바이낸스가 목요일 사상 최대 규모의 암호화폐 도난 사건을 겪었다. 블록체인 조사기관들은 피해액을 60억달러 이상으로 추산했으며, 바이낸스는 영향을 받은 자산이 약 50억달러라고 밝혔다. 거래소는 손실 보전 약속을 이행하기 위해 시장과 장외 거래를 통해 13억달러를 추가로 마련하고 있다. 이번 사건은 자산 보전과 출금 재개 능력뿐 아니라, 고객 자산을 대규모로 보관하는 중앙화 거래소의 핫월렛 및 거래 승인 시스템 보안에도 의문을 제기했다.
공격자는 최소 36시간 전부터 준비했을 가능성
바이낸스의 초기 조사에 따르면 공격에는 데브옵스 엔지니어의 노트북 침해와 서비스 컨테이너에 대한 무단 접근이 관련됐을 수 있다. 거래소는 개인키가 유출됐다는 증거는 아직 확인하지 못했다. 리처드 텅 바이낸스 공동 최고경영자(CEO)는 이번 공격이 직원 한 명의 권한을 탈취하는 수준보다 복잡했다고 말했다.
TRM Labs는 공격자가 최소 36시간 전부터 준비에 들어간 것으로 분석했다. 먼저 토네이도 캐시에서 소액을 인출해 공격용 지갑에 자금을 넣고, 세 개의 지갑과 관련된 악성 코드를 배포해 시험했다. 공격이 실행될 때는 이더리움의 EIP-7702를 이용해 바이낸스 핫월렛을 공격자 통제하의 자금 집결 수단으로 바꿨다. 실행 시점에도 유효한 서명이 최소 한 건 남도록 서명 권한을 50건 미리 준비한 것으로 나타났다.
공격자는 다른 9개 블록체인에서도 자산 이동을 동시에 진행했다. TRM은 이런 크로스체인 움직임을 근거로 피해 범위가 단일 지갑을 넘어 바이낸스의 더 넓은 핫월렛 서명 인프라에 걸쳐 있을 가능성을 제기했다. 엘립틱은 공격자가 최초 침투 이후에도 접근 권한을 유지했을 수 있다고 분석했다. 통제한 지갑의 소유자 권한을 이용해 다른 바이낸스 지갑에서 자금을 인출하고, 새로 입금되는 자산도 계속 옮겼다는 것이다. 또 다른 이더리움 핫월렛에서도 1억7,400만달러 상당의 자산이 공격자에게 직접 전송돼 거래 서명 시스템의 접근 범위에 대한 우려가 커졌다.
핵심은 코드보다 거래 승인 권한 확보
이뮤네파이의 시모네 임브레시아 부사장은 공격의 복잡성이 온체인 코드 자체보다 거래를 승인하는 인프라에 어떻게 접근했는지에 있을 수 있다고 말했다. 관련 자금 집결 컨트랙트는 약 130줄에 불과했다. 간단한 코드가 큰 손실로 이어지도록 공격자가 어떤 시스템 권한을 확보했는지가 관건이라는 설명이다.
체이널리시스, 엘립틱, TRM은 이번 공격의 배후로 북한 해커 조직을 지목했다. TRM은 관련 활동이 2025년 바이비트에서 약 15억달러 규모의 공격을 벌인 조직과 연관돼 있다고 봤다. 체이널리시스는 바이낸스 도난 자금과 지난달 비트겟 사건의 자금 사이에서 온체인 연관성을 확인했다. 비트겟 사건 역시 북한 해커의 소행으로 지목됐다. 다만 엘립틱은 두 사건의 온체인 중복이 바이낸스 도난 자금의 일부에 그친다며, 동일한 공격자가 저질렀다고 단정하기에는 증거가 부족하다고 밝혔다.
조사기관들은 공격자가 짧은 시간 동안 수천 건의 거래를 실행해 여러 주소 사이로 자금을 반복 이동시킨 사실도 확인했다. 스테이블코인 발행사가 자산을 동결할 가능성을 낮추기 위해 약 20분 동안 3억2,500만달러 상당의 스테이블코인을 약 2억8,500만달러 상당의 이더리움(ETH)으로 바꿨다.
Aave로 옮긴 자금, 일부 거래는 최대 26% 할인
엘립틱에 따르면 공격자는 도난당한 USDT 5,990만달러어치를 Aave에 담보로 예치하고 ETH 1만9,762개를 빌렸다. 엘립틱의 최근 업데이트 시점까지 대출은 상환되지 않았으며 청산에 가까운 상태였다. 공격자는 탈중앙화 거래소와 마켓메이커를 통해 수억달러 규모의 USDT도 ETH로 교환했다. 발행사가 동결할 수 없는 자산으로 옮기는 과정에서 일부 거래는 시장 가격보다 최대 약 26% 낮은 가격에 체결됐다.
Aave는 금요일 V3와 V4 프로토콜의 모든 시장에서 동결 조치를 해제했다고 밝혔다. 스마트 컨트랙트에는 영향이 없었으며 사용자 포지션도 충분한 담보를 갖추고 있다는 설명이다. 바이낸스 사건의 플랫폼 서명 시스템 문제와 Aave 자체 컨트랙트의 안전성은 별개의 사안이다. Aave의 발표는 자사 프로토콜 상태와 사용자 포지션에 관한 것이다.
바이낸스, 13억달러 확보 추진…준비금 증명 공개 예정
바이낸스는 이번 사건으로 약 50억달러 상당의 자산이 영향을 받았으며, 손실을 보전하기 위해 시장 거래와 장외 거래를 통해 13억달러를 추가로 확보하고 있다고 밝혔다. 텅 CEO는 월요일 예비 준비금 증명 보고서를 공개할 계획이며 출금 재개를 위해 노력 중이라고 말했다. 그는 금요일 공개한 영상에서 사용자가 일요일 마감 시한 전에 출금할 수 있기를 바란다며, 당시 관련 조치의 재개 목표 시점을 약 40시간 안으로 제시했다.
TD코웬 애널리스트들은 현재까지의 증거가 중앙화 중개기관의 인프라 침해를 가리킬 뿐, 비트코인이나 기반 네트워크의 결함을 뜻하지는 않는다고 평가했다. 당장의 쟁점은 바이낸스 자산의 처리와 출금 재개, 준비금 공개다. 공격자가 내부 시스템에 어떻게 접근했는지, 서명 절차가 어느 범위까지 영향을 받았는지, 도난 자금을 회수할 수 있는지는 추가 조사와 공개를 기다려야 한다.
임브레시아 부사장은 암호화폐 보안이 개인키 보관과 스마트 컨트랙트 감사에만 초점을 맞춰서는 안 된다고 말했다. 키를 사용할 수 있는 인력과 인프라, 운영 절차 역시 보안 경계에 포함된다는 설명이다. 공격자가 이 운영 계층을 장악했다면 개인키를 직접 훔치거나 복잡한 컨트랙트 취약점을 이용하지 않고도 피해를 낼 수 있다. 이용자들이 확인할 핵심 사항은 바이낸스의 출금 재개 일정, 준비금 증명 공개, 손실 보전 진행 상황이다.