바이낸스 63억 달러 해킹, 28억 달러 동결에도 해커 손엔 33억 달러 남았다

바이낸스가 약 63억 달러(약 8조 4,000억 원, 1달러 1,338원 기준) 규모로 추산한 보안 사고 피해액의 80%를 이미 메웠다고 밝혔다. 금요일(30일, 현지시각) 나온 후속 성명에서다. 바이낸스는 “이용자가 아니라 바이낸스가 도난 자금의 재무적 충격을 흡수한다”고 강조했다.

문제는 도난 자금의 행방이다. 공격자들은 동결이 가능한 스테이블코인을 서둘러 비트코인·이더리움으로 바꾸려 했고, 테더와 서클 등은 이를 막으려 주소를 차단했다. 미국에서는 대선(11월 3일)을 앞두고 이번 사고를 둘러싼 정치권 공방도 시작됐다.

피해 80% 메웠다는 바이낸스…미국 법인은 “영향 없다”

ABC뉴스에 따르면 바이낸스는 이번 사고로 약 63억 달러 상당의 무단 출금이 발생했다고 밝혔다. 블록체인 파트너와 협력해 온체인(블록체인상)에서 약 30억 달러 상당의 피해 자산을 동결했다는 설명도 덧붙였다. 바이낸스는 손실을 SAFU 기금(이용자 보호용 비상 준비금)과 회사 자금으로 모두 충당하겠다고 했다.

초기 조사에서는 DevOps(개발·운영) 엔지니어의 노트북이 감염돼 공격자가 무단 출금 거래를 일으켰을 가능성이 제기됐다. 이후 바이낸스는 추가 침해 지점도 확인했다고 밝혔지만, 그 위치는 확인하지 않았다. 바이낸스는 성명에서 “복잡한 공격이었고 수사당국과 공조해 해결하려 모든 노력을 하고 있다”고 말했다.

바이낸스는 조사가 끝나고 사실 관계가 검증되면 상세한 기술 사후 분석을 공개하겠다고 약속했다. 복구 작업이 끝난 뒤에는 갱신된 지급준비금 증명도 내놓겠다고 했다. 코인텔레그래프에 따르면 바이낸스는 수사당국과 블록체인 분석업체, 토큰 발행사, 다른 거래소와 함께 도난 자금을 추적하고 있다.

미국 규제 준수 거래소인 바이낸스US는 이번 사고의 영향을 받지 않았다고 밝혔다. 바이낸스US는 소셜미디어 성명에서 “우리는 별개의 독립 플랫폼이며 고객 자금과 서비스는 안전하고 정상 운영 중”이라고 설명했다.

해커들의 질주…동결 가능한 코인부터 바꿨다

코인텔레그래프 매거진에 따르면 공격은 목요일 오후 8시 4분(UTC, 한국시간 30일 오전 5시 4분)에 시작됐다. 이 매체는 공격자들이 지난달 발생한 비트겟 해킹과 같은 북한 해커들과 연결돼 있다고 전했다. 해커들의 계획은 테더(USDT)·USDC처럼 동결할 수 있는 자산을 비트코인·이더리움처럼 동결할 수 없는 자산으로 바꾸는 것이었다.

보안업체 서티크(CertiK)의 딕슨 우(Dickson Wu) 엔지니어는 USDT 5억 달러가 한 주소로 옮겨진 것을 추적했다. 이 가운데 3억 2,500만 달러는 오후 8시 59분(UTC)까지 마켓메이커에게 팔려 이더리움으로 바뀌었다. 해킹 시작 후 한 시간도 지나지 않은 시점이다.

발행사들도 곧바로 움직였다. 테더는 총 약 15억 6,700만 달러 상당의 USDT를 동결했다. 첫 대규모 동결은 도난 자금이 공격자의 주 이더리움 지갑에 도착하고 37분 뒤에 이뤄졌다. 서클은 그로부터 3분 뒤 약 8억 2,300만 달러 상당의 USDC를 동결했고, 리플과 월드 리버티 파이낸셜도 뒤따랐다. 탈중앙 프로토콜인 아비트럼의 보안위원회는 약 3,050만 달러 상당의 ARB와 ETH를 중간 동결 지갑으로 옮겼다.

동결 규모는 집계에 따라 다르다. 바이낸스는 약 30억 달러가 동결됐다고 밝혔다. 엘립틱(Elliptic)은 금요일 오전 7시(UTC, 한국시간 오후 4시)까지 28억 4,000만 달러가 동결됐고, 공격자가 발행사가 막을 수 없는 자산 약 33억 3,000만 달러를 여전히 쥐고 있다고 추산했다. 다만 동결이 곧 회수는 아니다. 공격자의 사용을 막을 뿐 바이낸스나 이용자에게 자동으로 돌아가지는 않는다.

