바이비트 해킹, 코드보다 사람·화면 노렸다

가상자산 보안의 공격 지점이 코드 취약점에서 웹 인터페이스와 사용자 서명 과정으로 옮겨가고 있다는 분석이 나왔다. 지난해 발생한 바이비트 해킹은 개발자 계정과 공급망, 거래 화면, 서명 절차가 연결된 위험을 보여준 사례로 제시됐다.

왕이석 원키 창업자는 인터뷰에서 “보안 공방은 이미 AI 시대로 들어섰다”고 말했다. 해당 인터뷰는 18일 오전 0시38분 한국시간에 공개됐다. 인터뷰 원문은 AI가 취약점 탐색과 공격망 구축에 필요한 시간을 줄이고 있다고 설명했다.

바이비트에서는 2025년 2월 21일 약 15억달러(약 2.07조원) 규모 가상자산이 탈취됐다. 미국 연방수사국(FBI)은 북한 연계 조직 ‘TraderTraitor’를 배후로 지목했다. FBI는 이를 북한 연계 조직의 소행으로 발표했지만, 법원의 형사 판결을 의미하는 표현은 아니다.

바이비트는 공격 과정에서 Safe 개발자의 인증정보가 탈취돼 Safe 인프라에 접근이 이뤄졌고, 서명자들이 악성 거래를 승인하도록 속았다고 밝혔다. 바이비트 인프라가 침해됐다는 증거는 발견되지 않았다고도 설명했다.

왕이석은 멀티시그 컨트랙트나 콜드월렛, 하드웨어 지갑 장치 자체보다 Safe 프론트엔드와 사람에 대한 공격이 핵심이었다고 분석했다. 멀티시그는 여러 명의 서명이 있어야 거래가 실행되는 구조지만, 서명자가 확인한 화면과 실제 서명 대상이 다르면 정상적인 보안 절차 안에서도 악성 거래가 승인될 수 있다.

Ledger도 바이비트 공격 분석에서 Safe 웹 인터페이스가 변조됐고, 서명 과정에서 Safe 컨트랙트의 구현 주소가 공격자 컨트랙트로 바뀌는 거래가 승인됐다고 설명했다. 이는 블록체인 코드 하나의 결함만이 아니라 개발자 계정과 공급망, 프론트엔드, 사용자 확인 절차가 함께 공격 표면이 될 수 있음을 보여준다.

이런 유형의 공격에서 사용자는 거래 화면에 표시된 내용과 실제 서명 대상이 일치한다고 믿고 승인한다. 하드웨어 지갑이 정상적으로 키를 보관하고 거래에 서명하더라도, 서명 이전 단계의 정보가 바뀌면 장치의 정상 작동만으로 피해를 막기 어렵다.

왕이석은 원키 보안팀이 취약점 탐색부터 재현, 공급망 공격 구성까지 보안 엔지니어 1명과 2주 만에 진행했다고 말했다. 과거에는 숙련 연구원 2~3명이 약 2개월을 투입해야 했다는 설명이다. 다만 이 수치는 왕이석의 인터뷰 발언으로 제시됐으며, 관련 기술 보고서와 재현 자료는 별도로 공개되지 않았다.

원문은 해당 연구가 Black Hat에서 공개됐다고 설명했지만, Black Hat 공식 일정에서 Anzen Labs의 구체적인 발표 자료나 해당 수치를 확인할 수 있는 페이지는 제시되지 않았다. 따라서 ‘2개월에서 2주’라는 표현은 독립적으로 검증된 업계 통계가 아니라 발언 주체가 밝힌 실험 결과로 다뤄야 한다.

Ledger는 별도 보안 공지에서 장치 화면에 표시된 내용과 실제 서명 대상이 달라질 수 있는 명령어 끼어들기 취약점을 공개했다. Ledger Security Bulletin 023은 이더리움 앱 1.22.2와 Secure SDK 26.6.1에서 관련 문제가 완화됐다고 설명했다.

Ledger Security Bulletin 025는 이더리움 앱 1.22.3에서 별도의 스왑 검증 취약점이 수정됐다고 밝혔다. 초안에 적힌 ‘1.2.1·1.2.3’ 표기는 공식 자료의 버전 체계와 달라 이더리움 앱 1.22.1·1.22.2·1.22.3 및 Secure SDK 버전을 구분해 써야 한다.

Ledger는 해당 취약점이 실제 사용자 공격에 악용됐다는 증거는 없다고 밝혔다. 바이비트 사건과 구버전 앱 취약점 재현은 서로 다른 사안인 만큼, 바이비트 해킹 과정에서 Ledger 장치 자체가 침해됐다고 확대해석해서는 안 된다.

Safe는 이후 거래 화면에 사람이 읽을 수 있는 해석 정보와 사전 실행 검사, 신뢰 목록 기능을 제공하는 Safe Shield를 소개했다. Safe의 발표는 신뢰하지 않는 지갑을 별도로 표시하고 주소 유사성 탐지 기능을 제공하는 방식을 설명했다.

이번 사례는 가상자산 지갑 보안이 키와 컨트랙트의 안전성만으로 완성되지 않는다는 점을 보여준다. 거래 내용을 보여주는 웹 화면과 개발자 계정, 소프트웨어 공급망, 사용자가 서명 전에 확인하는 절차가 함께 관리돼야 한다는 것이 왕이석의 분석이다.

왕이석은 2013년 대학 재학 중 처음 비트코인(BTC)을 구매한 뒤 바이트댄스와 블록체인 업계를 거쳐 원키를 창업했다고 말했다. 그는 원키의 성장 계기로 2020년 ‘DeFi Summer’를 꼽았고, 현지화된 사용자 경험과 오픈소스 정책을 차별점으로 제시했다.

그는 AI 시대의 제품 개발 방식으로 “show me the product”라는 접근도 제시했다. 다만 이 발언은 왕이석의 개인적 견해로, 제품 성과나 시장 확대를 보장하는 전망으로 확인된 것은 아니다.