비트코인 문양 동전과 금화가 쏟아진 금고 앞에 선 사람들 — 내용 이해를 돕는 AI 이미지
미국 연방수사국(FBI)이 1일(현지시각) 10월 29일 발생한 바이낸스 해킹을 북한 연계 해커 집단 트레이더트레이터(TraderTraitor)의 소행으로 공식 지목했다. 63억 달러(약 8조 4,000억 원, 1달러 1,333원 기준) 규모로 거래소 해킹 사상 최대로 기록된 사건이다. FBI는 탈취 자산과 연결된 지갑 주소를 공개하고 업계에 거래 차단을 요청했다. 해커들은 그사이 트론 지갑을 거의 비우고 솔라나 토큰을 비트코인으로 바꾸는 새 단계에 들어갔다.
FBI, 지갑 주소 공개하고 “차단하라” 요청
FBI는 미국 비밀경호국(US Secret Service), 국세청 범죄수사국(IRS Criminal Investigation)과 함께 토르체인(THORChain) 노드 운영자, 거래소, 디파이 서비스에 협조를 당부했다. 공개된 주소와 이 주소에서 추적되는 자금이 얽힌 거래를 막아 달라는 내용이다. 코인텔레그래프는 이 같은 요청을 전했다.
FBI는 수사 과정에서 해커들이 탈취 자산을 주로 이더(ETH)로 바꾸는 모습을 관찰했다고 밝혔다. 앞으로 디파이와 즉시 교환 서비스를 통한 추가 세탁이 이어질 것으로 예상한다고도 했다. 바이낸스는 미국 당국과 함께 탈취 자산을 추적하고 회수하는 작업을 진행 중이다.
북한 연계설은 FBI 발표 이전에도 거론됐다. 학술 지식 공유 매체 더 컨버세이션의 기고문은 조사자들이 북한 연계 사이버 범죄자를 가리키는 지표가 있다고 말한다고 전했다. 다만 귀속은 증거가 완전히 확립될 때까지 잠정적으로 다뤄야 한다고 선을 그었다.
네트워크 연결도가 표시된 노트북과 문양 컵 앞에 앉은 사람 — AI로 생성한 자료 이미지
트론 지갑 비우고 솔라나로…세탁 수법 변화
블록체인 분석업체 체이널리시스는 해커들이 자금 세탁에 쓰던 트론 임시 보관 지갑 대부분이 비었다고 밝혔다. 세탁 활동이 솔라나로 확대됐다는 설명이다. 트론을 통한 이동 규모는 약 5억 달러로 집계됐다.
이 수치에는 이견이 있다. 조사자 소마XBT는 5억 달러에 지갑 사이를 오간 반복 이동이 중복 집계돼 있다고 반박했다. 그는 실제로 트론 보관 지갑을 떠난 금액은 약 2억 4,200만 달러라고 말했다.
온체인 분석 계정 룩온체인은 해커들이 솔라나 48만 6,970개, 약 4,640만 달러어치를 릴레이를 통해 비트코인으로 바꾸고 있다고 보고했다. 이 자금은 사건 이후 이뤄진 동결 조치를 빠져나간 물량이다. 체이널리시스는 앞서 수천 건의 거래가 짧은 시간에 몰린 점을 들어 해커들이 자동화 수단으로 자금 흐름을 흐리고 있을 수 있다고 밝혔다. 같은 자금이 지갑 사이를 반복해 돌고 일부는 앞서 쓴 주소로 되돌아가는 패턴도 관찰됐다고 한다.
일부 자금은 중앙화 거래소 게이트에도 닿았다. 룩온체인은 해커들이 보고 직전 12시간 동안 게이트에 약 25만 달러를 입금했다고 전했다. 게이트는 연결된 계정 2개를 동결했고 수사기관에 협조하겠다고 밝혔다. 동결 금액은 공개하지 않았다.
동결 규모를 두고도 숫자가 엇갈린다. 테더와 서클 등 업계 파트너가 약 30억 달러를 동결했지만 소마XBT는 공격자들이 여전히 약 35억 달러를 쥐고 있다고 추산했다. 더 컨버세이션은 스테이블코인(달러 등 법정화폐 가치에 연동된 코인) 발행사가 자사 토큰을 동결할 수 있어 피해 축소에 도움이 됐다고 짚었다. 비트코인이나 이더는 발행사가 같은 방식으로 동결하기 어렵다는 점도 덧붙였다.
노트북 한 대로는 설명되지 않는 침해 경로
바이낸스는 이번 공격으로 핫월렛(인터넷에 연결된 지갑)이 뚫렸다고 밝혔다. 초기 조사에서는 직원 노트북 해킹이 거론됐지만 이후 조사자들이 추가 침해 지점을 확인했다. 더 컨버세이션도 노트북을 전체 원인으로 보기는 이르다고 평가했다.