에이브 담보 포지션과 EIP-7702…드러난 공격 수법

탈중앙 대출 프로토콜 에이브(Aave)는 또 다른 변수였다. 공격자와 연관된 지갑은 오후 8시 58분부터 9시 1분(UTC, 한국시간 오전 5시 58분~6시 1분) 사이 에이브 V3(이더리움)에 USDT 6,000만 달러를 예치하고 래핑 이더 4,460만 달러를 빌렸다. 첫 동결보다 약 40분 앞선 시점이다.

에이브 리스크 서비스 제공업체 라마리스크는 이 포지션이 USDT 담보 약 5,990만 달러에 부채 4,380만 달러를 안고 있다고 밝혔다. 에이브는 포지션이 초과 담보 상태여서 프로토콜 공급자에게 위험이 없다고 했다. 에이브 체인 이니셔티브 창립자 마크 첼러는 “프로토콜 입장에서 이 포지션은 범죄적이지만 초과 담보”라는 취지로 설명했다. 에이브는 V3와 V4 시장을 일시 동결했다가 이후 해제했다.

디크립트에 따르면 공격자는 이더리움 기능인 EIP-7702를 썼다. 일반 지갑이 스마트 계약 코드를 실행하게 하는 기능이다. 공격자는 사전 서명된 승인 50건으로 바이낸스 핫월렛을 ‘스위퍼’(자산을 쓸어가는 도구)로 바꿔 자산을 빼냈다. TRM랩스는 특정 블록체인의 약점이 아니라 바이낸스 서명 인프라의 침해로 보인다고 밝혔다.

배후를 두고는 TRM랩스와 체이널리시스가 북한의 트레이더트레이터 그룹을 지목했다. 크립토뉴스는 바이낸스가 이를 확인하지 않았다고 전했다. 리처드 텅 바이낸스 최고경영자는 이번 공격이 “한 엔지니어의 권한만 쓴 것이 아닌 더 복잡한 공격 과정”이라고 말했다. 또 거래소가 이용자를 위해 도난 자산을 되찾는 중이라고 밝혔다.

대선 앞둔 미국 정치권 공방…상품선물거래위원장 “규제 필요성 입증”

도널드 트럼프 대통령은 금요일 기자회견에서 해킹 질문을 받고 “우리는 모른다. 살펴보고 있다”고 답했다. 이어 “바이낸스가 되찾겠다고, 보장한다고 말하고 있다”고 덧붙였다. 공화당과 민주당은 거의 즉시 입장을 내놓기 시작했다.

공화당 신시아 러미스 상원의원은 X에서 해커들이 4시간도 안 돼 60억 달러 넘게 훔쳤다며 클래러티법을 거론했다. 이 법이 통과됐다면 법 집행기관의 요청 즉시 의심 거래를 동결할 법적 근거가 생겼을 것이라는 주장이다. 상원은 9월 15일(현지시각) 이 법안의 토론종결 표결을 통과시키지 못했다. 공직자와 가족의 디지털 자산 발행·수익 제한 등 윤리 조항이 걸림돌이었다.

상품선물거래위원회의 마이클 셀릭 위원장은 CNBC에서 사건이 규제안의 취지를 “정확히 입증한다”고 말했다. 그는 “규제받지 않는 해외 거래소는 미국 금융시장 수준의 안전장치가 없다”며 CFTC 등록을 통한 ‘연방 선택지’를 제시했다. 블록체인 자체가 뚫린 것이 아니라 누군가의 노트북에서 비롯된 취약점이라고도 했다. 디크립트는 바이낸스가 이후 추가 침해 지점을 찾았다며 셀릭의 설명이 불완전할 수 있다고 지적했다.

민주당 맥신 워터스 의원은 보도자료에서 이번 사건이 책임 없는 가상자산 산업에 대한 경고라며 트럼프 행정부와 공화당의 규제 완화 기조를 비판했다. 워터스 의원은 자오창펑이 트럼프 일가의 월드 리버티 파이낸셜에 20억 달러 넘게 줬고, 이후 폴 앳킨스 SEC 위원장이 바이낸스 사기 사건을 취하했으며 트럼프 대통령이 CZ를 사면했다고 주장했다. CFTC의 자발적 거래소 등록 구상은 의견 수렴 단계로, 의견 제출 기한은 12월 14일이다. 크립토뉴스에 따르면 등록 체계가 확정된 것은 아니다.