바이낸스 해킹, 엔지니어 노트북 한 대가 아니었다…텅 CEO “더 복잡한 공격”

바이낸스 해킹의 공격 경로가 초기 발표보다 훨씬 복잡하다는 정황이 드러나고 있다. 바이낸스는 처음에 DevOps(개발·운영) 엔지니어의 노트북이 침해돼 공격자가 서비스 컨테이너에 접근하고 무단 출금 거래를 제출했을 가능성을 제시했다. 하지만 금요일(현지시각) 조사 업데이트에서는 “추가 침해 지점”이 확인됐다고 밝혔다.

공격은 목요일 UTC 기준 오후 8시 4분(한국시간 금요일 오전 5시 4분)에 시작됐다. 북한과 연계된 해커들은 곧바로 동결이 가능한 자산을 동결이 불가능한 자산으로 바꾸기 시작했다. 바이낸스가 추산한 피해액은 약 63억 달러(약 8조 4,000억 원, 1달러 1,338원 기준)로 업계 사상 최대 규모다.

‘노트북 한 대’에서 ‘더 복잡한 공격’으로

바이낸스가 처음 내놓은 설명은 초기 조사 결과 “침해된 DevOps 엔지니어의 노트북이 공격자의 서비스 컨테이너 접근과 무단 출금 거래 제출을 가능하게 했을 수 있다”는 것이었다. 상품선물거래위원회(CFTC)의 마이클 셀릭(Michael Selig) 위원장도 금요일 CNBC 인터뷰에서 비슷한 취지로 말했다. 공격이 이더리움 블록체인이나 스마트 계약을 깬 것이 아니라 “누군가의 노트북에서 유입된” 취약점을 파고들었다는 것이다.

다만 디크립트(Decrypt)는 셀릭의 설명이 불완전할 수 있다고 짚었다. 바이낸스가 금요일 조사 과정에서 “추가 침해 지점”을 확인했기 때문이다. 리처드 텅(Richard Teng) 최고경영자는 이를 “더 복잡한 공격 과정”이라고 부르며 “엔지니어 한 명의 권한만 사용한 것이 아니었다”고 설명했다.

침해된 대상이 어디까지인지는 아직 정리되지 않았다. 디크립트에 따르면 TRM 랩스(TRM Labs)는 사건이 특정 블록체인의 약점이 아니라 바이낸스 서명 인프라(출금 거래에 서명하는 시스템)의 침해를 가리킨다고 밝혔다. TRM 랩스와 체이널리시스(Chainalysis)는 이번 해킹을 북한의 ‘트레이더트레이터’ 그룹과 연결 지었다. 피해액은 매체마다 63억 달러와 64억 달러로 엇갈리며 바이낸스는 손실 보전용으로 63억 4,000만 달러를 따로 떼어 놨다.

EIP-7702로 핫월렛이 ‘쓸어 담는 지갑’이 됐다

공격은 일부가 온체인(블록체인 위)에서 벌어졌다. 공격자는 이더리움 기능인 EIP-7702를 이용했다. 일반 지갑이 스마트 계약 코드를 실행할 수 있게 하는 기능이다. 공격자는 미리 서명된 승인 50건으로 바이낸스 핫월렛(인터넷에 연결된 거래소 지갑)을 ‘스위퍼’로 바꿔 자산을 빼냈다.

셀릭 위원장은 블록체인 자체가 뚫린 것은 아니라고 선을 그었다. 전통 시장에서도 일어나는 유형의 사고라는 취지다. 차이는 속도라고 했다. 자금이 훨씬 빠르게 이동하고 공격자가 토네이도 캐시 같은 도구로 흔적을 흐릴 수 있다는 설명이다.

셀릭은 블록체인의 투명성을 오히려 규제의 장점으로 꼽았다. 그는 “온체인에서 거래를 추적할 수 있다는 점은 규제기관이 ‘현장의 경찰’ 역할을 할 큰 여지를 준다”고 말했다. 미국 비밀경호국과 연방수사국은 수사에 착수한 상태다.

1시간 안에 이뤄진 환전과 동결 경주

코인텔레그래프 매거진에 따르면 해커들의 전략은 단순했다. 테더와 서클처럼 발행사가 동결할 수 있는 자산을 비트코인과 이더리움처럼 동결할 수 없는 자산으로 바꾸는 것이었다. 보안업체 서틱의 엔지니어 Dickson Wu는 USDT 5억 달러가 한 주소로 보내졌고 이 가운데 3억 2,500만 달러가 UTC 오후 8시 59분(한국시간 오전 5시 59분)까지 시장조성자에게 팔려 ETH로 바뀌었다고 추적했다. 공격 시작 1시간도 지나지 않은 시점이다.

