글: 深潮 TechFlow
베이징 시간 10월 30일 새벽 4시 20분 59초, 평범해 보이는 이더리움 트랜잭션 하나가 온체인에 기록됐다. 이 트랜잭션은 바이낸스가 「Binance 14」로 표시한 핫월렛에 50건의 EIP-7702 위임을 제출했다. 3분 24초 뒤, 이 지갑에 있던 167,464 ETH, 16억 1,500만 USDT, 그리고 UNI, LINK, AAVE, PEPE 등 63종 토큰이 단 한 건의 트랜잭션으로 전부 쓸려 나갔다.
이는 암호화폐 역사상 금액 기준 최대 규모의 거래소 도난 사건이다. 온체인 데이터에 따르면 이더리움에서만 유출액이 33억 달러를 넘고, 크로스체인 기준으로는 55억~62억 달러에 달한다. 비교하자면 2025년 2월 Bybit 콜드월렛에서 15억 달러가 도난당한 것이 그때까지의 업계 기록이었다.
공포는 몇 분 만에 2차 시장으로 번졌다.
비트코인은 곧바로 78,500달러 아래로 떨어졌고, 이더리움은 2,250달러를 내줬으며, BNB는 장중 한때 9% 폭락했다. 전체 선물 시장에서는 1시간 만에 6억 2,900만 달러가 청산됐고, 그중 6억 700만 달러가 롱 포지션이었다.
바이낸스는 이어 여러 네트워크의 출금과 Binance Alpha 거래를 긴급 중단하고, 사용자 자금은 완전히 안전하다고 거듭 강조했다. 바이낸스 창업자 자오창펑(CZ)은 X에서 "확실히 해킹당한 것으로 보인다"고 직언하면서, DefiLlama 창업자 0xngmi의 추정치를 인용해 **실제 순손실은 "10억 달러보다 조금 많을 수 있지만 전액 커버될 것"**이라고 말했다.
이는 바이낸스만의 싸움이 아니었다. 암호화폐 업계 전체가 움직였다.
Tether는 사고 발생 약 40분 후 15억 6,700만 개가 넘는 USDT를 동결했고, Circle은 8억 달러 이상의 USDC를, Ripple은 약 2억 달러의 RLUSD를, World Liberty Financial은 2,700만 달러의 USD1을, Paxos는 약 1,906개의 PAXG를 동결했다.
바이낸스가 최근 공식 발표한 확인된 동결 총액은 30억 달러이며, 회사 측은 이 수치가 계속 늘어날 수 있다고 밝혔다.
48시간의 잠복과 한 장의 치명적 위임장
이것은 즉흥적인 기습이 아니었다.
Cobo 공동 창업자이자 암호화폐 OG인 선위(神鱼)는 사건 발생 몇 시간 후 온체인 복기 영상을 공개했다. 온체인 흔적을 역추적하면, 공격자의 준비 작업은 적어도 사건 이틀 전에 이미 시작됐다.
10월 28일 오후부터 공격자는 세 차례에 걸쳐 코인 믹싱 프로토콜 Tornado Cash에서 소액 자금을 인출해 이후 컨트랙트 배포와 리허설의 수수료로 사용했다. 10월 29일 저녁부터 30일 새벽까지 공격자는 테스트 지갑을 이용해 공격 전체 과정을 두 번 완전히 리허설했다. 마지막 테스트를 마쳤을 때 4시 20분 실제 공격까지는 3시간 30분밖에 남지 않았다.
치명타를 완성한 무기는 이더리움이 지난해 Pectra 업그레이드에서 막 도입한 새 기능, EIP-7702였다.
전통적인 이더리움 구조에서 일반 외부 계정(EOA, 즉 평소 개인키로 제어하는 지갑)과 스마트 컨트랙트 계정은 완전히 분리된 두 체계다. EIP-7702는 이 벽을 허물어, 일반 지갑이 특별한 위임장 한 장에 서명해 자신의 계정 통제권을 일시적으로 스마트 컨트랙트 코드에 맡길 수 있게 했다. 스스로 철회하지 않는 한, 이 프로그램은 지갑 주인을 대신해 일괄 이체 등 어떤 작업이든 실행할 수 있다.
선위는 복기에서 이 공격 컨트랙트의 로직을 해부했다. "공격자의 프로그램은 오직 한 명의 주인만 인정하고, 오직 한 가지 일만 한다. 돈을 옮기는 것."
새벽 4시 20분 59초, 시퀀스 번호가 일치한 그 트랜잭션이 "Binance 14" 핫월렛으로 하여금 이 '자신을 팔아넘기는 계약서'에 서명하게 만들었다. 발효되는 순간 해커는 매번 바이낸스의 개인키를 쓸 필요조차 없이 컨트랙트를 직접 호출해 지갑 안의 64종 토큰을 털어갈 수 있었다.
