테더·서클, 해킹 수 시간 만에 27억 달러 묶었지만 24억 달러는 손이 닿지 않는다

바이낸스가 해킹으로 빠져나간 약 63억 달러를 메우기 위해 회사 자금 63억 4,000만 달러(약 8조 5,000억 원, 1달러 1,338원 기준) 이상을 따로 적립했다. 이 가운데 50억 달러는 도난당한 것과 같은 종류의 토큰으로 이미 보유 중이라고 밝혔다. 거래소는 동결이 검증된 자산 가치를 약 30억 달러로 집계했다. 중단된 출금은 40시간 안에 재개하는 것이 목표다.

63억 4,000만 달러 적립…50억 달러는 이미 같은 토큰

바이낸스는 10월 30일(현지시각) 금요일 해킹 손실을 메우기 위해 회사 자금 63억 4,000만 달러 이상을 확보했다고 밝혔다. 리처드 텡(Richard Teng) 공동 최고경영자는 영상 연설에서 “회사 자금으로 해킹 손실 전액을 보전하겠다. 여러분의 자산은 안전하다”고 말했다. 텡이 트위터에 올린 연설문에 나온 발언이다.

텡은 이번 해킹이 고객 자금이 아니라 바이낸스 자체 핫월렛(인터넷에 연결된 지갑)을 겨냥했다고 설명했다. 그는 “고객 자금은 쓰지 않기 때문에 영향이 없다”면서 대부분의 이용자 자산은 콜드월렛(오프라인 지갑)에 있다고 했다. 이용자가 출금할 때만 핫월렛으로 옮긴다는 설명이다. 이 규모의 손실을 감당할 수 있는 것은 운영 수익의 상당 부분을 암호화폐로 들고 있기 때문이라고 덧붙였다.

적립금 63억 4,000만 달러 가운데 50억 달러는 USDC·USDT·BTC·ETH·BNB 등 도난당한 토큰과 같은 종류로 이미 갖고 있다. 나머지는 시장과 장외거래(OTC)로 사들이는 중이다. 바이낸스는 유동성이 낮고 OTC 결제에 시간이 걸려 일부 매입이 더 오래 걸릴 수 있다고 밝혔다. 이 금액에는 동결됐거나 보호 중인 자산이 들어 있지 않다.

바이낸스 대변인은 코인텔레그래프에 50억 달러가 거래소 수탁 상태라고 밝혔다. 다만 보안상 지갑 주소는 공개하지 않았고, 해당 자산을 언제 확보했는지도 알리지 않았다. 거래소는 해킹 이전부터 요구된 방식에 따라 회사 자금 현황을 매주 아부다비 금융서비스규제청(FSRA)에 보고한다고 설명했다.

공동 최고경영자 Yi He는 바이낸스가 도난당한 알트코인과 같은 수량을 사들이고 있다고 말했다. 갱신된 지급준비금 증명(Proof of Reserves)을 준비하는 과정이며, 매입은 OTC와 거래소를 오가며 이뤄진다. 그는 SAFU(긴급 이용자 보호 기금)와 회사 보유분에 비트코인과 이더리움이 상당량 들어 있다고 밝혔다. 매입이 끝나면 다시 알리겠다고 했다.

출금 40시간 내 재개 목표…준비금 증명은 월요일

바이낸스는 출금을 40시간 안에 재개하고, 전체 지급준비금 증명 보고서를 월요일까지 내놓겠다고 밝혔다. 코인텔레그래프 실시간 업데이트는 10월 30일 협정세계시(UTC) 오후 2시 34분(한국시간 오후 11시 34분) 기록에 이 일정을 적었다. 텡은 일요일 시한 전에 접근을 복구하고, 월요일 보고서에 앞서 준비금 초기 현황을 먼저 공개하겠다고 했다.

금요일 기준으로 출금은 계속 막혀 있었다. 텡은 출금 서비스를 다시 만들고 있으며 회사 전반의 보안 점검을 병행한다고 밝혔다. 점검 범위는 엔드포인트(단말)와 클라우드, 키 관리, 서명 체계다. 바이낸스가 출금을 멈춘 것도 인프라를 재구축하고 재검증하기 위해서다. 입금은 정상 운영 중이고 출금도 예정대로 재개될 예정이다.

대출 프로토콜 에이브(Aave)는 사고 직후 예방 차원에서 시장을 동결했다가 같은 날 해제했다. V3와 V4 전 시장에서 신규 예치와 대출이 다시 열렸다. 동결 기간에도 출금과 상환은 가능했다. 창업자 Stani Kulechov는 에이브 계약은 영향을 받지 않았고 모든 포지션이 초과담보 상태라고 밝혔다.

바이낸스 공동창업자 창펑 자오는 피해가 달러 기준으로는 최대지만 비트코인 기준으로는 최대가 아니라고 짚었다. 마운트곡스에서는 65만 BTC, 전체 공급량의 5% 넘는 물량이 사라졌다는 것이다. 그는 마운트곡스와 FTX 때는 거의 모든 이용자가 피해를 입었지만 이번에는 바이낸스가 손실을 직접 메운다고 했다. 이어 “아프지만 우리는 살아남는다”고 적었다.

