바이낸스는 조사 결과를 X에도 올리며 “일어나서는 안 될 일이었다"고 사과했다. 회사는 이번 사건이 단일한 침해나 단순한 피싱이 아니라 여러 수법을 결합한 공격이었다고 밝혔다. 미국 연방수사국(FBI)은 북한 국가 지원 해킹 조직 트레이더트레이터를 배후로 지목했다.

정상 출금 절차 밖에서 일어난 거래

바이낸스 설명에 따르면 공격자는 10월 29일 훔친 권한으로 악성 스크립트를 실행한 뒤 내부 지갑 서명 서비스에 무단으로 들어갔다. 지갑 서명 서비스는 이번 사건에서 정상 출금 절차를 거치지 않은 거래를 일으키는 데 악용된 바이낸스 내부 서비스다. 바이낸스는 사건 대응 과정에서 전 세계 고객의 출금을 중단했다.

6월 선행 침투, 9월 가짜 면접

바이낸스가 밝힌 침투의 첫 단계는 6월이었다. 지갑 인프라를 맡은 한 엔지니어가 AI 도구를 설치하려고 검색으로 찾은 파일을 내려받았는데, 변조된 Homebrew 설치 파일이었다. 회사는 당시 침투를 탐지해 감염 장치와 관련 자격 증명을 교체했다. 다만 이 엔지니어의 역할과 지갑 인프라팀 동료 정보는 이미 공격자에게 노출됐다고 설명했다.

9월에는 다른 소프트웨어 엔지니어가 표적이 됐다. 정상 구직 플랫폼에서 가짜 회사의 프로젝트 책임자를 사칭한 인물이 접근했고, 가짜 인사 담당자는 화상 면접에서 개인 사진과 영상이 담긴 소셜미디어 계정을 내보이며 신뢰를 얻으려 했다. 채팅 앱으로 이어진 가짜 최고경영자 면접에서 엔지니어는 업무용 컴퓨터에 과제를 내려받으라는 요구를 받았다. 그 과제에 악성코드가 들어 있었다.

바이낸스는 당시 단말 보안 도구가 이 악성코드를 잡아내지 못했다고 밝혔다. 악성코드는 정상 개발 도구의 구성요소를 바꿔 공격자 서버와 통신했고, 공격자는 침투 흔적을 지웠다고 회사는 설명했다.

사내 AI 도구로 접근 넓혀

바이낸스에 따르면 공격자는 10월 20일 감염된 컴퓨터와 내부 AI 도구를 악용해 다른 엔지니어의 컴퓨터로 접근을 확대했다. 공격자는 장악한 엔지니어 컴퓨터에서 배포 권한도 확보했다고 회사는 밝혔다.

98% 보충, 28억5000만 달러 동결·차단

바이낸스는 10월 31일 기준 피해 토큰 자산의 98%를 보충했다고 밝혔다. 손실을 충당할 자금을 마련했으며, 재정적 손실은 고객이 아니라 회사가 부담하겠다는 입장이다.

바이낸스는 이와 별도로 11월 3일 기준 탈취 자산 약 28억5000만 달러(약 3조9900억 원)가 동결되거나 차단됐다고 밝혔다. 동결·차단은 이 자산을 전액 회수했다는 뜻이 아니다. 출금은 11월 1일 재개됐고, 이후 고객들은 수십억 달러 규모의 자산을 인출했다.

보안 조치도 내놨다. 바이낸스는 피해 시스템을 재구축하거나 교체하고 감염 장치와 관련 자격 증명을 정리했다고 밝혔다. AI 기반 이상행동 탐지와 지갑 서비스 위험 통제를 강화했으며, 독립 보안업체를 통한 조사 결과 검토를 추진한다고 설명했다.

FBI는 북한 조직 지목, 김여정은 부인

FBI는 10월 31일 트레이더트레이터를 이번 사건의 배후로 지목했다. 바이낸스는 배후를 직접 단정하지 않고 북한 책임을 가리키는 FBI 발표를 인용했다. 김여정 북한 노동당 간부는 11월 3일 북한 책임을 주장한 미국 측 발표를 터무니없는 수사라며 부인했다.