글: Nancy, PANews
10월 30일, 갑작스러운 보안 사태가 암호화폐 시장의 평온을 깨뜨렸다.
세계 최대 암호화폐 거래소 바이낸스에서 대규모 이상 자금 유출이 발생했으며, 관련 금액은 58억 달러에 달한다. 이에 따라 시장의 공포 심리가 빠르게 확산됐고 암호화폐 자산 가격이 즉시 하락했다. 현재 긴급 대응이 계속 이어지면서 관련 자금의 절반 이상이 동결됐고, 순유출 규모는 크게 줄었다.
갑작스럽게 찾아온 이 '블랙스완'은 바이낸스의 긴급 대응 및 리스크 관리 능력을 시험하는 동시에, 암호화폐 거래소의 자산 안전과 리스크 통제 체계를 다시 업계의 관심 중심으로 끌어올렸다.
약 30억 달러 동결, 플랫폼은 손실 부담 약속
오늘 새벽 4시경, 바이낸스의 여러 핫월렛이 대규모 공격을 받은 것으로 의심되며 대규모 이상 자금 유출이 발생했다.
온체인 데이터 집계에 따르면 당시 바이낸스 표시 지갑에서 유출된 자산은 약 56억4300만 달러다. 이 중 이더리움 네트워크가 약 35억2800만 달러, 비트코인 네트워크가 약 14억4900만 달러, 트론 네트워크가 약 6억2800만 달러, Arbitrum·Optimism·Base 등 네트워크가 합계 약 3800만 달러다. 이번 이상 거래에는 Binance 14, Binance 16, Binance Hot Wallet 34 등 여러 핫월렛이 관련됐으며, 관련 자금은 이후 여러 신규 주소로 이체됐다.
한편 Arkham의 최신 데이터에 따르면 이번 사건과 관련된 해커 클러스터 주소는 현재 총 57억6000만 달러 상당의 자산을 보유하고 있으며, 65종의 토큰이 포함돼 있다.
갑작스러운 보안 사태에 직면해 바이낸스는 즉시 긴급 대응 조치를 가동해 출금 및 일부 거래 서비스를 중단했고, 스테이블코인 발행사, 법 집행기관, 온체인 보안팀과 함께 자금 추적 및 동결 작업에 나섰다.
이번 사건에서 Tether, Circle 등 여러 스테이블코인 발행사가 관련 자금 처리에 참여해 지원했다. 공개 정보에 따르면 Tether는 약 15억6670만 달러의 USDT를 동결했고, Circle은 약 8억2300만 달러의 USDC 동결을 지원했으며, Ripple, WLFI 등 관련 당사자도 자금 처리에 참여했다.
다자간 협력으로 자금 동결 작업은 추가 진전을 이뤘다. 바이낸스의 최신 공개에 따르면 현재까지 누적 동결된 관련 자금은 약 30억 달러이며, 바이낸스는 각 측과 긴밀히 협력하며 관련 자산을 계속 추적하고 있어 동결 금액이 더 늘어날 수 있다고 밝혔다.
자산 규모로 보면 바이낸스의 수탁 자산은 약 1440억 달러로, 관련 이상 자금 유출 규모가 수탁 자산에서 차지하는 비중은 상대적으로 제한적이다. 바이낸스 측도 사용자 자금은 안전하며 플랫폼이 이번 공격으로 인한 모든 손실을 부담하겠다고 강조했고, 이번 사건이 사용자 자산에 영향을 미치지 않을 것이라고 밝혔다.
바이낸스 공동 창업자 허이(何一)는 현재 플랫폼이 전면적인 보안 점검을 진행하고 있으며 관련 기관과 협력해 관련 자금을 추적·동결하고 있다고 밝혔다. 이 기간 입금 및 출금 서비스는 일시 중단된다. 조사와 보안 점검이 완료되면 바이낸스는 전체 사후 분석 보고서를 공개할 예정이며, 사용자에게는 공식 채널을 통해서만 업데이트를 확인하라고 당부했다.
공격자, 사전 리허설 정황… 조작 실수로 추적 단서 남겨
자금 유출 규모 외에 이번 사건 이면의 공격 경로도 주목할 만하다.
Blockaid CEO Ido Ben-Natan은 이번 바이낸스 공격이 프라이빗 키 탈취에서 비롯된 것이 아니라 서명 시스템이 악용된 것일 수 있다고 밝혔다. 공격자는 50건의 EIP-7702 승인 요청을 하나의 트랜잭션에 묶어 악성 승인을 통해 바이낸스 지갑을 탈취하고 자산을 이체한 것으로 전해졌다.