동결 30억 달러의 내역과 남은 2조 원대 구멍

바이낸스는 동결이 검증된 자산 가치를 약 30억 달러(약 4조 원)로 집계했다. 수사가 진행되면 이 금액은 늘어날 수 있다. 앞서 테더와 서클이 해킹 직후 수 시간 만에 대규모 물량을 묶었는데, 집계 주체별로 수치가 다르다. TRM 랩스 분석으로는 금요일 이른 아침까지 약 27억 달러가 동결됐다.

TRM 랩스 기준 내역은 이렇다. 테더 약 17억 7,000만 USDT, 서클 약 8억 2,500만 USDC, 리플 약 4,050만 RLUSD, 월드리버티파이낸셜 약 2,780만 USD1이다. 아비트럼 보안위원회는 이더 8,426개와 ARB 토큰 7,460만 개를 묶었다. 바이낸스가 실시간 업데이트에 제시한 동결 자산은 테더, USDC, 리플USD, 월드리버티파이낸셜 USD, 스트레이츠엑스 USD, USDT0, 랩드 비콘 ETH, 테더 골드, 팍스 골드, 팍스 달러, 아비트럼 등 11종이다.

아비트럼 보안위원회는 선출직 12명으로 이뤄진 긴급 권한 기구다. 이 위원회는 공격자의 이더와 ARB를 아무도 통제하지 않는 주소로 옮겼다. 다른 이용자나 애플리케이션에는 영향이 없었다고 아비트럼은 밝혔다. 자금은 보안위원회 자체나 커뮤니티 투표로만 풀 수 있다.

문제는 동결 범위 밖의 자금이다. TRM 랩스는 약 24억 달러가 발행사의 손이 닿지 않는 곳에 있다고 분석했다. 여기에는 42만 개가 넘는 이더와 1만 8,270 BTC가 포함된다. 비트코인은 이미 여러 지갑으로 쪼개졌고, TRM 랩스는 공격자가 다음에 크로스체인 브리지와 스왑 서비스, OTC 중개업자를 이용할 것으로 예상했다.

공격자는 동결을 피하려고 탈중앙 거래소를 이용했다. TRM 랩스에 따르면 약 3억 2,500만 USDT를 유니스왑X 등으로 팔아 이더 약 12만 2,300개로 바꿨고, 할인폭은 10%를 넘었다. 에이브에서는 USDT 약 6,000만 개를 담보로 이더 약 1만 9,800개를 빌렸다. 트론 기반 저스트렌드에서도 USDT 3억 개로 비슷한 방식을 썼다.

침투 경로와 추적 상황

텡은 금요일 아침 조사에서 추가 침투 지점이 확인됐다고 밝혔다. 바이낸스는 처음에 엔지니어의 노트북이 뚫렸을 가능성을 의심했다. 텡은 “공격자가 엔지니어 한 명의 권한만 쓴 것이 아니고 한 번의 ‘원클릭’ 행위도 아니었다”고 말했다. 또 조사 결과 특정 개인에게 책임을 돌리지 않았다고 밝혔다.

공격자는 이더리움의 EIP-7702 위임으로 핫월렛에 대한 실행 권한을 얻었다. 텡은 이 위임이 바이낸스의 정상 승인 통제를 거치지 않았다고 설명했다. 공격 과정에서는 ‘자폭 메커니즘’이 도구와 흔적을 지워 수사가 더 어려워졌다. 블록체인 분석업체 TRM 랩스와 체이널리시스는 이번 도난을 북한 해킹 조직 트레이더트레이터의 소행으로 지목했다고 디크립트는 전했다.

보안업체 Blockaid의 최고경영자 Ido Ben-Natan은 EIP-7702 없이도 공격이 가능했다고 봤다. 다만 이 기능이 보안 점검을 우회하고 한 번에 자산을 빼내는 데 도움이 됐을 수 있다고 했다. 서명 시스템이 장악된 것이 핵심 원인일 가능성이 높다는 설명이다. Ambire의 최고경영자 Ivo Georgiev는 거래소 엔지니어가 시스템을 되찾은 뒤 악성 위임을 취소하는 일을 놓칠 수 있다고 경고했다.

체이널리시스는 “이전에 본 적 없는 세탁 패턴”을 관찰하고 있다고 밝혔다. 짧은 시간에 수천 건의 거래가 이어져 자동화 가능성이 있고, 자금이 주소 사이를 돌다 앞서 쓴 지갑으로 돌아오기도 했다. 온체인 분석 서비스 Arkham에 따르면 금요일 약 35분 동안 해커의 것으로 지목된 트론 지갑이 TRX 약 519만 개(약 173만 달러)를 주소 12곳으로 보냈다.

바이낸스는 법 집행기관과 협력해 자금 회수를 추진하고 있다. 한 관계자는 바이낸스가 FBI와 함께 일한다고 전했다. 바이낸스는 엑스 게시물에서 협력 사실을 밝혔지만 기관을 특정하지는 않았다.