바이낸스, 63억 달러 해킹 손실 90% 메웠다지만 재원별 투입액은 공개하지 않았다

바이낸스가 63억 달러대 해킹으로 사라진 자산의 90%를 메웠다고 10월 31일(현지시각) 밝혔다. 하루 전 80%에서 10%포인트 올랐다. 바이낸스는 11월 1일 출금을 다시 열 계획이며 해킹 피해는 이용자가 아니라 회사가 떠안겠다는 입장이다.

다만 복구 재원의 내역과 검증 방식을 두고는 의문이 남아 있다. 공격 경로를 설명하는 바이낸스의 입장도 며칠 새 바뀌었다. 블록체인 분석업체 TRM 랩스(TRM Labs)는 북한 해킹 조직의 소행으로 지목했지만 바이낸스는 범인을 특정하지 않았다.

90% 복구, 재원은 세 갈래

바이낸스 대변인은 코인텔레그래프에 회사 재무 자금(corporate treasury)과 이용자 보호 기금 SAFU(Secure Asset Fund for Users)의 일부, 선물 보험기금 일부를 쓰고 있다고 밝혔다. 대변인은 “바이낸스가 도난 자금의 재정적 충격을 이용자가 아닌 회사가 흡수할 것”이라고 말했다. 크립토브리핑에 따르면 바이낸스는 SAFU 일부를 24시간 안에 투입하고 기금을 약 10억 달러 수준으로 되돌리겠다고 약속했다. SAFU는 2018년 설립된 비상 준비금이다.

바이낸스는 앞서 30일 도난 손실을 메우기 위해 63억 4천만 달러(약 8조 4,600억 원, 1달러 1,334원 기준)를 따로 확보했다고 밝혔다. 이 가운데 50억 달러는 피해를 입은 암호화폐 자체로 채운다는 계획이다. 남은 부족분은 유동성이 낮은 토큰들이며 시장과 장외거래(OTC)로 계속 사들이고 있다.

선물 보험기금은 청산 위기에 몰린 선물 포지션의 손실을 메우고 자동 감축(ADL)을 줄이는 용도의 기금이다. 바이낸스는 일부를 복구에 돌렸지만 남은 잔액이 위험관리 규정상 최소 요건을 웃돈다고 설명했다. 잔액이 기준 밑으로 내려가면 회사 자금으로 채우겠다는 방침이다. 다만 대변인 발언에는 재원별 투입액도, 보험기금의 최소 요건 금액도 담기지 않았다. 되찾은 도난 자산이 얼마인지도 밝히지 않았다.

100% 담보 10종, 증명은 11월 3일께

바이낸스는 31일 비트코인, 이더리움, 테더(USDT), BNB, 솔라나, USDC, 리플, USD1, RLUSD, ZEC 등 10개 주요 자산과 스테이블코인이 100% 담보됐다고 밝혔다. 고객 잔액 기준으로 이 10종은 전액 뒷받침된다는 설명이다.

검증은 아직 끝나지 않았다. 바이낸스는 UTC 기준 10월 31일 0시(한국시간 31일 오전 9시)의 잔액으로 새 준비금 증명 스냅샷을 공개했다. 완전한 영지식증명은 연산 부담 때문에 생성에 약 40~50시간이 걸리고 결과는 11월 3일께 나올 예정이다. 10개 토큰을 보유한 이용자는 그때 자기 잔액이 최소 1대 1로 뒷받침되는지 직접 확인할 수 있다.

보안업체 CertiK는 30일 코인텔레그래프에 바이낸스가 밝힌 50억 달러 규모 대체 암호화폐를 검증하려면 더 많은 정보가 필요하다고 말했다. 테더와 서클 등 업계 파트너가 해킹 이후 동결한 약 30억 달러는 바이낸스의 대체 물량과 별개다. 바이낸스는 출금 재개에 집중하고 있으며 11월 1일 서비스를 다시 연다는 기존 일정을 유지했다.

공격 경로 설명 바뀌고, 북한 조직 지목

트윅타운에 따르면 바이낸스는 초기 보안 사고 공지에서 DevOps 엔지니어의 노트북이 침해돼 공격자가 서비스 컨테이너에 접근했고 10월 29일 무단 출금이 제출됐다고 지목했다. 이후 상황이 달라졌다. 공동 최고경영자 리처드 텅은 X에 “공격자는 엔지니어 한 명의 권한만 쓴 것이 아니며 단일한 ‘원클릭’ 행위도 아니었다”고 적었다. 또 한 사람의 소행이라는 결론은 내리지 않았다고 덧붙였다.

