바이낸스를 노린 63억 달러 규모 공격에서 해커들이 가짜 채용 면접을 이용해 개발자의 PC를 뚫었다는 소식이 올라옴.
댓글에서는 업무용 노트북으로 면접을 보는 게 적절했는지부터 얘기가 나왔음. 낯선 코드를 실행한 개인의 판단을 지적하면서도, 사회공학 공격은 누구나 당할 수 있다는 반응도 있음.
근데 더 큰 논쟁은 개발자 기기 하나가 뚫렸을 때 왜 거액의 자산까지 위험해질 수 있느냐는 쪽이었음. 운영 환경 접근을 제한하거나 여러 사람의 승인을 거치게 해야 한다는 의견이 나왔고, 실제 공격 경로를 두고는 추측을 수정하거나 서로 다른 해석을 내놓기도 함.
그 밖에도 면접 과제 코드를 어떻게 다룰지, 컨테이너가 도움이 될지, 개발자에게 배상책임보험이 필요한지까지 얘기가 번짐. 회사마다 보안 관행이 얼마나 다른지도 각자 경험담으로 나오는 중.
이런 사회공학 수법이 늘어난 것 같기는 함. 최근에는 러스트 생태계도 표적이 돼서, 경고문까지 올릴 정도였음: https://blog.rust-lang.org/2026/09/17/targeted-attacks/
영국의 계약직은 이미 배상책임보험이 필수나 마찬가지임. 없으면 큰 회사들은 상대도 안 해 줌.
이상한 점이 한두 개가 아님. 개발자 한 명이 60억 달러에 접근할 수 있다는 점, 업무용 노트북으로 면접을 봤다는 점, 민감한 것에 접근할 수 있는 그 노트북에서 임의의 실행 파일을 돌릴 수 있었다는 점. 아니면 개발자 노트북을 발판 삼아 원래 접근할 수 없어야 할 곳까지 해킹했을 수도 있겠네.
미국의 계약직도 마찬가지임. 내가 이 일을 해 온 20여 년 동안 그랬음.
늘 그렇듯 기존 언론 기사는 그 핵심 문제를 다루지 않는 것 같음. 추측해 보자면, 체인 거래에 서명할 때 일종의 HSM을 쓰지만 어떤 거래에 서명할지에 대한 통제가 약한 시스템이 아닐까 싶음. 그렇다면 코드 어딘가에 원하는 거래를 끼워 넣으면 그대로 통과되는 곳이 있다는 얘기임.
그런 상황에서는 시스템 코드를 수정할 수 있는 사람이 원하는 만큼 돈을 훔칠 수 있음. 그래서 개발자 노트북은 PR을 올리거나, 새 컨테이너 이미지나 다른 빌드 산출물을 배포하는 식으로 더 직접적으로 코드를 바꾸는 데만 쓰였을 수도 있음.
AI 도구를 쓰면 에이전트에게 노트북의 코드를 살펴보게 하고 온체인에서 임의의 거래를 보내려면 어디를 수정해야 하는지 물어보는 것도 충분히 가능할 것 같음. 공격자가 시스템을 깊이 알 필요가 없었다는 뜻임.
수정: 바이낸스가 공격에 대한 세부 내용을 일부 공개했음. 내가 추측한 HSM 승인 절차가 아니라 EIP-7702 컨트랙트가 공격당했다고 함.
보장 한도가 100만 달러인 배상책임보험은 60억 달러 손실에 별 도움이 안 됐을 듯.
아직도 컨테이너를 안 쓰는 사람이 이렇게 많은 게 잘 이해가 안 감. VS Code에서 개발용 컨테이너를 쉽게 쓸 수 있는데. 그러면 저장소마다 컨테이너가 따로 생겨서 시스템이 악성코드에 감염될 위험이 훨씬 낮아짐.
엔지니어의 단말기가 뚫렸다고 지갑 키까지 뚫려서는 안 됨.
> 회사의 소수 엔지니어는 지갑에 직접 접근할 수 있다
아, 내가 지난 10년 동안 운영 환경의 민감한 자원이나 일반적인 비운영 환경을 관리하려고 설계하고 구현한 보안 모델이 바이낸스 것보다 낫다는 얘기네. 그 모델에서는 비상 상황을 제외하면 사람이 직접 접근할 수 없고, 비상 접근을 함부로 쓰면 즉시 해고와 회사의 소송 대상임.
어떻게 운영하냐고 묻기 전에 말하자면, 아주 대단한 비법까지는 아니지만 일단 구체적인 방법은 공개하지 않겠음.
바이낸스 정도면 단말기에 관리형 Qubes OS 서비스를 쓸 법도 한데. 그리고 맞춤형 UI와 서비스 제공자의 앱 배포 체계를 갖추면 Qubes도 쉽게 쓸 수 있음. GPU를 전부 활용하는 엑셀 같은 윈도 앱도 포함해서.
나는 남의 코드를 실행하기 전에 먼저 검증하는 편임. 면접 과제로 받은 코드에 바이러스가 들어 있다면 해킹을 안 당하더라도 시간만 낭비하게 될 테니까.
