바이낸스 해킹, 싱가포르 투자자 피해 여부 알 길 없다…MAS는 2021년부터 경고했다

바이낸스가 10월 29일(현지시각) 약 63억 달러(약 8조 4,000억 원, 1달러 1,340원 기준) 규모 해킹을 당했다고 밝힌 뒤 피해 윤곽이 조금씩 드러나고 있다. 싱가포르 매체 스트레이츠타임스는 싱가포르 투자자가 피해를 입었는지 확인할 방법이 없다고 전했다. 출금은 보안 개편이 끝날 때까지 중단 상태가 이어진다. 블록체인 분석업체들은 공격 수법과 북한 연계 근거도 잇따라 내놨다.

싱가포르 투자자 피해 여부, 온체인 데이터로는 가릴 수 없다

스트레이츠타임스에 따르면 이번 해킹으로 싱가포르 기반 자금이나 투자자가 피해를 봤는지, 얼마가 털렸는지 판단할 방법이 없다. 블록체인 조사업체 TRM 랩스의 아리 레드보드(Ari Redbord) 글로벌 정책 총괄은 10월 30일 이 매체 질의에 답했다. 그는 탈취된 자금이 중앙화 핫월렛(거래소가 고객 자금을 보관·이체하려고 운영하는 인터넷 연결 지갑)에 있었다고 설명했다. 블록체인 데이터만으로는 개별 투자자나 관할권을 특정할 수 없다는 뜻이다.

고객별 자금이 한데 섞여 있을 수 있어서다. 다만 거래소 자체 기록으로는 피해 고객을 가려낼 수도 있다고 한다. 레드보드는 “핫월렛은 추적이 불가능한 게 아니라 은행 금고처럼 운영된다”며 “누가 은행 금고에서 돈을 가져갔다면 은행이 털렸다고 말할 것”이라고 말했다. 이어 “특정 고객의 잔고에는 영향을 주지 않는다”고 덧붙였다.

바이낸스는 스트레이츠타임스에 입금은 영향이 없지만 출금은 “출금 서비스와 관련 주소의 보안 개편을 마칠 때까지” 멈춰 있다고 밝혔다. 싱가포르 자금이나 투자자가 영향을 받았는지 묻자 “계속 적극적으로 조사 중”이라고만 답했다. 방침상 개별 자금이나 투자자는 언급하지 않는다는 설명도 붙였다. 사용자 자금은 안전하며 개선 조치가 끝나면 갱신된 지급준비금 증명을 공개하겠다는 입장이다.

싱가포르 당국과 바이낸스의 관계도 짚어볼 만하다. 싱가포르통화청(MAS)은 2021년 9월 바이낸스닷컴을 투자자 경고 목록에 올렸다. 싱가포르에서 결제 서비스를 제공할 인가나 규제를 받지 않았다는 경고였다. MAS는 바이낸스에 결제 서비스 중단과 싱가포르 거주자 대상 영업 권유 중단도 명령했다. 같은 해 12월에는 싱가포르 계열사 바이낸스 아시아 서비스(Binance Asia Services)가 디지털 결제토큰 서비스 라이선스 신청을 철회했다. 바이낸스닷컴은 10월 30일 기준으로도 이 목록에 남아 있다.

핫월렛 서명 인프라 뚫렸다…EIP-7702 위임 활용

TRM 랩스는 탈취 규모를 약 63억 6,000만 달러로 집계했다. 자금은 바이낸스 지갑 10개 블록체인에서 빠져나갔고 대부분은 미 동부시간 오후 4시 5분부터 약 20분 만에 이동했다. 공격 방식은 체인마다 달랐다. 이더리움에서는 EIP-7702 위임이 쓰였다. 이더리움 펙트라 업그레이드로 도입된 이 기능은 일반 지갑이 스마트 컨트랙트 코드를 실행하게 해 준다.

TRM에 따르면 공격자는 이 기능으로 바이낸스 핫월렛을 자신이 통제하는 ‘스위퍼’(자금을 쓸어 담는 도구)로 바꿨다. 사전에 서명해 둔 인가도 50개 준비했다. 나머지 9개 체인에서는 평범한 서명 이체로 공격자에게 자금이 넘어갔다. TRM은 이를 바이낸스 핫월렛 서명 인프라가 침해됐다는 신호로 평가했다.

EIP-7702가 결정적이었는지는 의견이 갈린다. 블록에이드(Blockaid)의 이도 벤나탄(Ido Ben-Natan) 최고경영자는 코인텔레그래프에 EIP-7702 없이도 공격이 가능했다고 말했다. 다만 보안 점검을 우회하는 데 도움이 됐을 수 있다고 봤다. 그는 서명 시스템이 장악된 것이 공격을 가능하게 한 원인일 가능성이 높다고 설명했다. EIP-7702 덕에 한 번에 처리할 수 있었고, 그렇지 않았다면 여러 건의 거래가 필요했다는 것이다.

앰바이어(Ambire)의 이보 게오르기에프 최고경영자는 다른 방법으로도 자금을 빼돌릴 수 있었다고 말했다. 거래소 엔지니어가 시스템 통제권을 되찾은 뒤 악성 EIP-7702 위임을 해지해야 한다는 점을 놓칠 수 있다는 경고도 내놨다.