더 컨버세이션은 비트코인이나 이더 같은 기반 블록체인이 뚫린 것이 아니라 출금을 승인하는 시스템이 침해된 쪽에 무게를 뒀다. 은행 금고에 비유하면 금고 자체를 부수지 않고 금고에 열라고 지시하는 체계를 조작한 셈이라는 설명이다. 거래소에서는 서명 인프라(출금 거래에 서명해 승인하는 시스템)가 이 역할을 한다. 조사자들은 공격자들이 유효한 승인을 손에 넣거나 악용했다고 본다. 바이낸스는 지갑 개인키가 유출됐다는 증거를 찾지 못했다고 밝혔다.
이더리움의 EIP-7702 기능도 변수로 거론됐다. 이 기능은 일반 지갑에 평소 없던 기능을 부여한다. 조사자들은 이 기능과 연결된 승인이 공격자 통제 코드가 자산을 옮기게 했다고 관찰했다. 다만 더 컨버세이션은 이것만으로 이더리움 합의 메커니즘 자체의 결함이 입증되는 것은 아니라고 선을 그었다. 이동은 약 20분 안에 대부분 이뤄졌다.
보안 책임자가 곱씹을 교훈도 여기서 나온다. 더 컨버세이션은 블록체인의 보안과 그 주변 생태계의 보안을 구분해야 한다고 강조했다. 직원 자격 증명 탈취, 허술한 접근 통제, 악성 코드, 거래 승인 절차의 약점이 모두 침투 경로가 될 수 있다는 것이다. 많은 거래소가 수탁·지배구조·고객 자산 통제에서 매우 중앙화돼 있어 단일 장애점(한 곳이 뚫리면 전체가 흔들리는 지점)이 생긴다고도 짚었다. 인공지능 에이전트를 이용한 사이버 범죄가 우려되지만 이번 해킹을 AI가 실행했다는 확립된 증거는 없다고 했다.
SAFU 절반 소진, 증명은 진행 중…시장은 신중
복구는 속도를 내고 있다. 코인텔레그래프에 따르면 바이낸스는 탈취 자산의 약 95%를 다시 채웠다. 하루 전 90%에서 올랐다. 나머지는 유동성이 낮은 토큰이라 시장과 장외거래로 계속 사들이고 있다. 재원은 회사 재무 자금, 사용자 보호기금 SAFU, 선물 보험기금 일부다.
공개 비상 지갑의 잔액은 변화가 뚜렷하다. 7,499 BTC가 이전된 뒤 잔액은 약 7,500 BTC, 5억 8,300만 달러로 줄었다. 이전 전에는 약 1만 5,000 BTC였다. SAFU 정책은 비트코인 가격 변동으로 기금 시장가치가 8억 달러 아래로 내려가면 10억 달러로 되돌린다고 규정한다. 하지만 해킹 같은 사고로 기금을 쓴 뒤 언제까지 채워야 하는지는 정하지 않았다. 바이낸스는 코인텔레그래프의 SAFU 잔여 규모와 추가 투입, 보충 계획 질의에 곧바로 답하지 않았다.
바이낸스는 지급준비금 증명의 암호학적 증명을 마쳐 이용자가 잔액을 직접 대조할 수 있게 됐다고 밝혔다. 스냅숏에서 비트코인·이더·USDT를 포함한 10개 가상자산의 고객 보유분이 최소 1대 1로 뒷받침됐다는 설명이다. 더 많은 토큰을 담은 새 스냅숏을 수요일에 찍을 계획이며 증명 생성에 40~50시간이 더 걸릴 전망이다.
시장 반응은 비교적 절제됐다. 온체인 분석가 윌리 우는 해킹 주간 비트코인이 2.9% 하락했다고 계산했다. 같은 기간 금은 3% 내렸고 2022년 FTX 붕괴 당시 비트코인은 25% 떨어졌다. 다만 해킹 직후 미국 현물 비트코인 상장지수펀드에서는 하루 6억 4,333만 달러가 빠져나갔고 그 주 순유출은 약 2억 200만 달러였다. 2일 가상자산 공포·탐욕 지수는 37로 ‘공포’ 구간이었다.
더 컨버세이션은 투자자에게 보관·사이버 보안·운영·거래상대방 위험을 따져 보라고 권했다. 누가 자산을 보관하는지, 고객 자금이 분리돼 있는지, 거래소가 무너질 때 어떤 법적 보호를 받는지 확인하라는 것이다. 예금보험이나 중앙은행 안전망이 가상자산 보유분에 적용된다고 가정해서는 안 된다고도 했다. 바이낸스는 조사가 끝나면 사고 전체 보고서를 공개하겠다고 약속했다.
Copyright ⓒ 위키트리 무단 전재 및 재배포 금지