반대편에서는 스테이블코인 발행사들이 움직였다. 테더는 총 약 15억 6,700만 달러어치 USDT를 동결했다. 첫 대규모 동결은 탈취 자금이 공격자의 이더리움 주 지갑에 도착한 지 37분 뒤였다. 서클은 3분 뒤 약 8억 2,300만 달러어치 USDC를 동결했고 리플과 월드 리버티 파이낸셜 등이 뒤따랐다.

탈중앙 프로토콜도 가세했다. 아비트럼의 보안 위원회는 ARB와 ETH 약 3,050만 달러를 중간 동결 지갑으로 옮겼다. 이 자금은 위원회의 추가 조치나 아비트럼 DAO(탈중앙 자율조직) 투표가 있어야 움직일 수 있다. 동결이 곧 회수는 아니라는 점은 분명하다. 공격자가 쓰지 못하게 막을 뿐 바이낸스나 이용자에게 자동으로 돌아오지는 않는다.

에이브 변수와 ‘못 묶는 33억 달러’

디파이(DeFi·탈중앙 금융) 대출 프로토콜 에이브는 변수를 하나 더 얹었다. UTC 오후 8시 58분부터 9시 1분까지 공격자 연계 지갑이 에이브 V3(이더리움)에 USDT 6,000만 달러를 예치하고 래핑 이더 4,460만 달러를 빌렸다. 첫 동결보다 약 40분 앞선 시점이다. 에이브 위험 서비스 제공사 라마리스크는 이후 이 포지션이 담보 약 5,990만 달러에 부채 약 4,380만 달러 상태라고 밝혔다.

에이브는 포지션이 과담보 상태라 프로토콜 공급자에게 위험이 없다고 설명했다. 에이브 챈 이니셔티브 창립자 Marc Zeller는 “USDT는 달러로 뒷받침되는 진짜 돈이고 이 포지션은 범죄적이지만 프로토콜의 눈에는 과담보”라고 말했다. 이미 대출 풀에 들어간 USDT는 지갑을 블랙리스트에 올려도 자동으로 회수되지 않는다. 에이브는 V3와 V4 시장을 일시 동결했다가 컨트랙트가 영향받지 않았다며 풀었다. Zeller는 “그저 크립토의 평범한 하루”라고 평했다.

블록체인 분석업체 엘립틱은 금요일 UTC 오전 7시(한국시간 오후 4시) 기준 약 28억 4,000만 달러가 동결됐다고 추정했다. 발행사가 막을 수 없는 자산은 공격자 손에 약 33억 3,000만 달러가 남아 있다고 봤다. BTC와 ETH는 발행사가 특정 주소를 막을 수 없어 거래 제한은 가능해도 동결은 훨씬 어렵다. 텅 최고경영자는 거래소가 이미 “이용자를 위해 도난 자산을 회수하고 있다”고 밝혔다.

시장은 4% 안팎 하락, 정치권·월가는 엇갈렸다

CNBC에 따르면 금요일 비트코인은 4.1% 하락한 7만 7,445.96달러, 이더리움은 4.4% 내린 2,229.50달러였다. 바이낸스 자체 토큰 BNB는 6% 떨어진 701.18달러를 기록했다. CNBC는 앞서 2025년 바이비트가 약 15억 달러, 비트겟이 최근 3억 5,000만 달러 넘게 털린 사례를 함께 짚었다.

정치권 반응도 빨랐다. 도널드 트럼프 대통령은 기자회견에서 “우리는 모른다. 바이낸스 해킹을 들여다보고 있다”며 바이낸스가 되찾겠다고 보장한다고 들었다는 취지로 답했다. 공화당 신시아 러미스 상원의원은 해커들이 “4시간도 안 돼” 60억 달러 넘게 훔쳤다며 계류 중인 클래리티법을 거론했다. 민주당 맥신 워터스 하원의원은 “강력한 책임성 없이 가상자산 업계가 돌아갈 수 있다고 생각하는 이들에게 경종”이라고 비판했다.

월가 분석은 비교적 차분했다. 캔터 피츠제럴드의 Ramsey El-Assal은 “약세 구간에서는 매수자가 되겠다”며 “이번은 2022년이 아니다”라고 적었다. 컴퍼스 포인트는 바이낸스에 “구멍을 메우기에 충분한 유동성”이 있다고 봤고 비트코인 7만 5,000~7만 7,000달러 구간을 주시한다고 했다. 반면 무디스(Moody’s Ratings)의 Cristiano Ventricelli는 핫월렛의 사이버 보안 위험과 대형 중앙화 중개자의 위험 집중을 지적했다. 바이낸스는 사실 확인 뒤 상세한 기술 보고서를 내놓겠다고 약속했다.