보안 업체 슬로우미스트(SlowMist) 창립자 코사인(Cosine, 余弦)도 공격자가 이더리움에서 EIP-7702를 선택한 것은 주로 바이낸스 관련 핫월렛의 토큰을 일괄적으로 쓸어담기 위한 편의를 위해서라고 지적했다. 온체인상 조작은 다소 조잡했고, 실제 코인 탈취 전 수 시간 동안 리허설 준비를 했으며 관련 주소의 최초 5건 트랜잭션 기록을 참고할 수 있다고 밝혔다. 다만 EIP-7702 메커니즘 자체에는 문제가 없으며, 해당 프로토콜이 없더라도 유사한 효과를 낼 다른 방법이 있다고 덧붙였다.
Cobo 공동 창업자 선위(神鱼)도 온체인 데이터를 근거로 공격 과정을 복기하며, 이번 사건이 EIP-7702 승인 메커니즘과 관련됐고 즉흥적인 행동이 아니라고 지적했다.
그의 분석에 따르면 공격자는 당일 새벽 4시 20분경 50건의 승인 요청을 담은 트랜잭션을 브로드캐스트했고, 바이낸스 핫월렛 프라이빗 키로 서명을 완료했다. 약 3분 뒤 관련 자산이 일괄 이체되기 시작했다. 공격자는 64종 토큰을 포함한 이체 목록을 사전에 작성했고, 테스트 지갑으로 두 차례 리허설을 진행했으며 마지막 리허설은 실제 공격 약 3시간 반 전이었다. 실제 공격이 시작된 뒤 공격자는 여러 지갑과 컨트랙트 지갑을 통해 자산을 분산 이체했고, 일부 USDT 등 스테이블코인을 ETH로 교환해 발행사의 동결 위험을 낮췄다. 현재 온체인 데이터로 볼 때 핵심 문제는 서명 단계를 가리키며, 현재까지 컨트랙트 취약점은 발견되지 않았고 바이낸스는 프라이빗 키 유출이나 서명 시스템 악용의 구체적 원인을 아직 공개하지 않았다.
슬로우미스트 최고정보보안책임자(CISO) 23pds는 과거 포렌식 경험에 비춰 볼 때 공격자가 리스크 통제 시스템을 우회할 수 있었으며, 침투 경로가 프라이빗 키 유출인지 서명 장비 해킹인지는 여전히 중점 확인이 필요하다고 밝혔다. 그는 개인적으로 프라이빗 키 유출 가설에 더 무게를 둔다. 또한 공격자는 맞춤형 출금 도구를 사용했을 가능성이 높다며, 보안 부서는 원인 추적 및 포렌식 과정에서 프라이빗 키 유출 경로와 비정상 출금 도구의 특징을 중심으로 심층 조사할 것을 권고했다.
주목할 점은 프로토콜 엔지니어 Justin Kalland가 바이낸스 공격자로 의심되는 인물이 MetaMask로 가스비를 지급하다 조작 실수를 해 잠재적인 추적 단서를 남겼을 가능성이 있다고 지적한 것이다.
그가 공개한 트랜잭션 기록에 따르면 공격자는 신규 지갑에 1억7500만 USDT를 이체했다. 약 2.5분 뒤 해당 지갑은 가스비 지급용으로 2 ETH를 받았는데, 이는 다른 공격 지갑들의 패턴과 일치한다. 다시 약 2분 뒤 이 지갑은 MetaMask의 Gas Station 기능을 호출했는데, 이미 가스비를 지급하기에 충분한 ETH를 보유한 상태였다. 연속된 세 건의 트랜잭션은 동일 블록에 담겼으며, 각각 Gas Station의 ETH 충전, Kyber Network 라우터에 대한 무제한 USDT 승인, Gas Station에 127.67 USDT 지급이었다. 가장 눈길을 끄는 점은 해당 ETH 충전 금액이 정확히 뒤 두 트랜잭션의 최대 가스 예산 합계와 일치했고, wei 단위까지 정확했다는 것이다.
Kalland는 공격자가 당시 MetaMask 지갑을 사용하면서 급하게 조작하다 USDT를 가스 지급 수단으로 잘못 선택했을 것으로 추정했다. MetaMask가 때때로 이를 기본값으로 설정하며, 동일 블록 내 충전 순서도 그 구현 방식과 부합한다고 설명했다. 그는 Gas Station을 사용하려면 MetaMask Sentinel을 거쳐야 하고, 트랜잭션이 일반 RPC가 아닌 MetaMask를 경유하기 때문에 이러한 상호작용이 IP 메타데이터를 포함한 오프체인 기록을 MetaMask에 남길 수 있다고 지적했다. 그가 확인한 모든 공격자 지갑 중 Gas Station 사용 흔적이 나타난 것은 이 지갑 하나뿐이었다.
