바이낸스 63억 달러 해킹, 역대 최대인데 비트코인 하락폭은 약 4%에 그쳤다

바이낸스가 해킹으로 탈취된 자산의 90%를 메웠다고 31일(현지시각) 밝혔다. 하루 전 80%에서 10%포인트 올라간 수치다. 출금은 11월 1일 재개할 예정이다. 사건은 역대 최대 규모의 암호화폐 해킹으로 기록됐고, 블록체인 분석업체 TRM 랩스는 북한 연계 해커 조직 ‘트레이더트레이터(TraderTraitor)’를 배후로 지목했다.

회사 자금·SAFU·보험기금으로 메운다

바이낸스 대변인은 코인텔레그래프에 보전 재원이 세 갈래라고 설명했다. 회사 재무 자금(corporate treasury)과 사용자 보호 비상기금 SAFU(Secure Asset Fund for Users)의 일부, 선물 보험기금의 일부다. 대변인은 “바이낸스가 탈취 자금의 재무적 충격을 흡수할 것이며 사용자가 부담하지 않는다”고 밝혔다. 보험기금은 필요한 위험관리 수준 위를 유지한다고 덧붙였다.

다만 재원별 투입 규모는 공개되지 않았다. 보험기금의 최소 요구 잔액도 밝히지 않았고, 탈취된 암호화폐 가운데 얼마를 되찾았는지도 수치로 제시하지 않았다. 크립토브리핑에 따르면 바이낸스는 24시간 안에 SAFU 일부를 투입할 계획이며 이후 기금을 약 10억 달러 수준으로 되돌리겠다고 약속했다. SAFU는 2018년 보안 사고 같은 상황에 대비해 만든 비상 준비금이다.

선물 보험기금은 파산한 선물 포지션의 손실을 메우고 자동 청산(ADL·강제 감축) 발생을 줄이는 역할을 한다. 바이낸스는 이 기금의 남은 잔액이 위험관리 규정상 최소치를 웃돈다고 설명했다. 잔액이 기준 아래로 내려가면 회사 자금으로 채우겠다는 입장이다.

앞서 바이낸스는 30일 손실을 덮기 위해 63억 4,000만 달러(약 8조 5,000억 원, 1달러 1,334원 기준)를 따로 확보했다고 밝혔다. 이 가운데 50억 달러는 피해를 본 암호화폐 현물로 채운다는 계획이다. 테더와 서클 등 업계 파트너가 약 30억 달러 상당 자산을 동결했지만, 이 자금은 바이낸스의 대체 물량과는 별개다.

10개 자산은 100% 확보…증명은 아직 검증 대기

바이낸스는 31일 비트코인(BTC)·이더(ETH)·USDT·BNB·SOL·USDC·XRP·USD1·RLUSD·ZEC 등 10개 주요 자산과 스테이블코인이 100% 뒷받침된다고 확인했다. 나머지 부족분은 유동성이 낮은 토큰이다. 바이낸스는 이를 시장과 장외거래(OTC)로 계속 사들이고 있다고 밝혔다.

외부 검증은 아직 끝나지 않았다. 보안업체 서틱은 30일 코인텔레그래프에 바이낸스가 말한 50억 달러 규모 대체 물량을 확인하려면 더 많은 정보가 필요하다고 말했다. 바이낸스는 이후 새 지급준비금 증명 스냅숏을 공개했다. 기준은 10월 31일 협정세계시 0시, 한국시간 같은 날 오전 9시에 기록된 자산 잔액이다.

완전한 영지식 증명(zero-knowledge proof·정보를 드러내지 않고 사실만 입증하는 암호 기법)은 아직 생성 중이다. 바이낸스는 연산량이 커서 약 40~50시간이 걸린다고 밝혔고, 결과는 11월 3일까지 나올 예정이다. 10개 자산을 보유한 사용자는 그때 자신의 잔액이 최소 1대 1로 뒷받침되는지 직접 확인할 수 있다.

서명 과정이 뚫렸다…블록에이드의 분석

공격 경로를 두고 블록에이드의 이도 벤나탄 최고경영자는 공격자가 바이낸스의 거래 서명 절차를 장악한 것으로 보인다고 말했다. 블록에이드는 이더리움 거래 한 건에서 서명된 위임 승인 50개가 담긴 것을 확인했다. 각 승인은 서로 다른 거래 횟수를 대상으로 했고, 이 중 맞아떨어지는 승인 하나가 공격자 통제 코드를 지갑에서 작동하게 했다.

