바이낸스 63억 달러 털린 입구는 가짜 채용 면접…해커, 컴퓨터 한 대로 지갑 장악

바이낸스에서 빠져나간 약 63억 달러(약 8조 4,700억 원, 1달러 1,344원 기준)는 인터넷에 연결된 핫월렛(온라인 보관 지갑)에서 나왔다. 블록체인 분석업체 TRM랩스(TRM Labs)에 따르면 공격자들은 이 자금의 대부분을 약 20분 만에 옮겼다. 바이낸스는 11월 3일(현지시각, 이하 날짜는 현지시각 기준) 가짜 채용 면접으로 컴퓨터가 뚫렸다고 밝혔다. 내 자산이 어디에 보관돼 있고, 이용자가 무엇을 확인해야 하는지가 사건의 핵심이다.

핫월렛에서 20분…내 자산은 어디에 있었나

TRM랩스는 공격자들이 지난주 바이낸스의 핫월렛에서 약 63억 달러를 훔쳤다고 밝혔다. 핫월렛은 입출금 처리를 위해 인터넷에 연결해 두는 지갑이다. 반대로 콜드월렛(오프라인 보관 지갑)은 인터넷과 분리돼 있어 외부 접속으로 자금을 빼가기 어렵다. 바이낸스는 이용자 자산 대부분이 콜드 스토리지(오프라인 보관)에 있다고 설명했다.

공격은 10월 29일에 일어났다. 크립토슬레이트에 따르면 테더(Tether)는 이날 해킹 직후 30분 안에 도난 USDT 15억 달러 넘게를 동결했다. 바이낸스는 일요일부터 출금을 재개했고, 디크립트는 바이낸스 대변인이 BBC에 순출금액이 47억 2,000만 달러라고 밝혔다고 전했다. 대변인은 이 금액이 전체 자산 약 1,570억 달러의 “상대적으로 제한적인 부분”이라고 말했다.

월요일 오후 10시(미 동부시간)에는 시간당 입금액이 출금액을 넘어서기 시작했다. 바이낸스는 이를 두고 “이용자 활동이 개선되고 자금 흐름이 안정되고 있음을 반영한다”고 밝혔다. 이후 이더리움과 솔라나 기반 토큰 수십 종의 출금도 추가로 열었다.

가짜 채용 면접이 입구였다…이용자가 조심할 것

로이터에 따르면 바이낸스는 해커들이 가짜 채용 면접으로 컴퓨터 한 대를 감염시켰다고 밝혔다. 이어 내부 인공지능(AI) 도구를 이용해 회사 지갑의 통제권을 얻었다는 설명이다. 로이터는 이번 사건이 역대 최대 규모의 금융 탈취일 수 있다고 전했다. 바이낸스는 이번 해킹을 계기로 AI 기반 탐지에 대한 투자를 늘리고, 보안 연구 기금과 주요 AI 기업과의 맞춤형 사업을 추진한다고 밝혔다.

공격 주체로는 북한 연계 조직이 지목됐다. FBI는 북한 해커 조직 트레이더트레이터(TraderTraitor)의 소행이라고 밝혔고, TRM랩스는 높은 확신 수준으로 같은 결론을 냈다. TRM랩스는 사전 준비, 토네이도캐시(Tornado Cash)를 통한 공격자 지갑 자금 조달, 미리 확보한 거래 서명의 일제 실행을 과거 북한 공격과의 유사점으로 꼽았다. 북한 김여정은 이를 부인했고 미국을 겨냥한 주장을 내놨지만 증거는 제시하지 않았다.

이용자 입장에서 눈여겨볼 대목은 침투 경로다. 거래소 보안 시스템이 아니라 채용 면접이라는 사람 사이의 접점이 출발점이 됐다. 일반적인 보안 수칙으로, 이직·구직 과정에서 면접을 제안받으면 상대의 신원을 공식 채널로 먼저 확인하는 편이 안전하다. 면접 중 낯선 프로그램을 설치하라는 요구는 거절해야 한다.

국내 거래소 콜드월렛 비율, 직접 확인해야 할 숫자

한국 금융위원회는 11월 2일 성명을 내고 국내 거래소에 콜드월렛 보관 비중을 늘리라고 촉구했다. 금융위는 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 주요 가상자산 사업자와 긴급 회의를 열어 바이낸스 해킹이 국내 시장에 미치는 영향을 점검했다. 점검 대상은 거래소의 IT 접근 통제, 지갑 출금 승인·서명 절차, 관리자 권한이었다.

한국은 법으로 이용자 가상자산의 80% 이상을 콜드월렛에 보관하도록 하고 있다. 다만 거래소별 편차는 크다. 금감원 자료를 인용한 현지 보도에 따르면 9월 말 기준 업비트의 콜드월렛 비율은 99.17%, 빗썸은 94.76%, 코인원은 85%였다. 코빗에서 이름을 바꾼 디지털엑스는 82.79%, 고팍스는 80.54%로 법정 기준선에 가까웠다.

내가 쓰는 거래소의 비율이 어느 수준인지는 이용자가 직접 확인할 수 있는 정보다. 금융위는 사업자에 입출금 상시 모니터링, 사고 대응 인력 추가 확보, 비정상 접근 시도의 신속한 보고·공유도 요구했다. 추가 준비금 적립과 즉시 적용 가능한 보안 조치도 주문했다. 한국은행은 이와 별도로 은행 18곳과 증권사 13곳의 가상자산 관련 위험 노출을 조사하고 있다. 이 조사는 바이낸스 사건 이전에 시작됐다.

동결 이후 확인할 것…되찾은 돈은 누구에게 가나

바이낸스는 월요일 BTC·ETH·USDT·USDC 등 10대 토큰 보유자가 영지식증명(정보 자체를 드러내지 않고 사실임을 증명하는 암호 기술)으로 잔고가 전액 보증되는지 확인할 수 있게 했다고 밝혔다. 기준은 10월 31일 준비금 스냅숏이다. 바이낸스는 도난 자산의 약 95%를 보전했다고 했다. 나머지는 매입에 시간이 더 걸리는 유동성 낮은 토큰이며, 수요일에 더 넓은 범위의 스냅숏을 찍을 계획이다.

도난 자금이 모두 묶인 것은 아니다. 비트쿼리는 약 7억 2,900만 달러 상당의 도난 USDT가 동결을 피해 빠져나갔다고 밝혔다. 공격자 지갑 하나는 동결 직전 대출 프로토콜 에이브에 USDT 6,000만 달러를 예치하고 약 4,500만 달러어치 ETH를 빌렸다. 비트쿼리는 USDT 약 17억 6,000만 달러가 최종 동결돼 도난액의 약 71%에 해당한다고 추정했다. 스테이블코인 발행사와 기타 긴급 조치로 묶이거나 확보된 자산은 약 27억 달러였다.

비트쿼리는 11월 2일 기준 공격자들이 비트코인과 이더리움을 중심으로 약 30억 달러를 여전히 쥐고 있다고 추정했다. 미국 당국은 거래소와 블록체인 운영자 등에 확인된 북한 지갑과 연관된 거래를 차단하라고 촉구했다. 동결된 바이낸스 관련 USDT를 누가 받을지, 법적 근거와 회수 시점이 어떻게 되는지는 테더의 발표에 담기지 않았다. 이용자가 출금 재개 이후에도 거래소 공지와 준비금 증명 결과를 직접 확인해야 하는 이유다.