방식도 흔하다.
• 호환성: 가진 코인, 그리고 그 코인이 오가는 네트워크(체인)를 지원하는지부터 본다. 같은 코인이어도 네트워크가 다르면 주소 체계가 다르다. 잘못 보내면 되찾기 어렵다.
• 구매 경로: 하드웨어 지갑은 제조사 공식 판매처에서 새 제품으로 산다. 개봉된 중고, 복구 구문이 미리 적힌 카드가 들어 있는 제품은 조작 가능성이 있으니 피한다. 하드웨어 지갑을 쓰는 이유가 열쇠를 남과 나누지 않는 데 있는데, 조작된 기기는 그 전제를 처음부터 무너뜨린다.
• 백업 방식: 복구 구문을 종이나 금속판에 적어 오프라인으로 보관할 수 있어야 한다. 사진 촬영, 메모 앱, 클라우드 저장은 해킹 한 번에 전부 노출된다.
• 관리 부담: 펌웨어 업데이트와 연동 앱 관리까지 감당할 수 있는지 따져 본다. 부담스럽다면 거래소를 여러 곳으로 나누는 쪽이 현실적일 수 있다.

옮기는 순서도 정해 두는 게 좋다. 소액을 먼저 보내 도착을 확인하고, 그다음에 나머지를 보낸다. 주소 한 글자, 네트워크 선택 하나만 틀려도 되돌릴 방법이 거의 없다. 전송을 한 번 더 하는 수고가 들더라도 건너뛸 단계는 아니다.

바이낸스 입출금 중단, 국내 이용자가 챙길 것

• 바이낸스 계정 보유자: 입출금이 막힌 동안은 자산을 옮길 수 없다. 이 기간에 할 수 있는 일은 계정 보안 점검과 사기 경계, 두 가지다.
• 사고 뒤 피싱: 대형 해킹 뒤에는 ‘보상 신청’, ‘계정 재인증’, ‘안전 지갑으로 이전’을 내세운 문자·이메일·메신저 메시지가 흔히 따라붙는다. 링크는 누르지 말고 앱을 직접 열어 공지를 확인한다. 앞서 설정한 피싱 방지 코드가 제 몫을 하는 순간이다.
• 국내 원화 거래소만 쓰는 이용자: 바이낸스 사고가 국내 거래소 잔고에 직접 닿는 경로는 드러나지 않았다. 다만 분석가들이 북한을 배후로 지목한 만큼, 같은 유형의 공격이 국내 거래소로 향할 가능성도 염두에 둘 만하다(추측).
• 국내에서 해외로 보내는 이체: 국내 거래소는 외부 주소로 출금할 때 주소 사전 등록과 본인 확인을 요구하는 편이다. 바이낸스 입금이 재개된 뒤에도 이 경로가 정상화되는 시점은 거래소마다 다를 수 있다(추측).

확인된 것과 아직 불확실한 것

확인된 것

• 바이낸스가 밝힌 해킹 영향 자산 63억 달러 (BBC 보도)
• 분석가들의 북한 배후 지목 (가디언 보도)
• 바이낸스의 전체 입금·출금 중단 (NBC 뉴스 보도)
• 도난 비트코인이 회수되지 않을 가능성이 크다는 전망 (블룸버그 보도)

아직 불확실한 것

• 공격 경로와 털린 지갑의 종류
• 이용자 손실 보전 범위와 방식
• 입출금 재개 시점
• 피해 자산 가운데 이용자 예치금 비중
• 국내 거래소의 바이낸스 방향 입출금 제한 여부

점검 순서: 계정 잠금, 자금 분리, 분산, 백업 확인

계정 잠금이 맨 앞인 데는 이유가 있다. 바이낸스처럼 입출금이 막힌 상황에서도 바로 할 수 있는 조치가 이것뿐이다.

1. 계정 잠금: 쓰는 거래소마다 2단계 인증을 인증 앱이나 패스키로 바꾼다. 출금 화이트리스트와 피싱 방지 코드도 함께 켠다.
2. 자금 분리: 거래소에는 바로 사고팔 금액만. 나머지는 개인 지갑으로 옮긴다.
3. 거래소 분산: 거래소에 남길 금액도 한 곳에 몰지 않는다. 한 곳이 멈춰도 다른 곳에서 거래를 이어 갈 수 있다.
4. 백업 확인: 개인 지갑의 복구 구문은 서로 다른 장소에 오프라인으로 보관한다. 적어 둔 구문에 오탈자가 없는지 한 번 더 대조하는 것까지가 백업이다.

거래소가 털리는 걸 개인이 막을 방법은 없다. 하지만 사고가 났을 때 거기 묶이는 돈이 얼마일지는 내가 정할 수 있다.

출처: MIT Tech Review AI