바이낸스, 영지식 준비금 증명 범위 넓힌다…지금 이용자가 대조 가능한 토큰은 10개가 전부

바이낸스가 63억 달러(약 8조 5,000억 원, 1달러 1,344원 기준) 이상이 빠져나간 해킹 이후 내놓은 준비금 증명의 범위를 넓힌다. 거래소는 11월 4일(현지시각) 더 많은 토큰을 담은 새 스냅샷(특정 시점의 자산·부채 기록)을 찍을 계획이라고 밝혔다. 앞서 완료된 첫 증명은 BNB·BTC·ETH 등 10개 토큰만 다뤘다.

공동 최고경영자인 Yi He는 X(옛 트위터) 게시글에서 증명 생성에 스냅샷 완료 후 약 40~50시간이 걸릴 것이라고 적었다. 포함하는 토큰이 많을수록 시간이 늘어난다는 설명이다.

11월 4일 새 스냅샷, 현재는 10개 토큰만 검증 가능

바이낸스는 11월 2일 10월 31일 00:00 UTC(한국시간 오전 9시) 스냅샷에 대한 영지식 증명을 마쳤다. 영지식 증명은 개별 정보를 드러내지 않고 사실 여부만 암호학적으로 입증하는 기법이다. 대상은 BNB·BTC·ETH·RLUSD·SOL·USD1·USDC·USDT·XRP·ZEC 등 10개다. 이 스냅샷은 10월 29일 핫월렛(인터넷에 연결된 거래소 지갑)에서 자금이 빠져나간 지 이틀 뒤에 찍혔다.

현재 이용자가 잔고를 직접 대조할 수 있는 토큰은 이 10개가 전부다. 거래소는 11월 4일에 새 스냅샷을 찍어 대상을 늘리겠다는 입장이다. 코인텔레그래프(Cointelegraph)도 새 스냅샷이 수요일에 진행되며 증명 생성에 다시 40~50시간이 걸릴 것으로 예상된다고 전했다.

크립토닷뉴스는 11월 4일 스냅샷이 10월 31일 검증보다 더 많은 암호화폐를 포함할 것이라고 보도했다. 이 매체는 증명 생성에 약 40~50시간이 걸린다는 내용이 바이낸스의 11월 2일 복구 업데이트에 담겼다고 설명했다.

이용자는 어떻게 확인하나: 머클 트리와 zk-SNARK

바이낸스의 방식은 두 가지 장치를 묶은 구조다. 머클 트리(데이터를 해시로 묶어 특정 항목의 포함 여부를 확인하는 구조)는 이용자 본인의 계정이 스냅샷에 반영됐는지를 보여준다. zk-SNARK(내용을 공개하지 않고 계산의 정당성만 증명하는 영지식 기술)는 총준비금이 이용자에게 돌려줘야 할 금액을 덮는지를 개별 잔고 노출 없이 입증한다.

확인 절차는 로그인 후 바이낸스의 오픈소스 검증 프로그램을 내려받아 자기 기기에서 직접 실행하는 방식이다. 거래소는 검증 프로그램의 코드가 공개 깃허브 저장소에 올라 있고 독립적인 감사를 거쳤다고 밝혔다. 이렇게 하면 이용자가 거래소 서버의 응답에만 의존하지 않고 계산을 로컬에서 돌려볼 수 있다.

바이낸스는 11월 2일 입장문에서 “우리의 약속은 변함없다. 도난 자금의 재무적 충격은 이용자가 아니라 바이낸스가 흡수한다”고 밝혔다. 이어 “생성된 증명으로 그 약속 중 보전된 부분은 이제 공개적으로 검증 가능하다”고 덧붙였다. 거래소가 스스로 ‘보전된 부분’이라고 표현했다는 점에서, 검증 범위 밖의 영역이 남아 있음을 인정한 셈이다.

남은 5%는 증명 밖 토큰…SAFU 잔고는 절반으로

바이낸스는 피해 자산의 보충률이 10월 30일 80%, 31일 90%, 11월 1일 약 95%로 올랐다고 밝혔다. 남은 5%는 증명에 포함된 10개 밖의 토큰이다. 유동성이 낮아 필요한 물량을 사들이는 데 시간이 더 걸린다. 코인텔레그래프에 따르면 거래소는 시장 매수와 장외거래(OTC)를 병행하고 있다.

