세계 최대 가상자산 거래소 바이낸스가 북한 정찰총국 연계 해킹 조직의 기습 공격을 받아 단 20분 만에 최소 63억 달러(약 8조 4000억 원)에 달하는 디지털 자산을 약탈당했다. 역대 최대 규모의 가상자산 탈취 사건이 발생한 가운데, 인공지능(AI)으로 무장한 초국가적 해킹 세력이 글로벌 거래소와 국내외 주요 금융사의 방어망을 잇달아 무너뜨리면서 금융 보안 패러다임의 근본적 전환을 요구하는 목소리가 커지고 있다.

(사진=인공지능제작)

20분 만에 8.4조 털려…손쓸 새 없었던 바이낸스 지휘부

미국 연방수사국(FBI)은 지난달 31일(현지시간) 바이낸스 가상자산 탈취 사건의 배후로 북한 연계 해킹 조직인 '트레이더트레이터(TraderTraitor)'를 공식 지목했다. 트럼프 미국 대통령은 같은 날 플로리다주 마러라고 사저에서 취재진과 만나 "북한 소행인지는 아직 모른다"면서도 "만약 북한이 했다면 북한과 그 문제를 직접 논의해 볼 것"이라고 언급했다.

해킹은 지난 29일 오후 4시 20분(미 동부시간) 시작됐다. 아랍에미리트(UAE) 아부다비의 바이낸스 보안팀 모니터에 이상 유출 경고가 뜬 직후, 내부 엔지니어 노트북 침해를 통해 무단 출금 권한을 확보한 해커들은 무서운 속도로 자금을 빨아들였다.

이허 공동 최고경영자(CEO)와 홍콩에서 연결한 리처드 텡 공동 CEO 등 경영진 100여 명이 긴급 화상회의를 소집했으나 속수무책이었다. 최초 10억 달러로 시작된 피해액은 불과 20분 만인 오후 4시 40분 60억 달러를 넘어 최종 63억 달러를 돌파했다.

‘동결 불가능’ 노린 디파이 대출 탈출구…전례 없는 고도화 세탁

해커들은 전통적 추적과 제재를 비웃듯 탈중앙화 금융(DeFi·디파이) 시스템을 우회로로 삼았다. 바이낸스와 블록체인 포렌식 업체들이 공조해 테더(Tether), 서클(Circle), 월드 리버티 파이낸셜 등과 손잡고 스테이블코인 약 30억 달러를 긴급 동결하는 데 성공하자, 해커들은 즉시 방향을 틀었다.

동결 직전의 스테이블코인 6000만 달러를 탈중앙화 대출 플랫폼 '아베(Aave)'에 담보로 맡긴 뒤, 임의 동결이 불가능한 이더리움(ETH) 약 2만 개(약 4460만 달러 상당)를 대출받아 인출했다. 블록체인 분석업체 체이널리시스는 해커들이 자동화 프로그램을 통해 수천 건의 트랜잭션을 일으키고 복수의 지갑 주소로 반복 회전시키는 신종 세탁 수법을 구사했다고 밝혔다.

바이낸스는 사내 보유금과 준비금 63억 4000만 달러를 투입해 고객 피해액 전액을 보전하겠다고 밝히며 진화에 나섰으나, 거래소 신뢰도는 치명타를 입었다. 특히 체이널리시스에 따르면 올해 글로벌 암호화폐 해킹 피해액의 89%가 국제 제재 우회를 노리는 북한 연계 세력의 소행으로 추정돼 안보 위협으로 비화하는 양상이다.

국내 금융권도 연쇄 침해…“‘사고 제로’ 환상 버리고 피해 최소화 집중해야”

위협은 가상자산 거래소에만 머무르지 않는다. 최근 국내에서도 신한은행(약 2만 5000명), KB국민은행(119명), 하나은행(89명) 등 주요 시중은행의 영업지원시스템(ODS)과 외곽 시스템이 잇달아 뚫리며 고객 개인정보가 유출됐다. 지난 10월 한 달간 국내 주요 기업 및 기관 25곳에서 유출된 개인정보만 534만 건에 달한다.

보안 업계는 최근의 사이버 침해가 과거와 뚜렷하게 달라졌다고 진단한다. 철통 보안의 중앙 서버를 정면 공격하는 대신, 인공지능(AI) 공격 에이전트를 이용해 외부 연동 앱, 영업지원 포털, 클라우드 임시 파일 등 통제가 느슨한 '외곽의 약한 고리'를 전수 스캔해 침투하는 방식이다. 외부 IT 공급업체 하나를 장악해 다수의 고객사 클라우드 관리 권한을 단 3시간 만에 탈취하는 등 연쇄 피해가 현실화되고 있다.

전문가들은 공격 기술에 AI가 본격 도입된 만큼, '완벽한 방어(사고 제로)'라는 기존의 경직된 보안 체계에서 탈피해야 한다고 입을 모은다. 공격자는 허점 단 하나만 뚫으면 되지만, 방어자는 접근 통제부터 인증, 패치까지 전 과정을 상시 유지해야 해 구조적으로 불리하기 때문이다.

여기에 금융당국 중심의 하향식 정보 전파를 넘어 개별 기업 관제망에서 포착된 이상 징후를 실시간으로 민관이 상호 공유하는 공동 대응 체계 구축이 시급하다는 지적이다.

김범수 연세대 정보대학원 교수는 “인간과 AI가 결합해 취약점을 무차별 발굴하는 환경에서는 과거 안전했던 전산망도 안전을 보장할 수 없다”며 “사고를 원천 차단하겠다는 비현실적인 목표 대신, 가장 치명적이고 중요한 핵심 시스템을 선별 방어해 최종적인 피해 규모를 줄이는 현실적 보안 전략으로 패러다임을 전면 전환해야 한다”고 제언했다.