20분에 8조4천억…바이낸스 사상 최대 해킹이 흔든 신뢰

지난달 29일 오후 8시 5분(UTC)부터 20분 남짓. 세계 최대 가상자산 거래소 바이낸스의 지갑 10곳에서 63억6천만 달러, 우리 돈으로 약 8조4천억 원어치가 빠져나갔다. 단일 사건으로는 가상자산 역사상 최대 규모다. 2025년 바이비트에서 발생한 15억 달러 사고를 네 배 이상 웃도는 액수다.

사고는 거래소의 '문'이 아니라 그 문을 여는 '열쇠'를 노렸다. 바이낸스가 사고 이틀 뒤 공개한 설명에 따르면 공격자들은 몇 달에 걸쳐 조직적으로 접근했다. 가짜 채용 면접과 화상 통화로 엔지니어의 노트북에 악성 코드를 심었고, 흔적을 지우는 기능까지 갖춘 프로그램을 활용했다.

뚫린 건 '핫월렛'…출금 중단으로도 못 막았다

핵심은 이더리움 개선 제안 7702(EIP-7702)였다. 리처드 텡 바이낸스 최고경영자(CEO)는 공격자들이 이 다중서명 프로토콜을 악용해 핫월렛에 대한 권한을 직접 부여받았다고 설명했다. 거래소 시스템을 장악한 수준을 넘어 네트워크상에서 권한을 얻은 탓에, 출금을 멈춰도 자금 이동 자체를 차단할 수 없었다는 것이다.

탈취 자산은 이더리움 38억 달러, 비트코인 1만8천270개(15억 달러)에 집중됐다. 트론 6억2천800만 달러, XRP 2억9천600만 달러, 솔라나 9천600만 달러 등도 포함됐다. 최대 25억 달러 규모의 단일 거래도 확인됐다. 반면 테더와 서클은 사고 당일 밤 30분 안팎으로 약 30억 달러어치의 스테이블코인 지갑을 동결하며 피해 확산을 일부 막아냈다.

출금 재개 첫날, 9시간에 46억5000만 달러 빠져나가

바이낸스는 사고 직후 모든 거래와 출금을 멈췄다가 11월 1일 오전 6시(UTC) 15개 네트워크에서 출금을 다시 열었다. 재개 9시간 만에 46억5천만 달러가 빠져나가고 10억1천만 달러가 들어왔다. 순유출만 36억 달러다. 데이터 플랫폼 디파이라마 집계로는 2일 오전까지 순유출이 49억 달러, 거래소 전체 자산의 3% 수준까지 늘었다.

회사가 내놓은 카드는 '전액 보전'이었다. 사고 다음 날 60억 달러를 별도로 확보했고, 10월 31일에는 피해액의 90%(60억 달러)를, 11월 3일에는 98%를 메웠다고 밝혔다. 재원은 사용자 보호 기금인 SAFU의 절반, 선물 보험 기금, 회사 자체 금고가 동원됐다. 바이낸스는 SAFU를 약 10억 달러 규모로 다시 채우겠다고 약속했다. 31일 0시(그리니치 표준시) 기준으로 자산 스냅샷을 새로 떠 보유 증명(Proof of Reserves) 절차도 시작했다.

문제는 속도가 아니라 신뢰의 방향이다. 자금을 메워도 고객이 느끼는 불안은 남는다. 실제로 사고 직후 코인베이스 주가는 장 초반 11.47% 급락해 142.17달러까지 밀렸고, 로빈후드 등 관련주도 동반 약세를 보였다.

비트코인 8만 달러선 붕괴…나흘 만에 7만4천 달러대

시장 충격은 즉각적이었다. 사고 다음 날 비트코인은 5% 넘게 밀려 8만 달러 아래로 내려갔고, 31일에는 7만7천92달러까지 후퇴했다. 장중 7만6천 달러대까지 찍으며 한 달여 만의 최저치를 기록하기도 했다. 이후 반등에 실패한 채 11월 9일 현재 7만4천~7만5천 달러대에서 거래되고 있다. 사고 전 8만 달러선과 비교하면 회복은커녕 낙폭이 더 커진 셈이다.

국내 투자자도 예외가 아니었다. 업비트와 빗썸 등 국내 거래소는 사고 당일 "바이낸스로 가상자산을 출금할 때 각별히 유의하라"는 공지를 잇달아 올렸다. 거래소 간 이동을 서두르던 투자자들에게 '어디에 두느냐'가 다시 화두로 떠오른 순간이었다.

FBI "북한 트레이더트레이터 소행"…세탁은 이제부터

미국 연방수사국(FBI)은 10월 31일 북한 정부 후원 조직인 '트레이더트레이터'가 배후라고 공식 발표했다. 트레이더트레이터는 라자루스 그룹의 일부로 분류되는 조직이다. FBI는 이들이 훔친 자산을 이더리움으로 바꾸고 있으며 추가 세탁도 예상된다고 밝혔다. 미 국무부 산하 비밀경호국(USSS)도 자금 추적과 동결, 회수 작업에 착수했다. 영국 금융행위감독청(FCA) 역시 사안을 인지하고 영향 파악에 나섰다.

블록체인 분석 업체들의 추적은 자금이 얼마나 빨리 흩어지는지를 보여준다. 엘립틱에 따르면 해커들은 동결을 피하려 탈취 자산을 약 1만2천 개 지갑으로 쪼개 옮겼다. 체이널리시스는 트론 기반 임시 지갑이 대부분 비워졌고 세탁 활동이 솔라나로 확대됐다고 분석했다. 이후 솔라나 토큰 97만여 개가 비트코인으로 교환됐고, 아캄 집계 기준 해커 지갑에 남은 솔라나는 18만2천443개로 줄었다. 탈중앙화 거래 프로토콜인 토르체인을 거치는 '2차 세탁'도 진행 중이다.

북한은 즉각 반발했다. 김여정 노동당 총무부장은 11월 3일 조선중앙통신을 통해 담화를 내고 "미국이 이번 사건을 북한의 이미지를 겨냥한 공격에 이용하고 있다"며 연루설을 부인했다. 2025년 바이비트 사건과의 연관성도 함께 부인했다.

남은 질문은 '보전 능력'과 '보관 방식'

이번 사건이 남긴 첫 번째 교훈은 거래소의 재무 체력이 곧 보안이라는 점이다. 바이낸스는 사흘 만에 피해액의 98%를 메웠지만, 그 재원은 결국 사용자 보호 기금과 회사 금고였다. 규모가 더 컸다면, 혹은 동결된 자산이 더 적었다면 결과는 달랐을 수 있다.

두 번째는 보관 구조다. 핫월렛의 권한 하나가 뚫리자 10개 블록체인으로 연결된 자금이 20분 만에 사라졌다. 개인 투자자 입장에서는 거래소 예치금이 곧 '내 지갑'은 아니라는 사실이 다시 확인된 셈이다. 거래소 보관 자산과 개인 지갑을 나눠 두는 분산 보관, 출금 주소 화이트리스트 설정 같은 기본 조치의 중요성이 커졌다.

세 번째는 국제 공조의 속도다. 이번에는 민간 스테이블코인 발행사들이 수십 분 만에 지갑을 동결해 30억 달러를 붙잡았다. 반대로 해커들은 사흘 만에 1만2천 개 지갑으로 자금을 분산했다. 동결과 세탁, 그 속도전의 승패가 앞으로의 피해 규모를 가를 전망이다.