바이낸스 해킹 탈취액 44% 동결, 바이빗 땐 3%…스테이블코인 발행사가 막았다

바이낸스에서 약 63억 달러가 털린 해킹의 후속 상황이 빠르게 전개되고 있다. 바이낸스는 이용자 보호 기금 SAFU의 비트코인을 절반가량 꺼내 손실 보전에 썼고, 탈취된 자산의 약 95%를 다시 채웠다고 밝혔다. 블록체인 분석업체들은 해커가 11개 블록체인에 걸쳐 약 1만 2,000개 지갑으로 자금을 쪼개 옮기고 있다고 분석했다. 같은 기간 브라질 거래소 메르카도 비트코인(Mercado Bitcoin)에서도 4,000만 달러 규모 해킹이 보고됐다.

SAFU 비트코인 7,499개 이동…보전율 90%에서 95%로

코인텔레그래프에 따르면 바이낸스는 토요일에 비트코인 7,499개를 옮겼다고 확인했다. 이 이동은 SAFU를 일부 가동한 것과 연결된다. 월요일(11월 2일, 현지시각) 기준 공개 비상용 지갑에는 약 7,500BTC, 5억 8,300만 달러어치가 남았다. 이동 전에는 약 1만 5,000BTC가 있었다.

바이낸스는 일요일 단계적으로 출금을 재개하면서 영향받은 자산의 약 95%를 다시 채웠다고 밝혔다. 하루 전에는 90%였다. 나머지는 유동성이 낮은 토큰이라 시장과 장외거래(OTC)로 계속 사들이고 있다. 손실 보전에는 회사 자금과 SAFU, 선물 보험 기금 일부가 함께 쓰이고 있다.

SAFU 정책에는 기금 시장가치가 8억 달러 아래로 떨어지면 10억 달러로 되돌린다는 규정이 있다. 다만 해킹 같은 사고로 인출한 자금을 언제까지 채워야 하는지는 정해져 있지 않다. 코인텔레그래프에 따르면 바이낸스는 SAFU의 남은 규모와 추가 투입, 재충전 계획을 묻는 질문에 곧바로 답하지 않았다.

준비금 증명 공개…수요일 추가 스냅숏 예정

바이낸스는 월요일 이용자가 토요일 준비금 증명(proof-of-reserves·거래소가 고객 자산을 실제 보유했는지 입증하는 절차) 스냅숏을 기준으로 자기 잔고를 검증할 수 있게 됐다고 밝혔다. 암호학적 증명 작업이 끝났기 때문이다. 바이낸스는 비트코인·이더·USDT 등 10개 가상자산의 고객 보유분이 최소 1대 1로 뒷받침된다고 설명했다.

바이낸스는 수요일에 더 많은 토큰을 포함한 스냅숏을 한 번 더 찍을 계획이다. 이에 대한 증명 생성에는 40~50시간이 더 걸릴 것으로 예상된다.

이용자 이탈 규모도 소스에 나왔다. 디크립트에 따르면 바이낸스는 일요일 출금을 재개한 뒤 처음 9시간 반 동안 약 36억 4,000만 달러의 순유출을 기록했다. 다른 보도에는 OKX가 4억 4,500만 달러의 순유입을 기록하고 바이낸스 유출이 70억 달러를 넘었다는 제목이 있다. 집계 시점과 방식이 다른 수치로 보이므로 직접 비교하기는 어렵다.

스테이블코인 44% 동결…바이빗 때 3%와 대비

엘립틱(Elliptic)은 월요일 발표한 분석에서 탈취액을 64억 3,000만 달러로 집계했다. 앞서 알려진 약 63억 달러보다 약간 큰 수치다. 이 가운데 약 28억 5,000만 달러, 44%가 동결되거나 압수됐다. 지난해 2월 15억 달러가 털린 바이빗 해킹 직후 동결 비율이 약 3%였던 것과 대비된다.

스테이블코인이 탈취액의 34억 6,000만 달러, 54%를 차지했고 발행사가 동결할 수 있다는 점이 컸다. 테더는 이더리움에서 탈취된 USDT가 해커 지갑에 도착한 지 37분 만에 동결했다. 서클은 탈취된 USDC 8억 2,300만 달러를 스왑되기 전에 모두 묶었다.

