바이낸스 해킹 여파, 연준·OCC 은행 점검 나서…보험업계도 보안 심사 강화 관측

미국 연방준비제도(Fed)와 통화감독청(OCC)이 바이낸스 해킹 이후 은행들에 직접 연락해 시스템 취약점을 점검하고 있다. 로이터는 목요일(이하 모두 현지시각) 사정에 밝은 여러 관계자를 인용해 감독 당국이 월요일 아침부터 은행에 비정상 활동이나 서비스 장애가 있었는지 물었다고 보도했다. 같은 목요일 거래소 게이트(Gate)는 ‘프루프 오브 시큐리티(PoSEC)’ 프레임워크를 내놓고 자산의 88.26%를 콜드월렛에 두고 있다고 공개했다.

역대 최대 가상자산 도난으로 기록된 약 63억 달러(약 8조 4,000억 원, 1달러 1,340원 기준) 규모 사건의 파장이 은행 감독과 거래소 보안 공시로 번지는 양상이다. 보험업계에서도 가상자산 기업의 보안 심사를 더 엄격히 하리라는 관측이 나온다.

연준·OCC, 월요일 아침부터 은행에 연락

비트코인매거진이 전한 로이터 보도에 따르면 연준과 OCC 감독관들은 월요일 아침부터 은행에 연락을 돌렸다. 질문은 단순하다. 최근 비정상적인 활동이나 서비스 중단이 있었는지다. 규제 당국이 이번 사건을 가상자산 거래소만의 문제가 아니라 전통 금융에도 닿을 수 있는 위험으로 보고 있다는 신호다.

연락을 받은 한 은행의 관계자는 서비스 중단은 없었다고 말했다. 이 은행 직원들은 고객 응대용 설명 자료를 준비했지만 이후 문의는 거의 들어오지 않았다. 다른 관계자 2명은 은행들이 공격을 분석하고 자체 시스템에 진단을 돌려 비슷한 수법에 버틸 수 있는지 확인하고 있다고 전했다.

미국 최대 은행 중 한 곳의 사이버보안팀은 해킹 직후 몇 시간 안에 바이낸스 측 담당자에게 먼저 연락했다. 이 팀은 내부 보고서를 작성 중이며, 이는 은행 시스템 점검과 보안 업데이트로 이어질 수 있다. 해당 은행이 같은 수법에 취약한지는 아직 분명하지 않다. 한 관계자는 가장 큰 우려로 인공지능(AI) 모델이 빠르게 진화해 은행이 해커를 따라가기 어렵다는 점을 꼽았다. 은행들은 보안 코드를 검토하고 패치하는 데 상당한 자원을 쏟고 있다.

바이낸스 대변인은 은행과 규제 당국 사이의 대화나 미국 은행에 미친 영향은 알지 못한다고 밝혔다. 이어 “전 세계 규제 당국과 긴밀히 연락하며 이번 보안 침해 상황을 계속 공유하고 있다”고 말했다. 연준과 OCC는 이번 해킹과 관련한 새 지침을 공개적으로 발표하지 않았다.

규제 완화로 가까워진 은행과 가상자산

점검 배경에는 최근 달라진 은행과 가상자산 업계의 거리가 있다. 비트코인매거진에 따르면 미국 규제 당국은 지난 1년 반 동안 은행의 가상자산 진출 길을 터 왔다. OCC는 3월 국법은행이 가상자산 수탁·스테이블코인 업무를 하기 전에 감독 당국의 무인의 확인을 받도록 한 요건을 철회했다. 연준은 그다음 달 주(州) 회원은행이 가상자산 활동 전에 통보하도록 한 지침을 거뒀다. 비트코인을 수탁하고 스테이블코인을 발행하며 거래소에 서비스를 제공하는 은행이 늘수록 대형 플랫폼 침해는 은행 감독의 사안이 된다.

바이낸스가 밝힌 공격 경로도 가상자산에만 국한되지 않는다. 바이낸스에 따르면 범행은 가짜 면접에서 시작해 코인이 움직이기까지 5개월이 걸렸다. 오염된 소프트웨어 다운로드와 연출된 채용 절차, 엔드포인트 탐지를 피하는 악성코드, 지갑 엔지니어를 겨냥해 악용된 내부 AI 도구가 결합됐다. 사회공학 기법과 악성 다운로드, 내부 도구 탈취는 대형 금융기관이 모두 겪을 수 있는 위험이라 은행 보안팀이 곧바로 움직였다는 것이 비트코인매거진의 설명이다.

