바이낸스 로고 앞 카운터에서 비트코인 모형과 노트북을 마주한 두 사람 — AI로 생성한 자료 이미지
바이낸스 사용자 3억 3,590만 명의 정보가 풀렸다는 주장에는 숫자부터 확인되지 않은 부분이 있다. 판매 글에 적힌 것은 사람이 아니라 ‘줄(line)’ 단위의 데이터 건수다. 한 명의 고객이 로그인·입출금·거래 기록으로 수십 줄을 채울 수 있어 3억 3,590만 줄이 곧 3억 3,590만 명은 아니다.
보안 업계와 외신이 짚은 허점은 가격표와 보관 방식, 서비스 지역에서도 나온다. 바이낸스는 이 판매 글이 사기일 가능성이 높다는 입장이다. 다만 이 판단은 잠정적이고 조사는 계속되고 있다.
‘3억 3,590만 줄’은 사람 수가 아니다
코인로(CoinLaw)에 따르면 판매 글은 정확히 3억 3,590만 줄(335,900,000 lines)의 정보를 내걸었다. 이 건수를 사람 수로 확인한 곳은 없다. 한 명의 고객 데이터가 여러 줄을 차지할 수 있다는 점에서 실제 피해 규모는 광고된 숫자와 크게 다를 수 있다.
가격도 이상하다. 요구액을 줄 수로 나누면 한 줄에 약 0.27센트다. 코인로는 작동하는 지갑 개인키가 실제로 들어 있다면 “이상한 할인”이라고 꼬집었다. 이번 판매자는 대금을 비트코인이나 모네로로 받겠다고 했다. 위협 인텔리전스 업체 쓰렛몬(ThreatMon)은 판매자가 약 170개국 사용자를 거론했다고 전했다.
인크립티드(Incrypted)는 공개된 데이터 샘플의 진위가 독립적으로 확인되지 않았다고 전했다. 판매자는 이름과 이메일, 전화번호 외에 신분증, 거래 내역, 지갑 개인키까지 담았다고 주장했다. 블리핑컴퓨터(BleepingComputer)는 판매자가 섀이니헌터스라는 해킹 조직을 사칭한 것으로 추정된다고 적었다.
포럼 이용자들도 의심을 드러냈다. 한 이용자는 “모든 지갑의 개인키를 갖고 있다면 이걸 파는 이유가 뭐냐”고 물었다. 개인키만 있으면 자산을 직접 빼 갈 수 있는데 굳이 헐값에 파는 것은 앞뒤가 맞지 않는다는 지적이다.
책상 위 인쇄된 표를 손으로 짚어 살펴보는 사람과 닫힌 노트북 — AI 자료 이미지
바이낸스가 짚은 모순: 개인키·비밀번호·서비스 지역
바이낸스는 판매 글의 주장 가운데 자사의 데이터 보관 방식과 충돌하는 대목을 구체적으로 제시했다. 블리핑컴퓨터에 따르면 바이낸스는 이용자의 외부 지갑 개인키를 보유하지 않는다. 비밀번호도 평문(암호화하지 않은 원문)으로 저장하지 않는다. 판매 글이 거론한 일부 관할권에서는 이미 영업을 하지 않는다는 점도 짚었다.
이 가운데 마지막 항목은 판단 근거로 무게가 있다. 인크립티드는 문제의 데이터베이스에 거래소가 더 이상 서비스하지 않는 지역의 고객 정보가 담겨 있다고 전했다. 현재 운영하지 않는 지역의 이용자 정보가 최신 내부 유출물에 있다면 설명이 어렵다. 오래된 정보나 다른 경로로 모은 자료가 섞였을 가능성을 떠올리게 한다.
바이낸스는 KYC(고객 신원 확인) 파일과 내부 인프라 정보가 침해됐다는 증거도 찾지 못했다고 밝혔다. 이 결론은 게시글의 설명과 지금까지 검토한 샘플 데이터에 근거한 예비 판단이라는 단서가 붙는다. 회사는 조사를 계속한다고 했고 최종 결과를 언제 공개할지는 밝히지 않았다.
인포스틸러 가설: 유출 지점은 고객 단말일 수 있다
바이낸스 대변인은 “과거의 유사한 판매 글은 바이낸스 시스템 침해가 아니라 이용자 본인 기기에서 수집한 인포스틸러(정보 탈취 악성코드) 데이터인 경우가 많았다”고 설명했다. 건도 같은 유형이라면 유출 지점은 거래소 서버가 아니라 고객의 개인 기기가 된다.
코인로는 이 가설이 맞을 때 가장 큰 위험에 놓이는 이들이 바이낸스 비밀번호를 다른 사이트에서도 쓰는 고객이라고 짚었다. 한 기기에서 훔친 자격 증명은 같은 비밀번호를 쓰는 모든 곳에서 통한다. 거래소 자체가 뚫리지 않았더라도 이용자 쪽 피해는 생길 수 있다는 뜻이다.
바이낸스는 고객에게 비밀번호, 2FA(2단계 인증) 코드, 시드 문구, 개인키를 누구에게도 공유하지 말라고 당부했다. 피싱과 지갑 탈취(월렛 드레이너) 시도에도 경계를 늦추지 말라고 했다. 이 가설도 아직 입증된 것은 아니다. 인포스틸러 로그에 바이낸스 로그인 정보가 얼마나 들어 있는지는 확인되지 않았다.
코인로가 짚은 판매글 이용 분석과 두 사건의 차이
논란은 바이낸스가 실제 해킹을 확인한 지 약 일주일 뒤에 나왔다. 바이낸스는 북한 해커가 가짜 면접을 미끼로 직원에게 악성코드를 설치하게 했다고 확인했다. 이어 지갑 인프라가 뚫려 약 63억 4,000만 달러(약 8조 6,000억 원, 1달러 1,361원 기준)어치 가상자산이 빠져나갔다는 것이다. 미국 연방수사국은 이 사건을 트레이더트레이터의 소행으로 지목했다. 이 북한 국가 지원 조직은 라자루스 그룹, 제이드 슬릿, APT38이라는 이름으로도 추적된다. 같은 조직은 2025년 2월 15억 달러 규모의 바이빗 해킹과도 연결됐다.
코인로는 진짜 침해가 터진 직후라 두 번째 침해 주장도 쉽게 믿게 되고, 판매자는 그 분위기를 공짜로 이용한다고 분석했다. 두 사건의 출발점도 다르다. 확인된 탈취는 바이낸스 내부 직원 한 명의 기기에 심은 악성코드에서 시작됐다. 새 판매 글은 바이낸스의 설명대로라면 고객 기기에서 모은 데이터를 파는 과거 사례에 가깝다.
코인로는 아직 풀리지 않은 질문 네 가지를 정리했다. 섀이니헌터스 이름을 쓴 계정의 주인은 누구이며 원래 조직과 관련이 있는지가 첫째다. 샘플 속 기록이 실제 바이낸스 계정과 일치하는지, 인포스틸러 로그라면 바이낸스 로그인이 몇 건인지도 남아 있다. 마지막은 바이낸스가 조사 결과를 언제 공개하느냐다.
비슷한 사례는 다른 거래소에서도 있었다. 인크립티드에 따르면 코인베이스는 7만 명 넘는 사용자 정보가 유출됐다는 보도에 자사 인프라 침해를 부인했다. 같은 시기 제3자 분석 업체 앰플리튜드에서 발생한 사고로 일부 고객의 연락처 정보가 영향을 받았다는 점은 인정했다.
Copyright ⓒ 위키트리 무단 전재 및 재배포 금지