4시 41분에는 더 소름 끼치는 장면이 나왔다. 공격자는 "Binance 14" 핫월렛의 합법적 신분을 빌려 명령을 내렸고, 이 핫월렛에 복종하는 USDC 컨트랙트 지갑을 직접 조종해 한 번에 8억 2,300만 USDC를 빼냈다. 오전 6시 40분까지 공격자는 제 집 뒷마당을 드나들듯 "Binance 14" 핫월렛에 네 차례나 되돌아와 쓸어 담았고, 이 주소로 들어온 자투리 자금조차 놓치지 않았다. 온체인 분석가 Ai姨는 해커가 심지어 핫월렛에 있던 7.77조 개 PEPE를 전부 온체인에서 팔아 ETH로 바꿨다고 관측했다.
왜 세계에서 보안 등급이 가장 높은 거래소 핫월렛이 자기 개인키로 연속된 번호의 EIP-7702 악성 위임 50장에 서명한 것일까?
"온체인에서 보면 문제는 서명 단계에서 발생했고, 컨트랙트 취약점은 보이지 않는다." 선위가 영상에서 내린 기술적 진단이다.
더 기이한 것은, 오전 6시 55분 바이낸스 보안팀 스스로도 "Binance 14"의 이 개인키로 서명해 지갑에 남은 자잘한 토큰들을 자사 안전 지갑으로 옮겼다는 점이다. 사건 발생 두 시간이 지나도록 선위는 X에 경고를 올렸다. 열쇠는 분명히 바이낸스 자기 손에 있는데 그 치명적인 EIP-7702 위임 권한은 좀처럼 철회되지 않았고, 당시 약 2,961 ETH의 입금이 낮은 가스비 때문에 길에서 막혀 있었는데 도착하는 즉시 해커 프로그램에 다시 쓸려 나갈 위험이 있었다.
이는 해커가 평문 개인키 파일을 직접 훔친 것이 아닐 가능성이 크며, 바이낸스 내부의 자동 서명 시스템, 권한 검증 또는 운영 명령 파이프라인 어딘가를 뚫어 서명기에 서명해서는 안 될 그 Type-4 트랜잭션에 서명하도록 유도했을 가능성이 더 크다는 것을 의미한다.
매일이 제로데이
바이낸스 사건 발생 몇 시간 후, 머스크는 X에 「Everyday is Zeroday」라고 게시하며 AI가 암호화폐 업계를 공방이 영원히 비대칭인 시대로 밀어 넣었다고 시사했다.
Blockaid 공동 창업자 겸 CEO Ido Ben-Natan의 판단은 더 구체적이다. 이번 공격은 2025년 2월 Bybit에서 14억 6,000만 달러가 도난당한 사건과 "매우 유사하며", 온체인 준비 수법이 북한 해커의 알려진 행동 특징과 높게 일치한다.
근거 없는 얘기가 아니다.
Immunefi CEO Mitchell Amador는 올해 여러 차례 공개적으로 경고했다. AI가 이미 공방의 저울을 완전히 공격자 쪽으로 기울였고, 방어 측이 격차를 따라잡으려면 최소 3~4년이 걸릴 것이라고.
과거 보안 공방전에서 제로데이 취약점(Zero-day, 아직 발견·패치되지 않은 치명적 취약점)은 극소수 최상위 해커가 수개월을 들여 수작업으로 캐낸 희소한 무기였다. 그러나 AI 대형 모델의 연산력이 폭주한 2026년, 공방의 저울은 완전히 뒤집혔다. AI는 24시간 쉬지 않고 전 세계 오픈소스 프로토콜과 스마트 컨트랙트 코드를 스캔하고 제로데이 취약점을 양산할 수 있을 뿐 아니라, 딥페이크(Deepfake) 기술과 자동화 침투 스크립트를 결합해 거래소 운영 인력과 내부 서명 파이프라인을 겨냥한 밀리초 단위의 정교한 사회공학·공급망 공격까지 감행할 수 있다.
2026년도 아직 끝나지 않았는데, 전 시장에서 이미 230개가 넘는 암호화폐 프로토콜이 공격을 받았다.
ValueTheMarkets 집계에 따르면 2026년 상반기만 해도 북한 연계 해커 조직이 6억 4,300만 달러 상당의 암호화폐 자산을 훔쳤다. 이는 같은 기간 전 세계 암호화폐 도난 총액의 66%에 해당하며, Bybit부터 바이낸스까지 8개월 만에 공격 규모가 몇 배로 불어났다.
보안 예산이 가장 넉넉한 업계 거대 기업조차 "AI가 사각지대를 찾고 + 국가급 해커가 정밀 타격"하는 조합 앞에서는 코드 업그레이드 한 번, 서명 검증의 사각지대 하나 때문에 판 전체를 잃을 수 있다.
업계는 이미 군비 경쟁에 들어갔다. DLNews에 따르면 여러 대형 거래소와 보안 회사들이 Anthropic의 최신 Claude Mythos 모델 접근 권한을 얻기 위해 경쟁하고 있으며, 최첨단 AI로 방어선을 강화하려 한다. Cyvers CEO Deddy Lavid는 **암호화폐 업계가 "AI 충격을 실제로 가장 먼저 느낀 시장"**이라고 말했다.
그러나 현실은 냉혹하다. 공격자는 취약점 하나만 찾으면 되지만, 방어자는 모든 취약점을 지켜야 한다. 국가급 해커 조직에 AI 도구까지 더해지면, 이 산수 문제는 모든 중앙화 플랫폼에 불리하다.
