바이낸스, 3억 3,590만 줄 유출 주장에 “사기 가능성 높다”…조사는 계속된다

바이낸스가 지하 포럼과 X에서 퍼진 3억 3,590만 줄(335,900,000 lines) 규모 사용자 정보 유출 주장에 “사기일 가능성이 높다”고 선을 그었다. 판매자는 해킹 조직 ShinyHunters(섀이니헌터스)의 이름을 내걸고 90만 달러를 요구했다. 바이낸스는 초기 검토에서 자사 시스템이 뚫렸다는 증거를 찾지 못했다고 밝혔지만 조사는 계속 진행 중이라고 덧붙였다.

이 판단은 어디까지나 잠정적이다. 샘플을 독립적으로 검증한 결과는 아직 공개되지 않았다.

바이낸스 “사기 가능성 높다”…조사는 계속

데이터코노미(Dataconomy)에 따르면 바이낸스 고객지원 계정은 11월 8일(현지시각) 게시물과 관련해 자사 시스템, 고객 신원 인증 데이터, 계정 자격 증명, 지갑 개인키, 내부 인프라 정보가 침해됐다는 증거를 찾지 못했다고 밝혔다. 바이낸스 대변인은 판단의 근거를 “게시물의 설명과 지금까지 검토한 샘플 정보”라고 설명했다.

대변인은 크립토뉴스에 “해킹 포럼과 X에서 제기된 바이낸스 사용자 데이터 주장을 인지하고 있으며 적극 조사 중”이라고 말했다. 이어 “제공된 설명과 지금까지 검토한 샘플 정보로 볼 때 바이낸스 시스템 침해의 증거라기보다 사기일 가능성이 높아 보인다”고 했다.

발언에는 ‘가능성’과 ‘보인다’는 표현이 반복된다. 게시물이 가짜로 확정됐다는 뜻은 아니다. 조사 종료를 선언한 것도 아니다. 블록체인 보안 소식을 다루는 매체 섀터드(Shattered)도 이 점을 짚으며, 독자가 ‘진짜냐 가짜냐’의 이분법으로 읽어서는 안 된다고 분석했다.

90만 달러에 ‘돈 내거나 유출하거나’…게시물의 주장

사이버보안 모니터링 업체 ThreatMon이 X에 공유한 내용이 논란의 출발점이다. ThreatMon에 따르면 ShinyHunters 명의의 포럼 게시물은 약 170개국 바이낸스 사용자와 관련된 정보 3억 3,590만 줄을 팔겠다고 내걸었다. 판매자는 비트코인이나 모네로로 90만 달러를 요구하며 바이낸스가 응하지 않으면 데이터를 공개하겠다고 위협했다.

크립토뉴스는 게시물에 “선택지는 둘뿐이다. 돈을 내거나 유출되거나”라는 취지의 경고(“two options left: pay or leak”)가 담겼다고 전했다. 목록에 오른 정보는 이메일 주소, 전화번호, 비밀번호, 신분증 또는 여권, 거래 내역 등 개인정보다. 여기에 내부 인프라 정보, 지갑 개인키, 바이낸스 핫월렛(인터넷에 연결된 지갑) 보유 자산 내역까지 포함했다고 주장했다.

ThreatMon은 판매자가 샘플을 포럼 유료 구역 뒤에 두었다고 설명했다. 이 침해 주장 자체를 ‘미검증’으로 규정하기도 했다. 특히 핫월렛과 개인키 관련 주장은 독립적으로 확인되지 않았다고 선을 그었다. ThreatMon은 ShinyHunters가 세일즈포스 Data.com, 인도 전자제품 유통업체 비자이 세일즈(Vijay Sales), 쿠웨이트 정부 기관 관련 침해를 앞서 광고한 그룹이라고도 소개했다.

바이낸스가 짚은 모순…인포스틸러 데이터 가능성

바이낸스는 게시물에서 앞뒤가 맞지 않는 대목을 구체적으로 짚었다. 첫째는 비밀번호다. 바이낸스는 사용자 비밀번호를 평문으로 저장하지 않는다고 밝혔다. 둘째는 개인키다. 이용자의 외부 지갑 개인키를 보관하지 않는다는 설명이다. 셋째는 지역이다. 게시물이 바이낸스가 더는 영업하지 않는 관할권까지 언급했다는 것이다.

바이낸스는 과거에도 비슷한 게시물이 있었다고 말했다. 대변인은 “과거 유사한 게시물은 바이낸스 시스템 침해가 아니라 사용자 기기에서 인포스틸러(정보 탈취 악성코드) 악성코드로 수집된 데이터인 경우가 많았다”고 했다. 인포스틸러는 개인 기기에 침투해 로그인 정보 등을 빼가는 악성코드다. 이번 판매 목록이 그런 데이터를 모은 것일 수 있다는 암시다.

외부 연구팀의 평가도 비슷한 방향이다. 데이터코노미에 따르면 브랜드디펜스(Brandefense) 연구팀은 11월 3일 텔레그램에서 관련 광고 4가지 버전을 검토했다고 밝혔다. 다만 샘플을 열거나 테스트하지는 않았다. 팀은 신분증, 지갑 키, 인프라 정보가 한꺼번에 나열된 구성이 단일 추출보다 재활용 데이터나 사기에 가깝다고 봤다. 진짜 바이낸스 데이터인지는 판단할 수 없다고 했다.

3억 줄은 3억 명이 아니다…10월 해킹과도 별개

섀터드는 ‘줄(line)’과 ‘사용자’를 혼동하지 말라고 강조했다. 데이터 덤프의 한 줄은 텍스트 한 행에 불과하다. 한 명의 고객이 이메일 기록, 로그인 이력, 기기 정보, 입출금, 거래 등으로 수십 행을 만들 수 있다. 중복이나 조작된 행으로 부풀렸다면 실제 피해자는 극소수일 수도 있다.

ThreatMon도 광고된 줄 수가 영향받은 사람 수를 확인해 주지 않는다고 지적했다. 섀터드는 판매자가 적지 않은 가격을 부르고 기사화를 노린 만큼 3억이 넘는 숫자가 퍼지는 것 자체가 목적일 수 있다고 봤다. 이는 섀터드의 분석이며 판매자의 실제 의도가 확인된 것은 아니다.

이 유출 주장은 10월 29일 발생한 지갑 공격과는 별개 사안이다. 바이낸스는 11월 3일 사고 보고서에서 공격자가 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차를 벗어난 이체를 시도했고 피해 규모가 약 63억 4,000만 달러(약 8조 6,000억 원, 1달러 1,361원 기준)에 이른다고 밝혔다. 원인은 직원 컴퓨터 감염과 탈취된 자격 증명이었다. 크립토뉴스에 따르면 바이낸스는 11월 5일 동결된 이더리움 8,425.997개와 ARB 약 7,456만 개의 반환도 요청했다.

바이낸스는 이용자에게 보안 수칙을 당부했다. 보안 경고를 사칭해 가짜 사이트로 유도하는 피싱 메시지를 조심하라는 것이다. 비밀번호, 2단계 인증 코드, 시드 문구, 개인키는 누구에게도 알려주지 말라고 안내했다. 크립토뉴스는 바이낸스가 앞서 이런 사칭 피싱 문자를 별도로 경고한 바 있다고 전했다.