바이낸스 해커, XRP 2억 3,346만 개를 지갑 6개로 쪼갰다…리플도 막을 수 없다

바이낸스에서 약 63억 달러(약 8조 5,000억 원, 1달러 1,344원 기준)가 털린 해킹의 후폭풍이 이어지고 있다. 바이낸스는 손실을 이용자에게 넘기지 않고 회사가 떠안겠다고 밝혔다. 한편 해커는 훔친 XRP 2억 3,346만 개를 새 지갑 6개로 나눠 담았다. 이용자가 지금 확인할 것과 피해야 할 것을 정리했다. 이하 날짜와 요일은 모두 현지시각이다.

내 자산은 안전한가…먼저 확인할 것

바이낸스는 11월 3일(현지시각) 사고 분석 보고서를 내놓았다. 보고서에 따르면 영향받은 토큰 자산의 98%가 10월 31일 기준으로 다시 채워졌다. 앞서 95%로 알려졌던 보전율이 더 올라간 것이다. 코인텔레그래프는 바이낸스가 손실을 고객에게 전가하지 않고 흡수하겠다고 밝혔다고 전했다.

피해 규모는 크립토슬레이트 기준 63억 4,000만 달러다. 이 가운데 약 28억 5,000만 달러는 동결되거나 중간에 가로채졌다고 바이낸스는 설명했다. 다만 영향받은 내부 AI 도구가 왜 뚫렸는지 전체 약점은 아직 규명되지 않았다. 바이낸스는 조사 결과를 검증할 독립 사이버보안 검토를 의뢰했고, 검토 결과를 보안 개선책에 반영할 계획이다.

이용자가 할 수 있는 일은 단순하다. 본인 계정의 잔고를 직접 확인하고 거래소 공식 공지를 챙겨 보는 것이다. 바이낸스는 침해된 내부 AI 도구와 지갑 인프라를 다시 구축하고 직원 기기를 교체했으며 접근 통제를 강화했다고 밝혔다. 보안 연구 기금도 추진 중이지만 규모와 참여 기업, 출범 시점은 공개하지 않았다.

XRP 2억 3,346만 개, 6개 지갑으로 쪼갰다

독일 매체 크립토티커(CryptoTicker)에 따르면 도난 XRP는 10월 29일 오후 8시 5분(UTC, 한국시간 10월 30일 오전 5시 5분)부터 약 4분 사이 바이낸스 지갑 5곳에서 해커 주소 한 곳으로 빠져나갔다. 이 물량은 80시간 넘게 그대로 있었다. 분산은 11월 2일 UTC 03시 47분(한국시간 낮 12시 47분)에 시작됐다. 새로 만든 주소 6개에 먼저 1,000XRP씩 테스트 송금이 들어갔다.

곧이어 UTC 03시 52분부터 4시까지(한국시간 12시 52분~13시) 대규모 이체 9건이 이어졌다. 지갑 5곳이 4,000만 XRP씩 받았고 이 중 3곳은 3,000만 개와 1,000만 개로 나뉘어 들어왔다. 여섯 번째 지갑에는 3,346만 XRP가 갔다. 원래 주소에는 23.7XRP만 남았다.

크립토티커는 11월 3일 저녁 XRP 원장(거래 기록 장부)을 직접 조회했다. 6개 지갑 모두 들어온 기록만 있고 나간 송금은 한 건도 없었다. 합계는 2억 3,346만 920XRP로 보도된 물량과 일치했다. 매체는 이런 패턴이 자금세탁 초기 단계의 전형이라고 평가했다. 소액으로 주소가 작동하는지 시험하고 한 계좌에 전액이 몰리지 않게 쪼갠다는 설명이다.

같은 날 저녁 XRP 가격은 1.28달러로 전날보다 3.7% 올랐다. 도난 물량의 가치는 약 2억 9,900만 달러(약 4,000억 원)다. 유통량 약 633억 5,000만 XRP의 0.37%에 못 미치지만 24시간 거래대금 약 16억 5,000만 달러의 18%에 해당한다.

리플도 못 막는다…이용자가 알아둘 점

스테이블코인은 발행사가 특정 주소의 잔액을 막을 수 있다. 리플은 해킹 후 탈취된 RLUSD를 이런 방식으로 동결했다. 하지만 XRP 같은 기본 코인은 발행 주체가 없어 동결 기능을 쓸 곳이 없다. 리플이 XRP를 대량 보유하고 있어도 타인 계정에 기술적으로 접근할 수는 없다.

