세계 최대 암호화폐 거래소 바이낸스(Binance)가 10월 29일 목요일 밤에 역사상 최대 규모의 해킹을 당했음.

피해 규모는 약 63억 달러에서 63억 6,000만 달러로 2025년 2월 바이비트(Bybit) 해킹의 15억 달러보다 약 4배 큼. 아직 조사가 진행 중이라 확인된 사실과 추정이 섞여 있어서, 지금까지 나온 내용을 구분해서 정리하겠음.

먼저 확인된 사실부터 보자. 바이낸스는 자사 시스템에서 보안 사고가 발생했다고 밝혔고, 초기 조사 결과 데브옵스(DevOps) 엔지니어의 노트북이 감염되면서 공격자가 서비스 컨테이너에 접근해 승인되지 않은 출금 요청을 올릴 수 있었다고 설명했음. 데브옵스는 서비스를 개발하고 운영하는 업무를 말하고, 서비스 컨테이너는 프로그램이 돌아가는 격리된 실행 공간을 뜻함. 이 내부 서비스는 출금 요청에 서명을 받을 수 있는 권한을 갖고 있었고, 그 결과 바이낸스 자신의 시스템이 서명한 유효한 출금이 열 개 블록체인에서 나갔음. 개인 키가 유출된 흔적은 발견되지 않았다는 게 예비 조사 결과임. 공동 CEO 리처드 텅(Richard Teng)은 이번 사건이 한 사람의 소행이 아니고, 노트북 감염 말고도 추가 침투 지점이 확인됐다고 밝혔음. 자금이 빠져나간 체인은 이더리움, 비트코인, 트론, 리플(XRP) 레저, 솔라나, 아비트럼, 아발란체, 옵티미즘, 베이스, 폴리곤임.

속도도 눈에 띄었음. 블록체인 분석업체 TRM 랩스(TRM Labs)는 대부분의 자금이 협정세계시 20시 5분부터 약 20분 사이에 빠져나갔다고 분석했음. 짧은 시간에 여러 체인에서 동시에 자금이 움직였다는 건 사전에 철저히 준비된 공격이라는 뜻임.

바이낸스는 약 30억 달러를 온체인에서 추적해 동결했다고 밝혔고, TRM은 협정세계시 30일 0시 30분 기준 약 27억 달러가 동결됐다고 집계했음. 이 자금 대부분은 스테이블코인이었기 때문에 가능했음. 스테이블코인 발행사가 해당 주소의 자금을 동결할 권한이 있기 때문이고, 테더(Tether)와 서클(Circle)이 자산을 동결했다는 보도가 나왔음. 문제는 나머지임. 공격자가 아직 통제하고 있는 자금은 보도에 따라 24억 달러에서 33억 달러로 달라지는데, 이 자산은 발행사가 동결할 수 없는 비트코인이나 이더리움 같은 자산이 대부분이라서 쫓기가 훨씬 어려움.

공격 주체에 대해서는 TRM 랩스와 엘립틱(Elliptic)이 북한과 연결된 해커 조직 트레이더트레이터(TraderTraitor)를 높은 확신으로 지목했음. 이 조직은 라자루스(Lazarus) 계열로 알려져 있고 바이비트 해킹의 배후로 FBI가 사건 발생 일주일 안에 공식 지목한 곳과 같음. 다만 이번 사건에서 북한 소행이라는 판단은 아직 바이낸스나 수사 당국이 확인한 것은 아니고 분석업체의 판단이라는 점은 구분해야 함. 바이비트 때는 외부 지갑 서비스의 개발자 컴퓨터가 뚫려서 서명 담당자가 조작된 화면을 승인했는데, 이번에는 거래소 내부 서명 시스템 자체가 이용됐다는 점이 다르다는 지적이 있음.

바이낸스의 대응은 두 가지로 요약됨. 하나는 입출금을 일시 중단하고 추가 침투 경로를 차단하는 것이고, 다른 하나는 고객 자금은 안전하다고 밝히면서 손실을 자체 보험 기금인 SAFU와 회사 자금으로 메우겠다고 약속한 것임. 한 보도는 이 약속이 회사 자체 자금으로 약 23억 달러에 이를 수 있다고 추정했음. 다만 바이낸스는 고객 자금이 안전하다는 점에 대해 아직 증명 자료를 내놓지 않았고, 이 부분은 앞으로 검증이 필요함.

시장은 즉각 반응했음. 금요일 암호화폐 가격이 내렸고 비트코인은 한때 7만 6,000달러 근처까지 떨어졌음. 가장 큰 거래소가 뚫렸다는 사실은 거래소에 자산을 맡기는 방식 자체에 대한 의문을 키움. 동결되지 않은 자금이 어디로 움직이는지는 앞으로 며칠이 가장 중요한 구간임. 바이비트 사건 때도 훔친 자산은 여러 주소와 체인으로 쪼개져 세탁된 뒤 현금화됐고, 시간이 지날수록 추적하기가 어려워졌음.