북한 위장 취업 면접이 63억달러 Binance 해킹으로
원제: North Korean fake job interview led to $6.3B Binance heist
왜 중요한가
국가 수준 해킹 조직이 공급망 침해와 채용 사기를 결합해 대형 거래소를 장악한 사례로, 암호화폐 업계 전반의 내부자 위협 대응 체계에 경고등을 켰다.
2026년 10월 29일, 북한 해킹 조직 TraderTraitor(Lazarus Group 연계)가 위장 취업 면접을 통해 Binance 소프트웨어 엔지니어의 업무용 기기에 악성코드를 심어 63억 달러(약 8.7조 원) 규모의 암호화폐를 탈취했다. Binance는 11월 3일 공개한 사고 보고서에서 이번 침해가 소셜 엔지니어링, 내부 AI 툴 탈취, 엔드포인트 장악 등 다단계 복합 공격이었다고 밝혔다.
Binance가 공개한 사고 보고서에 따르면, 공격은 2026년 6월 공급망 침해로 시작됐다. 한 엔지니어(Engineer A)가 악성 Homebrew 설치 파일을 내려받은 것이다. 보안팀이 악성코드를 탐지해 해당 기기를 교체하고 관련 자격증명을 모두 초기화했으나, 그 과정에서 Engineer A의 역할 및 지갑 인프라팀 동료들의 정보가 공격자에게 노출됐다.
3개월 후인 9월, 또 다른 소프트웨어 엔지니어가 합법적인 취업 플랫폼을 통해 '프로젝트 디렉터'를 사칭한 인물로부터 연락을 받았다. 이 가짜 담당자는 허위 회사와의 연속 취업 면접을 주선했다. 1차 화상 면접 도중 면접관은 소셜 미디어 계정을 엔지니어와 공유했고, 이를 통해 악성코드가 업무용 기기에 설치됐다. 이후 공격자는 내부 AI 툴 탈취, 엔드포인트 장악, '고급 거래 승인 방법'을 동원해 10월 29일 사상 최대 규모의 암호화폐 탈취를 완성했다.
FBI는 주말 사이 이번 공격을 TraderTraitor의 소행으로 공식 지목했다. 이 조직은 IT 인력으로 위장해 서방 기업에 취업하거나, 반대로 가짜 채용 담당자로 위장해 개발자를 함정에 빠뜨리는 양방향 취업 사기에 능한 것으로 알려져 있다. Binance는 "단일 침해 사고나 단순 피싱이 아닌 정교한 다단계 캠페인"이라고 규정했다.