현금화 단계에서는 사정이 다르다. 훔친 XRP를 돈으로 바꾸려면 어느 시점에는 거래소나 스왑 서비스에 입금해야 한다. 그곳의 컴플라이언스(준법 감시) 팀이 문제 주소에서 온 입금을 거절하거나 막을 수 있다. 9월 비트겟 해킹에서 공격자가 XRP 약 1억 300만 개(약 8,300만 달러)를 계정 5개로 옮겼을 때도 리플은 막을 수 없었다.

해커는 나머지 탈취 자산에서 대형 거래소보다 스왑 서비스와 블록체인 간 브리지(자산 이동 다리)를 주로 썼다. 분석가 소마XBT(SomaXBT) 추정으로는 이틀간 약 2억 4,200만 달러가 트론 연계 경로를 지났다. 이 중 약 1억 4,000만 달러는 릴레이와 쏘체인(THORChain)을 거쳤다.

코인텔레그래프에 따르면 솔라나(SOL)도 비슷하다. 아캄 데이터상 도난 SOL 97만 522개 가운데 18.8%인 18만 2,443개(1,690만 달러)만 남았고 약 81%는 이미 움직였다. 룩온체인은 이 자금이 USDC로 바뀌어 이더리움으로 건너간 뒤 이더를 거쳐 쏘체인에서 비트코인으로 교환됐다고 밝혔다. 쏘체인은 이더리움 블록 재편성(리오그) 때문에 드러난 환불 버그로 토요일 스왑을 중단했다가 수요일(11월 4일)에 재개했다. 체이널리시스는 이 중단이 해커의 세탁을 뜻하지 않게 늦췄다고 봤다.

보관 방식, 레버리지(빌린 돈을 얹은 투자), 보유 기간은 이용자가 점검할 항목이다. 해커 지갑이 움직이는지는 공개 XRPL 탐색기에서 누구나 볼 수 있다. 다만 이 글은 매수나 매도를 권하지 않는다.

가짜 면접·화상회의 링크, 피해야 할 것

바이낸스 보고서가 그린 침투 경로는 이용자 입장에서도 참고할 만하다. 6월에는 엔지니어 한 명이 AI 코딩 도구를 설치하다 변조된 소프트웨어 패키지를 내려받았다. 9월에는 채용 담당자를 사칭한 공격자가 다른 엔지니어를 속여 코딩 과제로 위장한 악성 파일을 받게 했다. 디크립트에 따르면 이 엔지니어는 합법적인 구직 플랫폼으로 접근을 받았다. 두 번의 면접 중 첫 번째는 화상통화였다.

10월 20일에는 감염된 컴퓨터와 내부 AI 도구로 엔지니어 두 명의 시스템까지 장악했다. 10월 29일에는 배포 권한 정보를 이용해 지갑 인프라에 악성 소프트웨어를 심었다. 공격자는 거래 승인 서비스(지갑 서명 서비스)에 들어가 정상 출금 절차 밖으로 자금을 뺐다. 이더리움의 EIP-7702(지갑이 거래 권한을 스마트컨트랙트에 위임하는 기능)도 악용됐다. 출금이 중단된 뒤에도 무단 이체가 이어졌다고 바이낸스는 설명했다.

최고경영자 리처드 텅(Richard Teng)은 X에 “한 번의 실수나 침해가 아니라 수개월에 걸친 캠페인이었다”고 적었다. 공동 창업자 허이(Yi He)는 올해 북한 연계로 의심되는 사이버 위협 57건을 탐지해 막았다고 밝혔다. 그러면서 “많은 시도를 막았지만 한 번을 놓친 대가가 컸다”고 말했다.

피해야 할 행동은 분명하다. 모르는 채용 담당자가 보낸 과제 파일이나 코드 저장소를 업무용 컴퓨터에서 내려받지 않아야 한다. 바이낸스 최고보안책임자 지미 수는 디크립트에 공격자가 면접 중 영상이나 음성 문제를 핑계로 줌 업데이트 링크를 보낸다고 말했다. 연봉을 두세 배로 제시하며 유인하는 경우도 있다고 했다.

수는 북한 연계 지원자의 단서로 느린 인터넷 연결을 꼽았다. 실시간 번역과 음성 변조가 작동하며 지연이 생기기 때문이다. FBI는 이번 공격을 북한 연계 해킹 조직 트레이더트레이터의 소행으로 지목했지만, 김여정은 “터무니없는 수사”라며 부인했다.