바이낸스 63억달러 해킹, TRM랩스 북한 연계 조직 지목

바이낸스(Binance)가 보안 사고의 전체 영향 규모를 약 63억달러(약 8조4231억원)로 추산했다. 바이낸스는 초기 침투 경로로 데브옵스 엔지니어 노트북 침해 가능성을 제시했고, TRM랩스(TRM Labs)는 북한 연계 조직 트레이더트레이터(TraderTraitor)를 배후로 지목했다.

바이낸스는 30일 공개한 보안 사고 업데이트에서 공격자가 침해된 노트북을 통해 서비스 컨테이너에 접근한 뒤 승인되지 않은 출금 거래를 제출했을 가능성이 있다고 밝혔다. 이는 초기 조사 결과로, 정확한 침투 경로는 조사 중이다.

데브옵스(DevOps)는 소프트웨어 개발과 서비스 운영을 연결하는 업무다. 바이낸스는 지갑 개인키가 유출됐다는 증거는 발견하지 못했다고 밝혔다.

바이낸스는 블록체인 업계와 협력해 약 30억달러(약 4조110억원) 상당의 자산을 온체인에서 동결했다고 밝혔다. 이는 사고 전체 영향 추정치와 구분되는 동결 규모다.

바이낸스는 보안 점검을 위해 입출금을 일시 중단하고 관련 주소의 접근 권한을 철회했다. 이용자 손실은 사용자 자산 보호기금(SAFU)과 회사 자금으로 전액 부담하겠다고 밝혔다.

TRM랩스는 자체 분석에서 트레이더트레이터의 소행이라는 판단에 높은 확신을 표했다. 트레이더트레이터는 라자루스 그룹(Lazarus Group) 계열로 분류되는 조직이다. 본지는 앞서 바이낸스 해킹에 라자루스 배후 가능성이 제기됐다고 보도했다.

이번 사건은 4월 18일 발생한 켈프다오(KelpDAO) 해킹과도 비교되고 있다. 당시 켈프다오의 브리지에서 rsETH 11만6500개, 약 2억9200만달러(약 3907억원) 상당의 자산이 유출됐다.

레이어제로(LayerZero)가 5월 공개한 최종 조사 보고서는 공격자가 개발자를 속여 악성 저장소를 복제하게 한 뒤 세션 정보를 확보했다고 설명했다. 보고서에 따르면 공격자는 이를 이용해 내부 RPC 인프라에 접근했다.

공격자는 내부 RPC 노드의 응답을 조작하고 외부 RPC 제공업체에 서비스 거부 공격을 가해, 레이어제로의 검증 시스템이 위조된 크로스체인 메시지를 승인하도록 했다. 보고서는 해당 애플리케이션이 단일 검증자 설정을 사용한 점도 피해가 발생한 배경으로 들었다.

사고 조사에 참여한 맨디언트(Mandiant)와 크라우드스트라이크(CrowdStrike)는 켈프다오 공격을 북한의 소행으로 높은 확신을 갖고 판단했다. 두 업체가 트레이더트레이터와의 연관성을 평가한 확신 수준은 중간이었다.

두 사건 모두 개발자 업무 환경이 공격 경로로 거론됐다. 다만 켈프다오에서는 거래 검증 인프라가 조작됐고, 바이낸스에서는 승인되지 않은 출금 거래가 제출됐을 가능성이 조사되고 있어 공격 방식은 다르다.

한 온체인 분석가는 바이낸스 공격자 주소에서 아비트럼(ARB) 7456만개가 ‘0x000…0DA0’ 주소로 이동했다며 켈프다오 해킹과 동일 조직의 소행일 가능성을 제기했다. 이 주장은 주소 간 자금 이동을 근거로 한 분석이다.

아비트럼 보안위원회는 4월 켈프다오 탈취 자산을 동결해 해당 주소에 보관했다. 따라서 자산이 같은 주소로 이동했다는 사실만으로 두 공격의 실행자가 같다고 판단할 수는 없다.

바이낸스는 수사기관과 블록체인 분석업체의 도움을 받아 공격자 신원을 조사하고 있다. 조사가 끝나 사실관계가 확인되면 기술 조사 보고서를 공개하고, 복구 조치가 완료된 뒤 준비금 증명을 갱신하겠다고 밝혔다.