재원은 기업 재무와 이용자 보호기금 SAFU(Secure Asset Fund for Users), 선물 보험기금 일부다. 거래소는 63억 4,000만 달러 넘는 금액을 따로 확보했다고 밝혔다. 바이낸스는 토요일에 비트코인 7,499개를 옮겨 SAFU 일부 투입과 연결했다. 월요일 기준 공개 비상 지갑 잔고는 약 7,500BTC(약 5억 8,300만 달러)로, 이전 약 1만 5,000BTC의 절반 수준이다.

SAFU 정책은 BTC 가격 변동으로 기금 시장가치가 8억 달러 밑으로 떨어지면 10억 달러로 되돌린다고 규정한다. 다만 보안 사고로 인출한 자금을 언제까지 채워야 하는지 기한은 정해두지 않았다. 바이낸스에 남은 준비금과 추가 투입, 보충 계획을 묻는 질의에는 즉각 답이 돌아오지 않았다. 크립토닷뉴스는 바이낸스가 SAFU를 약 10억 달러로 복원하겠다고 별도로 약속했다고 보도했다.

출금 2단계 재개와 해킹 경위, 업계의 시선

출금은 11월 1일 1단계로 재개됐고 2단계는 11월 3일 04:00 UTC(한국시간 오후 1시)부터 순차적으로 열렸다. 바이낸스는 지난 한 주 동안의 이용자 수요를 기준으로 토큰 우선순위를 정했다고 밝혔다. 대상 네트워크는 BNB 스마트체인·이더리움·솔라나·XRP 레저·수이·아비트럼·옵티미즘·트론·베이스다. 입금은 계속 가능하다.

크립토닷뉴스에 따르면 이더리움에서 RLUSD·USD1·TUSD·FDUSD·XUSD 등 스테이블코인 5종이 먼저 열렸고 이어 이더리움 31개, 솔라나 20개 등 51개 자산이 추가됐다. 이날 이더리움에서 복구된 자산은 모두 36개다. 월요일에는 달러·UAE 디르함·베트남 동·필리핀 페소·인도네시아 루피아 등 법정화폐 출금도 열려 기존 23개 통화에 더해졌다. DeFiLlama 자료로는 거래소 순유출이 일요일 61억 달러에서 월요일 25억 7,000만 달러로 줄었다.

해킹 경위는 아직 완전히 공개되지 않았다. TRM Labs에 따르면 공격자는 여러 블록체인의 핫월렛에서 63억 달러 넘게 빼냈고 대부분이 약 20분 안에 이뤄졌다. 미국 연방수사국(FBI)은 이를 북한 연계 조직 트레이더트레이터(TraderTraitor)의 소행으로 지목했다. 바이낸스는 처음에 개발·운영(DevOps) 엔지니어의 노트북 감염 가능성을 언급했고 유출된 지갑 키의 흔적은 찾지 못했다고 했다. 이후 리처드 텡은 공격자가 “엔지니어 한 명의 권한만 쓴 것이 아니다”라고 밝혔고, 거래소는 “추가 침해 지점”이 확인됐다며 “복잡한 공격”이라고 설명했다.

팡골린 인텔리전스 창업자 ‘Jonty’는 언체인드 팟캐스트에서 “바이낸스 내부의 지갑 서명 인프라가 뚫린 것처럼 보인다”고 말했다. 옵섹 창업자 페이블로 사바텔라는 은행의 수표 서명용 펜에 빗대 “수표를 훔친 게 아니라 은행 안에서 펜에 접근해 거래에 서명할 수 있었던 것”이라고 말했다. 룸이다를 운영하는 램 알루왈리아는 “디지털 자산이라는 범주 전체가 고객 예치금을 지키지 못했다”며 “모든 것은 신뢰와 확신의 문제”라고 했다.

텡은 11월 3일 홍콩 핀테크 위크에서 피해 토큰의 95%를 보충했고 시간당 입출금이 “거의 정상화됐다”고 밝혔다. 그는 해킹에 관한 추가 정보를 적절한 시점에 공개하겠다고 덧붙였다. 거래소 측은 고객 자산은 영향받지 않았으며 손실을 흡수하겠다는 입장이다. 또 출금 재개를 노린 사칭 사기를 경고하며 “수수료를 받고 출금을 앞당겨 준다는 사람은 모두 사기”라고 밝혔다.