암호화폐 시장 공포성 하락… 비트코인 매도 압력은 예상보다 낮을 수도
세계 최대 암호화폐 거래소 중 하나인 바이낸스가 이번에 겪은 공격 사건은 창립 이래 직면한 중대한 보안 위기일 뿐만 아니라 암호화폐 업계 사상 최대 규모의 탈취 사건 중 하나가 될 수 있으며, 시장 공포를 빠르게 촉발했다.
이에 따라 암호화폐 시장은 뚜렷하게 하락했다. CoinGecko 데이터에 따르면 비트코인은 한때 7만7000달러 아래로 떨어져 일중 5.1% 하락했고, 이더리움은 약 2200달러까지 밀리며 일중 5.9% 하락했으며, BNB는 693달러로 떨어져 일중 8.5% 하락하는 등 다른 암호화폐 자산도 전반적으로 압박을 받았다.
시장 하락은 동시에 대규모 레버리지 청산을 촉발했다. CoinGlass 데이터에 따르면 지난 24시간 암호화폐 시장 청산 총액은 15억5000만 달러를 넘었고, 이 중 비트코인 청산 금액은 4억8000만 달러를 넘고 이더리움 청산 금액은 3억7000만 달러를 넘었으며, 롱 포지션이 주요 피해자가 됐다.
다만 이번 사건이 초래할 후속 매도 압력에 대해 업계 관계자들은 시장이 지나치게 비관할 필요는 없다고 본다.
Coinkarma 창립자 Benson Sun은 이번 사건에 연루된 탈취 비트코인 가치는 약 10여억 달러이지만, BTC는 Tornado Cash와 같은 대규모 믹싱 풀이 없어 관련 주소가 거래소와 온체인 분석 업체에 쉽게 표시되고 현금화 난이도가 ETH보다 뚜렷하게 높다고 분석했다. 그는 2016년 Bitfinex 탈취 비트코인이 수년간 움직이지 않았던 사례와, 올해 7월 Coldcard에서 약 1800 BTC가 탈취된 뒤 9월 초까지 여전히 90%가 이체되지 않은 사례를 들며, 이번에 연루된 BTC 규모는 더 크기 때문에 공격자가 주소 분할, 믹싱, 할인 장외거래 등을 통해 점진적으로 처리해야 할 수 있고 이 과정은 수년간 이어질 수 있다고 지적했다. 따라서 단기적으로 이 BTC가 대규모 시장 매도 압력으로 이어질 가능성은 상대적으로 제한적이다. 오히려 바이낸스가 SAFU로 보상하고 비트코인을 다시 매입한다면 매수세가 형성될 수도 있다.
이와 달리 다량의 ERC20 토큰이 ETH로 교환된 뒤 Tornado에 들어가면 추적이 어려워, 실제로 시장 매도 압력으로 전환될 수 있는 규모는 10여억 달러 수준일 수 있다. Benson Sun은 시장 신뢰가 타격을 받겠지만 비트코인의 직접적인 매도 압력은 생각보다 크지 않으며, 업계가 포스트 AI 시대의 핫월렛 관리, 서명 승인, 양자내성 등 보안 체계를 정면으로 마주해야 한다고 촉구했다.
현재 온체인 흐름을 보면 공격자는 이번 사건 관련 자산 중 규모가 가장 큰 BTC를 아직 대규모로 움직이지 않았고, 다른 일부 알트코인들은 순차적으로 ETH로 교환되고 있다. 온체인 모니터링에 따르면 공격자 관련 주소는 UNI, PEPE, RLUSD 등의 토큰과 일부 이체 가능한 스테이블코인을 ETH로 교환해 자산이 발행사에 의해 동결될 위험을 낮추고 있다. 현재 해커가 보유한 ETH는 약 46만7000개로 늘어 약 10억6000만 달러 상당이다.
종합하면 바이낸스의 이번 보안 사건은 다시 한 번 암호화폐 업계에 보안 경종을 울렸으며, 특히 AI 기술의 진화가 빨라지고 공격 수법이 계속 고도화되면서 암호화폐 플랫폼이 직면한 보안 과제는 갈수록 복잡해지고 있다. 바이낸스 입장에서 지금 가장 중요한 과제는 관련 자산을 최대한 회수하고 플랫폼 서비스를 조속히 복구하는 것뿐만 아니라, 투명한 조사 결과와 실효성 있는 개선 조치를 통해 자사 보안 체계가 날로 복잡해지는 공격 수법을 막아낼 수 있음을 시장에 입증하는 것이다.
장기적으로 보면 보안은 플랫폼 운영의 최저선일 뿐만 아니라 암호화폐 업계가 장기적 신뢰를 구축하는 기반이다.
