여러 대의 모니터 앞에서 작업하는 후드 쓴 사람과 금빛 비트코인 동전 — AI로 생성한 자료 이미지
미국 연방수사국(FBI)이 바이낸스에서 10월 29일(현지시각) 발생한 약 64억 3,000만 달러(약 8조 6,000억 원, 1달러 1,340원 기준) 규모 탈취의 배후로 북한을 지목했다. FBI는 토요일 이를 발표하면서 암호화폐 주소 628개를 공개했고 민간 기업에 해당 주소와의 거래를 차단해 달라고 요청했다. 해킹 이후 처음 공개 석상에 선 바이낸스 창업자 자오창펑(CZ)은 AI가 공격 속도를 끌어올려 방어를 앞질렀다고 경고하고 업계 차원의 보안 연합을 제안했다.
FBI 경보, 628개 주소와 ‘민간 차단’ 요청
미국 금융 전문지 아메리칸뱅커(American Banker)에 따르면 FBI 경보문은 암호화폐 서비스 업체에 개입을 구체적으로 요청했다. 경보문에 은행은 거론되지 않았다. 공격 주체는 북한 국가 후원 해킹 조직 트레이더트레이터(TraderTraitor)로 지목됐다.
침투 경로는 바이낸스가 암호화폐 거래에 서명할 때 쓰는 시스템이었다. 바이낸스가 화요일 낸 보고서에 따르면 침입자들은 채용 담당자를 사칭해 바이낸스 엔지니어에게 면접 과제라며 악성코드를 내려받게 했다. 이어 내부 AI 도구로 다른 엔지니어들의 컴퓨터를 장악하고 탈취한 인증 정보로 공격을 실행했다.
자금은 상당 부분 아직 묶여 있는 상태다. 블록체인 분석업체 엘리프틱(Elliptic)은 수요일 갱신한 글에서 약 32억 1,000만 달러가 탈취와 연결된 주소에 남아 있다고 밝혔다. 현금화된 금액은 ‘무시할 수 있는 수준’으로 추정된다. 코인베이스를 다룬 디크립트(Decrypt) 보도는 엘리프틱 분석을 인용해 세탁 과정이 나흘이 채 안 되는 기간에 약 1만 2,000개 지갑에 걸쳐 이뤄졌다고 전했다.
서류 더미 앞에서 정장 차림으로 문서를 들고 노트북을 확인하는 모습 — AI 자료 이미지
은행은 비켜갔다…규제 부담은 암호화폐 업체로
흥미로운 대목은 은행의 역할이다. 아메리칸뱅커가 수요일 확인한 바로는 FBI가 공개한 628개 주소 가운데 재무부 해외자산통제국 제재 목록에 오른 것은 하나도 없었다. 은행의 제재 심사는 이 목록을 기준으로 돌아간다. 은행은 입금이나 송금이 어떤 암호화폐 주소에서 왔는지 직접 볼 수 없는 경우가 많아 주소 목록의 실효성도 떨어진다.
독립지역은행협회의 브라이언 래버듀어 디지털자산·혁신정책 수석부회장은 사건이 “지역은행이 FBI가 공개한 수백 개 주소를 걸러낼 수 있느냐의 문제가 아니다”라고 말했다. 활동에 가장 가까이 있고 막을 수 있는 최적의 위치에 있는 쪽은 암호화폐 업체라는 설명이다. 지역은행이 “다른 곳의 규제 공백을 치우는 청소부 역할을 해서는 안 된다”고도 했다. 암호화폐를 다루는 업체에는 “명확하고 효과적인” 자금세탁방지와 제재 의무가 있어야 한다는 주장이다.
컨설팅사 솔로몬에드워즈의 존 글래스 파트너는 은행이 자금 출처를 알려면 거래소의 정보가 필요하다고 짚었다. 합법적인 거래소에서 송금이 들어와도 은행은 그 돈이 도난 자금과 이어졌는지 모를 수 있다는 것이다. 은행이 연관성을 발견하면 제재 담당 부서로 넘겨야 한다. 그는 도난과의 연결만으로 동결 의무가 자동 발생하지는 않지만 의심거래보고 의무는 따로 발생할 수 있다고 말했다.
은행과 거래소가 정보를 나눌 수 있는 연방 제도로는 314가 있다. 참여는 양쪽 모두 자율이다. 아메리칸뱅커는 이 제도가 암호화폐 탈취 자금 동결에 도움이 됐다는 공개 사례를 찾지 못했다고 밝혔다. OFAC는 과거 2023년 4월 도난 암호화폐를 현금으로 바꾸는 거래자 2명의 이름을 제재 목록에 올린 적이 있다.
동결 44%의 명암…비트코인·이더리움은 못 막는다
엘리프틱은 동결되거나 압수된 금액을 28억 5,000만 달러로 집계한다. 전체의 44%다. 대부분은 스테이블코인(달러 등에 가치를 연동한 코인)이다. 테더와 서클은 공격 직후 신속히 움직였다. 비교 사례인 바이비트 도난 사건에서는 동결 비율이 약 3%였다는 것이 엘리프틱의 설명이다.