최초 진단 뒤집은 바이낸스, 침해 지점 추가 확인

바이낸스는 초기 조사에서 엔지니어 노트북 한 대를 지목했다. 패스트컴퍼니에 따르면 바이낸스는 엑스에서 침해된 기기가 공격자의 서비스 컨테이너 접근과 무단 출금 거래 제출을 허용했다고 설명했다. 이후 코인텔레그래프는 바이낸스가 조사 과정에서 “추가 침해 지점”을 찾아냈다고 전했다. 바이낸스는 법 집행기관과 협력해 사실관계를 계속 확인 중이다.

리처드 텡 공동 최고경영자는 10월 30일 엑스 게시물에서 사건이 한 번의 “원클릭” 행위가 아니라 “더 복잡한 공격 과정”이었다고 밝혔다. 예비 조사 결과는 침해된 데브옵스 엔지니어의 노트북을 가리킨다고 재확인했다. 지갑 개인키 유출 증거는 발견되지 않았다. 텡은 “조사는 어떤 개인에게도 책임을 돌리지 않았다”고 썼다.

디크립트는 지난 바이비트 사건도 침해된 기기 한 대에서 시작됐다고 짚었다. 당시 북한 해커들은 지갑 서비스 업체 세이프 개발자의 컴퓨터를 뚫은 뒤 인프라에 악성 코드를 심었다.

북한 연계 근거와 ‘동결 불가’ 24억 달러

TRM 랩스와 체이널리시스는 모두 북한 해킹 조직 트레이더트레이터를 배후로 지목했다. FBI가 15억 달러 규모 바이비트 해킹의 배후로 지목한 조직이다. TRM은 “높은 확신”이라고 밝혔다. 체이널리시스는 가장 강력한 증거로 바이낸스 탈취 자금이 지난달 북한 소행으로 지목된 비트겟 공격 자금과 실시간으로 뒤섞이는 장면을 꼽았다. 싱가포르 기반 팽골린 인텔리전스도 CNN에 북한 해킹 조직 소행이라고 봤다. 북한은 과거 해킹 의혹을 부인해 왔다.

두 업체는 공격자의 운영 지갑이 믹서(거래 출처를 흐리는 서비스) 토네이도 캐시를 통해 자금을 받았다고 밝혔다. TRM은 탈취 훨씬 전부터 준비 작업이 시작된 점 등이 바이비트와 4월 켈프다오 공격 등 이전 북한 연계 사건과 일치한다고 설명했다.

자금 세탁 속도도 빠르다. 체이널리시스는 “전례 없는 세탁 패턴”이 관측된다며, 짧은 시간에 수천 건의 거래가 이뤄져 자동화 도구를 쓴 것으로 의심된다고 밝혔다. 자금이 주소들 사이를 반복 순환하고 앞서 쓴 지갑으로 돌아오기도 했다. TRM에 따르면 공격자는 USDT를 마켓메이커에 팔고 대출 프로토콜 에이브에서 USDT를 담보로 이더를 빌려 발행사의 동결보다 앞서 움직였다. 공격자는 현재 이더 42만 개 이상과 비트코인 1만 8,270개를 보유하고 있다. 약 24억 달러어치로 어느 발행사도 손댈 수 없는 상태다.

동결 성과도 있다. TRM에 따르면 테더·서클·리플·월드리버티파이낸셜이 스테이블코인 약 26억 7,000만 달러를 동결했다. 아비트럼 보안위원회는 이더 8,426개와 ARB 7,460만 개를 묶었다. 바이낸스는 동결 총액을 약 30억 달러로 본다. 스트레이츠타임스는 피해 규모가 2025년 2월 바이비트의 15억 달러보다 4배 넘는다고 짚었다.

손실 보전 재원과 출금 재개 시점

바이낸스는 회사 자금 63억 4,000만 달러 이상을 손실 보전용으로 확보했고 이 중 50억 달러는 도난 토큰과 같은 종류로 이미 갖고 있다고 밝혔다. 이 대변인은 해당 토큰이 거래소 수탁 상태이며 보안상 지갑 주소는 공개하지 않겠다고 말했다. 보유 시점도 밝히지 않았다. 나머지는 시장과 장외거래로 사들이는 중이다. 유동성이 낮은 토큰은 시간이 더 걸릴 수 있다고 바이낸스는 설명했다.

공동 최고경영자 이 허는 도난당한 수량과 맞춰 알트코인을 사들이고 있다고 말했다. 갱신된 지급준비금 증명을 준비하는 과정이다. 그는 보호기금 SAFU와 회사 보유분에 비트코인과 이더가 상당량 있다고도 했다. 바이낸스는 아부다비 금융서비스규제청에 회사 자금 주간 보고서를 내고 있으며 이는 해킹 이전부터 있던 요건이라고 밝혔다.

바이낸스는 한 소식통의 말에 따르면 FBI와 함께 일부 자금 회수를 시도 중이다. FBI에 문의했지만 응답을 받지 못했다. 디파이라마 집계로 바이낸스는 준비금 기준 최대 거래소로 총자산이 1,340억 달러다. 최근 24시간 동안 약 60억 달러가 빠져나갔다.

출금 재개 시점은 보도마다 표현이 다르다. 한 라이브 업데이트에서는 바이낸스가 48시간 안에 재개를 예상한다고 전했고 다른 대목에서는 45시간 내 재개 일정을 유지한다고 적었다. 반면 스트레이츠타임스는 보안 개편이 끝날 때까지 중단이 이어진다고 보도했다. 패스트컴퍼니는 입금과 출금이 모두 일시 중단됐다고 전했지만 바이낸스는 입금이 정상이라고 밝혔다. 바이낸스는 “우리는 이 폭풍을 이겨낼 것”이라고 말했다.