바이낸스, 시그널플러스 연동 API 키 전부 삭제…자금은 안전하나 자동매매는 멈췄다

바이낸스와 파생상품 거래소 Deribit이 11월 5일(현지시각) 시그널플러스(SignalPlus)와 연결된 API 키를 모두 삭제했다. API 키는 외부 프로그램이 거래소 계정에 접속해 주문을 넣을 수 있게 해 주는 일종의 출입증이다. 옵션·파생상품 거래 인프라 플랫폼인 시그널플러스가 잠재적 보안 문제를 보고한 데 따른 조치다.

바이낸스는 자사 시스템이 영향을 받지 않았고 사용자 자금은 안전하다고 밝혔다. 로이터에 따르면 Deribit도 조사 결과 자사 시스템이나 데이터가 영향을 받았다는 징후를 찾지 못했다. 바이낸스가 대규모 해킹에서 복구 중인 시점에 나온 조치여서 시장의 시선이 쏠렸다.

바이낸스·Deribit, 목요일 같은 조치…“시스템은 영향 없다”

바이낸스는 X(옛 트위터)에서 시그널플러스가 보고한 잠재적 보안 문제를 계기로 연결된 API 키를 선제적으로 모두 지웠다고 알렸다. 바이낸스는 이를 “즉각적인 예방 조치”라고 설명했다. 이어 “바이낸스의 시스템은 영향을 받지 않았다. 사용자 자금은 안전하다”고 강조했다.

바이낸스 창업자 창펑 자오(CZ)는 다른 거래소 이용자에게도 경고를 보냈다. 자오는 X에 “다른 거래소 플랫폼에서 시그널플러스를 쓰고 있다면 지금이 API 키를 모두 폐기할 때”라고 적었다. 그는 이어 어떤 제3자 플랫폼에도 API 키를 저장하지 않는 편이 좋다는 취지의 권고도 남겼다.

바이낸스 공동 창업자 Yi He도 같은 내용의 공지를 거들었다. 바이낸스 시스템이 영향을 받지 않았다는 점을 거듭 밝히고 열린 주문을 점검하라고 당부했다. 다만 비트코인닷컴 뉴스는 취약점의 성격이나 공격자가 고객 인증 정보에 접근했는지가 공개된 발언만으로는 확인되지 않는다고 전했다.

API 키가 끊기면 무슨 일이 생기나

디크립트에 따르면 API 키는 제3자 앱과 거래 도구가 사용자의 거래소 계정에 연결돼 대신 주문을 넣도록 해 준다. 키를 삭제하면 이 연결이 끊긴다. 시그널플러스를 통해 바이낸스에서 돌아가던 자동매매 전략은 사용자가 새 키를 만들 때까지 멈춘다.

크립토브리핑은 이번 조치가 사용자 자금을 직접 겨냥한 것은 아니라고 짚었다. 시그널플러스 이용자는 자산을 거래소에 둔 채 키를 통해 현물·선물·옵션 거래 도구를 쓰기 때문이다. 바이낸스 약관은 보안 우려가 생기면 API 키를 정지할 수 있게 하고 있으며, 이번에는 거래소가 사용자를 대신해 키를 지운 셈이다. 현재까지 이번 키 삭제와 관련된 뚜렷한 시장 교란이나 가격 영향은 없다.

바이낸스는 시그널플러스 이용자에게 계정에 직접 로그인해 포지션과 열린 주문을 확인하라고 안내했다. 시그널플러스가 문제 해결을 완전히 확인할 때까지 재연결을 미루라는 권고도 나왔다. 키를 새로 만들 때는 허용된 인터넷 주소에서 온 요청만 받도록 제한하는 IP 화이트리스트를 항상 켜라고 했다. 바이낸스는 자사와 연동된 모든 제3자 플랫폼에도 보안 통제를 점검하고 이상 징후를 지켜보라고 요청했다. 우려 사항이 보이면 즉시 연락해 달라는 요청도 덧붙였다.

시그널플러스는 어떤 회사인가

크립토브리핑에 따르면 시그널플러스는 홍콩에 본사를 둔 핀테크 기업으로 2021년에 설립됐다. 인공지능(AI) 기반 디지털 자산 거래 도구를 만든다. 제품군에는 옵션 가격 산정, 분석 도구, 자동 시장조성 로봇, 실행 알고리즘이 있다.

시그널플러스는 여러 차례 투자 라운드로 총 7,300만 달러를 조달했다. 가장 최근은 올해 유치한 시리즈B 5,000만 달러다. 시그널플러스는 여러 거래소와 연동하며 바이낸스도 그중 하나다. 시그널플러스 자체 문서에는 바이낸스 API 키를 만드는 방법이 단계별로 안내돼 있고 IP 화이트리스트와 거래 권한 설정을 함께 권장한다.

회사는 보안 인증도 내세워 왔다. 시그널플러스는 ISO/IEC 27001과 SOC 2 인증을 보유하고 있다. 침투 테스트에서는 A+ 등급을 받았다고 한다. 일은 회사가 내세운 보안 인증의 신뢰도를 시험하는 계기가 됐다.

해킹 일주일 뒤 나온 경고…연관성은 확인 안 돼

이번 조치는 바이낸스가 역대 최대 규모 해킹에서 복구하는 중에 나왔다. 디크립트에 따르면 공격자들은 10월 29일 핫월렛(인터넷에 연결된 지갑)에서 약 64억 달러를 빼냈다. 로이터는 도난 자산 규모를 63억 달러(약 8조 5,000억 원, 1달러 1,344원 기준)로 전했다. 미국 연방수사국(FBI)은 이 도난 사건을 북한 해커 집단 트레이더트레이터(TraderTraitor)의 소행으로 지목했으나 북한은 부인했다.

바이낸스는 가짜 채용 담당자가 엔지니어 한 명을 속여 악성코드가 든 코딩 과제를 내려받게 했다고 밝혔다. 공격자가 탈취한 인증 정보로 내부 지갑 서명 서비스에 접근했다는 설명이다. 비트코인닷컴 뉴스는 당시 핫월렛 17개가 여러 블록체인에서 뚫린 것으로 전해졌다고 썼다. 같은 매체는 스테이블코인 발행사와 업계 파트너들이 약 28억 5,000만 달러를 동결하거나 가로챈 것으로 알려졌다고 전했다.

바이낸스는 11월 4일 도난 자산의 약 98%를 자체 자금으로 채웠다고 밝혔다. 나머지는 유동성이 낮은 토큰 위주로 장내외 거래를 통해 사들이고 있다. 준비금 증명 대상도 10개에서 44개 토큰으로 넓힌 새 스냅샷을 만들었다. 영지식 증명이 생성되는 약 50~60시간 뒤부터 이용자가 검증할 수 있다. 5일에는 최근 일주일간 사용자 수요를 기준으로 우선순위를 정해 더 많은 자산의 출금을 단계적으로 재개하기 시작했다. 입금은 계속 열려 있다.

두 사건 사이의 연관성은 드러나지 않았다. 비트코인닷컴 뉴스는 두 사건이 며칠 간격으로 발생했지만 연결을 입증하는 증거는 없다고 전했다. 10월 사건은 바이낸스 내부 지갑 인프라와 관련됐고 이번에는 독립된 거래 플랫폼의 API 인증 정보가 문제가 됐다. 로이터는 지난주 바이낸스에서 사용자들이 36억 4,000만 달러, 운용자산의 2.1%를 인출했다고 전했다. 바이낸스가 일요일인 11월 1일 서비스를 재개한 직후의 일이다.