그러니까 바이낸스는 개발자들이 운영 환경의 민감한 자료에 접근할 수 있는 기기에 코드를 마음대로 내려받게 둔다는 거야? 보안을 진지하게 생각하지 않는 개발자들이 있는 것 같네. 어차피 남의 돈이라 그런가.
아니, 운영 환경 접근 권한이 있는 사람들이 운영 시스템 인증 정보가 들어 있는 같은 기기에서 신뢰할 수 없는 코드를 아무렇게나 실행한다니, 대체 회사를 어떻게 운영하는 거임?
어쩌면 도움이 될 수도 있지 않을까? 보장이 100만 달러뿐이라는 걸 알면 60억 달러에 직접 접근할 권한을 주지 말자고 생각할 수도 있으니까. 위험을 문서로 적어 놓으면 사람들이 다르게 행동하는 경향이 있음.
내가 다닌 회사들에서는 그게 완전히 흔한 일이었음! 한 번은 CEO와 얘기하다가 무심코 관련 얘기를 꺼냈더니, CEO가 “그래도 우리 직원들은 그런 걸 안 해서 다행이지? 안 그러면 규제기관과 큰 문제가 생길 테니까”라고 하더라. 그래서 “네, 당연히 안 하죠”라고 대답했음. 이런.
7702가 공격을 좀 더 효율적으로 만들기는 했지만 핵심은 아니었음. 근본적인 문제는 MPC 서명 시스템에 명령을 제출하는 제어 영역이 충분히 격리되지 않았고, 개발자 기기의 예방 통제와 경고 체계도 부족했다는 거임. HSM이 아니라 MPC로 보도된 걸로 아는데, 여기서는 둘의 차이가 크게 중요하지는 않음.
내가 보기에 가장 큰 문제는 여러 사람의 검토와 승인 없이도 개발자가 서명 제어 시스템을 교체할 수 있었다는 점임. 그런 수준의 통제를 갖춘 시스템에 65억 달러 이상의 자산까지 있었다니. 이런 구조라면 매수된 내부자가 진작 자산을 훔쳐 가지 않았다는 게 솔직히 놀라울 정도임. 내부자 한 명이 지급을 지시할 수 있다면 외부 공격자도 필요 없으니까. 같은 서명 인프라를 쓰는 이더리움 외 시스템도 뚫렸으니 7702가 핵심이 아니었다는 건 분명함.
우리는 비슷한 위험에 대해 수십억 달러 규모의 보험을 다루기 때문에 지난 며칠간 보험업계와 길고 꽤 불편한 통화를 여러 번 했음. 보험 인수 심사 과정에서 이런 문제를 발견했다면 고객에게 알리고, 해당 위험을 보장 대상에서 빼거나 문제가 해결될 때까지 보험을 발행하지 않았을 거임.
많은 회사에서 흔한 일이지만, 내부자 위험 때문에 암호자산 수탁 업무에서는 특히 그러면 안 됨. 내부자가 노트북에서 명령 하나로 60억 달러를 가져갈 수 있다면 악의적인 내부자가 나타나거나, 누군가 엔지니어나 그 자녀를 협박하거나, 노트북을 장악하는 일이 생길 수 있음. 외부 공격자가 없어도 문제가 생길 수 있다는 뜻임.
나는 꽤 엄격하게 통제하는 환경을 운영했는데, 솔직히 해커뉴스 같은 곳에서는 그 사실을 조용히 하고 있어야 할 것 같은 기분이 들 때가 있음. 루트 권한과 무제한 접근 권한이 없는 회사에서 일해 본 적 없다는 글이나, 운영 서버에 접근할 수 없다면 엄청난 위험 신호라는 식의 글이 끊이지 않아서.
> 한편으로는 지금 다니는 회사 노트북으로 이직 면접을 보는 게 당연히 좋은 생각은 아님.
혹시 조용한 퇴사 중이었던 건가.
로그인 후 댓글을 작성할 수 있음.로그인
jl*****erg
와, 이건 정말 아찔하네. 한편으로는 지금 다니는 회사 노트북으로 이직 면접을 보는 게 당연히 좋은 생각은 아님. 그래도 사회공학 공격은 형태가 다양하고 누구나 당할 수 있음. 이제 의사들처럼 배상책임보험이라도 들어야 하나? 요즘 기술 분야에서 일하다 보면 엄청난 규모의 피해에 대한 책임을 질 수 있는 위험이 너무 많음. 에이전트를 쓰는 것도 불안하고. 쉽게 엉뚱한 방향으로 가서 의도하지 않은 행동을 할 수 있으니까.
ko***ga
이건 이제 알려진 사회공학 수법임. 작년 글도 참고: https://news.ycombinator.com/item?id=45591707 그래도 개발자 한 명의 기기가 뚫려서 60억 달러를 인출할 수 있었다는 건 여전히 놀라움.
chr******ilus
맞아, 꽤 놀라움. 나는 그렇게 해 본 적도 없고 앞으로도 안 하겠지만, 그럴 만한 사람들은 알고 있음. 혹시라도 내 노트북에서 면접 과제를 하면 항상 샌드박스에서 돌림. 그래도 대체로는 그런 면접 자체를 그냥 피하는 편임. 보통 여러 위험 신호 중 하나라서.