그래도 빠져나간 돈이 있다. 해커는 동결 전에 USDT 4억 3,400만 개를 유니스왑 같은 탈중앙화 거래소에서 이더로 바꿨다. 대출 프로토콜 에이브에서는 USDT 5,990만 개를 담보로 이더 1만 9,762개를 빌렸고, USDT 2억 3,400만 개는 트론의 TRX로 바꿨다. 이렇게 약 7억 8,600만 달러어치 스테이블코인이 빠져나갔다.

세탁은 트론에서 솔라나로…25초마다 새 지갑

엘립틱에 따르면 공격자는 4일이 채 안 되는 기간에 약 1만 2,000개 지갑과 4만 건이 넘는 거래를 썼다. 새 지갑이 약 25초마다 하나씩 생긴 셈이다. 주 경로였던 트론에서는 한 시간에 약 1,300건의 거래가 몰린 때도 있었다. 일각에서는 인공지능(AI) 에이전트가 움직인다는 추측이 나왔지만 엘립틱은 고정된 시간 간격과 정해진 금액, 무작정 되풀이하는 재시도, 사람의 근무 시간 같은 휴지기를 근거로 선을 그었다. 엘립틱은 “AI 에이전트가 판단을 내린다는 증거는 보지 못했다”는 취지로 밝혔다.

룩온체인(Lookonchain)은 일요일 해커가 솔라나(SOL) 48만 6,970개, 약 4,640만 달러어치를 옮겨 릴레이를 통해 비트코인으로 바꾸고 있다고 전했다. 체인널리시스는 트론의 임시 보관 지갑 대부분이 비워졌다고 밝혔다. 트론 이체 규모를 약 5억 달러로 봤지만 분석가 SomaXBT는 지갑 사이 반복 이동이 포함된 수치라고 반박했다. 그는 트론 보관 지갑을 실제로 떠난 돈은 약 2억 4,200만 달러라고 말했다.

중앙화 거래소 게이트에도 일부 자금이 들어갔다. 룩온체인은 해커가 최근 12시간 동안 약 25만 달러를 입금했다고 월요일 전했다. 게이트는 연관 계정 2개를 동결했고 수사 당국에 협조하겠다고 밝혔지만 동결 금액은 밝히지 않았다.

남은 32억 달러의 향방과 이어지는 보안사고

엘립틱은 해킹과 연결된 주소에 약 32억 4,000만 달러가 남아 있다고 추정했다. 대부분 이더와 탈취된 비트코인 1만 8,270개로, 비트코인은 공격 당일 이후 움직이지 않았다. 반면 SomaXBT는 공격자가 여전히 통제하는 규모를 약 35억 달러로 추산했다. 두 추정치는 약 2억 6,000만 달러 차이 난다. 테더와 서클 등이 동결한 규모도 약 30억 달러로 파악된다.

엘립틱은 바이빗 사례를 토대로 공격자가 이더를 소량씩 비트코인으로 바꿔 몇 달에 걸쳐 장외 중개인을 통해 현금화할 것으로 내다봤다. 이더와 비트코인은 동결할 수 없어 추가 동결이 더 어려워진다고 했다. 이미 세탁 중인 자금은 중국계 자금세탁 조직으로 넘어갔을 수 있다고도 봤다. 가장 가능성 높은 차단 지점으로는 자금이 결국 모습을 드러낼 중앙화 서비스를 꼽았다.

FBI는 토요일 북한의 트레이더트레이터를 배후로 지목하고 연관 지갑 주소를 공개했다. 미국 비밀경호국과 국세청 범죄수사국도 THORChain 노드 운영자와 거래소, 디파이 서비스에 해당 주소와 추적된 자금의 거래를 막아 달라고 요청했다. FBI는 해커가 주로 이더로 바꾸고 있으며 디파이와 즉시 스왑 서비스를 통한 추가 세탁을 예상했다. 엘립틱에 따르면 약 1,600만 달러는 지난 9월 비트겟 해킹 수익금을 보유한 주소로도 흘러갔다.

바이낸스 사태와 같은 시기에 다른 사고도 보고됐다. BTCPay Server는 핫월렛 공격 보고가 이어지자 가맹점에 서버를 꺼 달라고 권고했고, 메르카도 비트코인은 4,000만 달러 해킹 뒤 출금을 중단했다. 디크립트는 두 사건이 바이낸스 공격과 연결됐는지는 아직 불분명하다고 전했다.