벤나탄은 서명 전 검증 절차가 있었다면 악성 승인을 막을 수 있었다고 주장했다. 바이낸스는 30일 지갑 개인키가 유출됐다는 증거를 찾지 못했다고 밝혔지만 조사는 계속 진행 중이다. 와이렉스의 폴 채프먼 금융범죄 담당 이사는 “비트코인 자체가 해킹된 것이 아니다”라며 “한 회사의 시스템이 공격받은 것이지 네트워크가 뚫린 게 아니다”라고 말했다.

온체인 분석업체 글래스노드는 이번 피해 규모가 약 63억 달러로 역대 최대라고 집계했다. 이는 그다음 큰 해킹 9건의 손실을 합친 것보다 크다. 종전 최대 기록은 2025년 2월 바이비트에서 발생한 15억 달러 규모 해킹이었다. 글래스노드는 역대 상위 10건 중 3건이 2025년 초 이후 발생했고 모두 거래소를 겨냥했다고 밝혔다.

비트코인 하락폭은 제한적…전문가들 시각은 엇갈려

코인게코 자료에 따르면 비트코인은 31일 오후 4시 약 7만 7,400달러에 거래됐다. 공격이 시작되기 직전 가격보다 약 4% 낮은 수준이다. 비트코인 보유 상장사 스트라이브의 맷 콜 최고경영자는 방송 ‘체인 리액션’에서 하락폭이 예상보다 작았다고 말했다. 스트라이브는 10월 23일 기준 비트코인 4만 3,000개를 보유한 것으로 보고했다.

콜은 이번 사건을 네트워크 실패가 아닌 은행 강도에 비유했다. 그는 “합리적인 기간을 놓고 보면 비트코인의 투자 논리는 달라지지 않는다”고 말했다. 다만 가격 바닥에 도달했는지는 판단하기 이르다고 했고, 시장이 앞으로 6~9개월 이어질 수 있는 ‘이른 봄’ 회복 국면에 있다고 설명했다. 신고가를 향한 급등보다 점진적 상승을 예상한다는 취지다.

과거 사례와 비교하면 반응은 달랐다. 비트파이넥스 시장 보고서에 따르면 2025년 바이비트 해킹 때 비트코인은 10만 달러 가까이에서 9만 5,000달러 안팎으로 약 5% 빠졌다. 앵커리지 디지털 자료는 과거 거래소 공격 후 24시간 동안 비트코인 평균 하락률을 8.3%로 집계했다.

거래소에 돈을 맡겨도 되나

CNBC는 같은 주 발생한 두 건의 보안 사고가 거래소 지갑의 안전성 논란을 키우고 있다고 전했다. 폴리마켓은 제3자 데이터 제공업체가 해킹당하자 국제 거래소 거래를 일시 중단했다. 이 사고로 이용자 지갑에서 최소 270만 달러가 빠져나갔고, 폴리마켓 국제 플랫폼은 폴리곤 블록체인에서 운영된다. CNBC가 인터뷰한 전문가들은 최근 인공지능 해킹 사례를 고려하면 놀랍지 않다고 했고, 대부분이 적어도 단기적으로는 추가 사고를 예상해야 한다고 말했다.

털사대학교의 타일러 무어 사이버보안 교수는 “매우 위험하다고 생각한다”며 “상당한 자금을 거래소에 두는 것을 매우 경계해야 한다”고 말했다. 그는 해킹이 불가피하게 일어날 때 작동하는 내장 보호 장치가 없다고 지적했다. 은행 예금은 연방예금보험공사가 예금자당·은행당 25만 달러까지 보장하지만, 거래소에서 잃은 자금에는 이런 보장이 없다는 것이다.

반대 시각도 있다. 벤나탄은 “실제로 어떤 사용자도 돈을 잃지 않을 것”이라며 바이낸스가 모든 손실을 부담하겠다고 한 점을 근거로 들었다. AI로 보안 환경이 바뀌며 해킹이 더 늘 수 있지만 업계는 오히려 단단해질 것이라고 봤다. 거래소들이 이런 타격을 다시 입지 않도록 열심히 노력해야 한다고도 덧붙였다.

보안 사고는 바이낸스의 해외 플랫폼에서 발생했고 규제를 받는 미국 중앙화 거래소는 같은 문제를 겪지 않았다. 폴리마켓의 미국 거래소도 마찬가지였다. 미국 규제 플랫폼인 코인베이스와 로빈후드도 침해의 직접 피해를 입지 않았다. 그럼에도 두 회사 주가는 30일 하락했다.