바이낸스는 지갑 개인키가 유출된 증거는 찾지 못했다고 거듭 밝혔고 조사는 계속 진행 중이다. 블록에이드의 이도 벤나탄 최고경영자는 공격자가 바이낸스의 거래 서명 절차를 장악한 것으로 보인다고 분석했다. 블록에이드는 서로 다른 거래 건수를 다루는 서명 승인 50개가 담긴 이더리움 거래를 확인했다. 그중 일치하는 승인 하나가 공격자가 만든 코드를 지갑에서 작동시켰다는 설명이다. 벤나탄은 서명 전 점검이 있었다면 악성 승인을 막을 수 있었다고 주장했다.

TRM은 피해액을 63억 6천만 달러로 집계했다. 대부분의 이체는 UTC 기준 10월 29일 오후 8시 5분(한국시간 30일 오전 5시 5분)부터 약 20분 사이에 일어났다. TRM은 높은 확신으로 북한 해킹 조직 트레이더트레이터의 소행이라고 지목했지만 바이낸스는 범인을 거론하지 않았다. 트윅타운은 공격자가 아직 42만 ETH 이상과 비트코인 1만 8,270개를 쥐고 있다고 전했다. 어떤 발행사도 동결할 수 없는 자산이다.

비트코인은 버텼지만, 거래소 보관의 위험은 남았다

글래스노드에 따르면 이번 사고는 역대 최대 암호화폐 해킹이다. 피해액 약 63억 달러는 그다음으로 큰 해킹 9건을 합친 규모를 넘는다. 직전 기록은 2025년 2월 바이비트의 15억 달러였다. 글래스노드는 역대 10대 해킹 중 3건이 2025년 초 이후 발생했고 모두 거래소 사건이라고 밝혔다. CNBC는 같은 해 바이비트에서 약 15억 달러, 올해 9월 비트겟에서 3억 8,700만 달러 넘게 털렸다고 전했다.

비트코인 가격 반응은 제한적이었다. 코인게코 자료로 보면 31일 오후 4시 비트코인은 약 7만 7,400달러에 거래됐다. 공격 직전보다 약 4% 낮은 수준이다. 비트파이넥스 시장 보고서에 따르면 바이비트 해킹 때는 비트코인이 10만 달러 가까이에서 9만 5천 달러 안팎으로 약 5% 내렸다. 앵커리지 디지털 자료를 인용한 CNBC 보도에서는 과거 거래소 해킹 후 24시간 평균 낙폭이 8.3%였다.

스트라이브의 맷 콜 최고경영자는 방송에서 해킹이 비트코인의 장기 투자 논리를 바꾸지 않는다고 말했다. 그는 이 사건을 비트코인 네트워크의 실패가 아닌 은행 강도에 빗댔고 시장이 앞으로 6~9개월 이어질 수 있는 “이른 봄” 회복 국면에 있다고 봤다. 와이렉스의 폴 채프먼 금융범죄 이사도 “비트코인 자체가 해킹된 것이 아니라 한 회사의 시스템이 공격받은 것”이라고 선을 그었다.

거래소에 맡긴 코인, 무엇을 확인해야 하나

CNBC는 해킹을 당해도 고객이 자산을 영구히 잃는 것은 아니라고 짚었다. 도난 자산이 동결·회수될 수 있고 보험이나 비상 기금이 있는 거래소도 있기 때문이다. 하지만 회복 속도는 제각각이다. 뉴질랜드 거래소 크립토피아는 2019년 해킹으로 약 3,000만 뉴질랜드달러어치가 털린 뒤 청산 절차에 들어갔다. 첫 분배는 2024년에야 시작됐다.

섀넌도어대학교의 마틴 물리아디 회계학 교수는 “거래소에 코인을 두면 그 회사의 통제력과 재무제표에 의존하는 것”이라며 “고객에게 변상하겠다는 약속은 그 뒤의 자원만큼만 단단하다”고 말했다. 그는 이용약관에서 자산의 소유권이 누구에게 있는지, 고객 자산이 회사 자산과 분리돼 있는지, 거래소가 맡긴 코인을 빌려주거나 쓸 수 있는지를 보라고 권했다. 책임 제한 조항과 보험 보장 범위도 확인 대상이다. 그는 해킹 뒤 환불이 거래소 재량이라면 “약속이 아니라 호의”라고 말했다.

약관만으로 안전이 보장되지는 않는다. 물리아디는 2022년 파산한 FTX가 약관상 고객 자산이 고객 소유라고 했지만 수십억 달러를 유용했다고 상기시켰다. 직접 지갑을 관리하는 자기 보관도 대안이지만 복구 문구를 잃으면 “도와줄 고객센터가 없다”는 위험이 따른다. 물리아디는 거래에 쓸 물량만 거래소에 두고 장기 보유분은 직접 보관하는 절충안을 제시했다.