한계도 분명하다. 비트코인과 이더는 발행 주체가 없어 누구도 동결할 수 없다. 엘리프틱 분석에 따르면 비트코인과 엑스알피 레저, 솔라나, 니어 블록체인에서 훔친 자금은 동결된 사례가 없다. 이 자금을 막을 다음 기회는 비트코인과 이더를 현금화하는 순간이다.
엘리프틱은 도둑이 이 과정에서 중앙화 거래소 같은 “상대방”을 필요로 한다고 짚었다. “그곳이 자금을 식별하고 멈출 수 있는 지점”이라는 설명이다. 결국 FBI의 628개 주소 공개가 노리는 것도 거래소 같은 현금화 길목이다.
CZ “AI 공격이 방어보다 빠르다”…보안 연합 제안
CZ는 해킹 이후 처음으로 공개 발언에 나섰다. 토킹 토큰스 팟캐스트에서 그는 대형 암호화폐 플랫폼 공격의 파장이 디지털 자산 밖으로 번진다고 말했다. 스테이블코인과 토큰화 증권, 현실 자산이 은행·국채 시장과 얽히고 있어서다. 그는 “회사에도 업계에도 글로벌 금융에도 영향을 준다. 모두 연결돼 있다”며 피해 규모를 보면 “국가안보 차원”이라고 했다.
가장 날카로운 경고는 AI였다. CZ는 과거 대형 공격이 주 단위나 월 단위로 일어났다면 지금은 하루에도 여러 건이 벌어질 수 있다고 했다. AI가 정찰과 피싱, 취약점 탐색을 자동화하기 때문이다. 그는 “괴물과 싸우는 유일한 방법은 그 괴물이 되는 것”이라며 방어에도 AI 역량이 필요하다고 했다. 공격용 AI 도구가 금융사가 쓸 수 있는 방어 제품보다 빠르게 발전한다는 진단이다. 전통 은행도 인증 정보와 소프트웨어 의존성, 직원 기기를 노리는 공격에 노출돼 있다고 덧붙였다.
CZ는 업계 공동 보안 조직도 지지했다. 감사 결과와 해킹 사례의 교훈을 공유하고 자산 동결을 더 빨리 조율하자는 구상이다. 그는 “바이낸스와 업계 전체가 보안에 충분히 투자하지 않았다”고 인정했다. 미국 대통령 도널드 트럼프나 워싱턴 당국자와는 얘기하지 않았지만 미국과 중국의 도움은 환영한다고도 했다. 공격이 막을 수 있었던 일이었다는 점도 시인했다.
업계 파장과 정치권 시선
CZ는 바이낸스가 모든 손실을 보전하겠다고 밝힌 덕에 시장 불안이 번지지 않았다고 평가했다. 비트코인과 암호화폐 시장은 하락했지만 그날 기술주 급락보다 낙폭이 작았고 시간당 입금액은 해킹 하루 만에 출금액을 넘어섰다는 설명이다. 크립토뉴스에 따르면 바이낸스는 11월 3일 사건 갱신에서 피해 자산을 63억 4,000만 달러로 집계했다. 영향을 받은 토큰 자산의 98%는 10월 31일까지 보충됐고 독립 보안 검토도 예정돼 있다.
경쟁사도 안심시키기에 나섰다. 코인베이스는 수요일 블로그에서 바이낸스 해킹의 영향이 없었다고 밝혔다. 고객 자산 99% 이상을 오프라인 콜드 스토리지에 두고 콜드월렛 개인키를 쪼개 보관한다는 설명이다. 출금이 갑자기 몰리면 직원 검토 전까지 보류하고 서명 키를 즉시 오프라인으로 돌리는 ‘킬 스위치’도 갖췄다고 했다.
정치권에서는 CZ 사면 논란이 다시 불붙었다. 크립토뉴스에 따르면 하원 금융서비스위원회의 맥신 워터스 랭킹 멤버는 10월 30일 바이낸스와 트럼프 일가 관련 월드리버티파이낸셜의 연관성, 미 증권거래위원회의 소송 취하, 트럼프의 CZ 사면을 함께 거론했다. 민주당은 5월 CZ를 포함한 17명의 사면 수혜자에게 서한을 보내 사면 신청 과정에 로비스트나 정치적 후견인이 관여했는지 물은 바 있다. 같은 시기 브라질 거래소 메르카도비트코인은 4,000만 달러 해킹 뒤 출금을 중단했다. 프랑스 은행 크레디뮈튀엘 아르케아(Crédit Mutuel Arkéa)는 사이버 공격으로 1억 3,300만 달러 규모 암호화폐 도난이 있었다고 확인했다.
Copyright ⓒ 위키트리 무단 전재 및 재배포 금지