자금은 10월 29일부터 여러 블록체인의 바이낸스 핫월렛에서 빠져나가기 시작했다. 블록체인 분석업체 체이널리시스와 TRM 랩스는 북한과 연계된 조직 ‘트레이더트레이터(TraderTraitor)’를 배후로 지목했다. 바이낸스는 나흘 뒤 비트코인부터 출금을 단계적으로 재개했다. 탈취 자산 약 28억 5,000만 달러를 동결하거나 가로챘고, 영향을 받은 토큰의 98%를 자체 자금으로 채웠다고 밝혔다. 앞서 알려진 보전 비율 90%에서 높아진 수치다.

프랑스 은행 크레디 뮈튀엘 아르케아도 수요일 사이버 공격을 확인했다. 자사 계좌에서 사기성 이체가 이뤄졌다는 내용이다. 한 온체인 조사자는 피해액을 1억 3,300만 달러 넘는 것으로 추산했지만 은행은 이 금액을 확인하지 않았고 고객 자산은 영향받지 않았다고 밝혔다.

게이트·코인베이스·업비트, 콜드월렛 비율 공개

바이낸스 사건 이후 거래소들은 서둘러 이용자 안심에 나섰다. 코인텔레그래프에 따르면 게이트는 목요일 PoSEC를 출시하며 전체 자산의 88.26%가 콜드월렛(인터넷과 분리된 오프라인 지갑)에, 11.74%가 핫월렛(인터넷에 연결된 지갑)에 있다고 밝혔다. 핫월렛이 완전히 털리더라도 콜드월렛으로 고객 자산의 104.58%를 감당할 수 있다는 주장이다. 게이트는 이 데이터가 제3의 감사 법인의 독립 검토를 받는 중이라고 덧붙였다.

코인베이스는 수요일 블로그에서 고객 자산의 99% 넘게를 오프라인 콜드월렛에 보관하며 초과 자산을 계속 콜드월렛으로 옮겨 균형을 맞춘다고 밝혔다. 국내 최대 거래소 업비트는 화요일 9월 기준 콜드월렛 비중이 99.17%, 핫월렛이 0.83%라고 확인했다. 이 수치는 이미 금융감독원에 공시된 것이다. 운영사 두나무 대변인은 코인텔레그래프에 “국내 5대 원화 거래소 중 가장 높은 콜드월렛 보관 비율이며 규제 최저선인 80%를 크게 웃돈다”고 말했다. 핫월렛 보유량을 고객 디지털 자산의 1% 아래로 유지하는 것이 목표라고도 했다.

다른 국내 거래소는 9월 말 기준 금융감독원 수치를 인용한 앞선 보도에서 빗썸 94.76%, 코인원 85%, 코빗에서 이름을 바꾼 디지털엑스 82.79%, 고팍스 80.54%로 집계됐다. OKX는 9월 18일 마지막으로 갱신한 보안 개요에서 고객 자산의 95% 넘게를 콜드월렛에, 5% 미만을 핫월렛에 둔다고 밝혔다. 다만 거래소마다 보고 시점이 다르고 비율의 모수가 되는 자산 범위도 달라 수치를 그대로 비교하기는 어렵다.

콜드월렛 비율만으로는 알 수 없는 것들

바이낸스의 핫월렛 관리와 접근 한도는 여전히 풀리지 않은 질문이다. 코인텔레그래프에 따르면 리처드 텅 바이낸스 공동 최고경영자는 10월 30일 공격이 거래소 자체 핫월렛에 영향을 줬다고 밝혔다. 고객 자산 대부분은 오프라인 콜드 스토리지에 있다가 출금 요청 때만 핫월렛으로 옮겨진다는 설명이다. 바이낸스는 화요일 초기 보고서에서 공격자가 내부 지갑 서명 서비스에 접근해 정상 출금 절차 밖으로 자금을 옮겼다고 밝혔다. 일부 기술 세부 사항은 추가 공격을 막기 위해 비공개로 두기로 했다.

TRM 랩스는 약 63억 6,000만 달러가 털렸고 대부분이 약 20분 만에 빠져나갔다고 집계했다. 서티크 분석가 조너선 리스는 63억 달러가 블록체인 10곳에 걸쳐 영향을 받은 자산의 누적 가치라고 설명했다. 이더리움에서는 새 입금이 들어올 때마다 공격자가 핫월렛을 반복해 비웠다. 그는 공격자가 유효한 서명을 얻으면 접근 가능한 범위는 서명 시스템이 시간에 걸쳐 허용하는 이체 규모에 달려 있다고 말했다. 특정 시점의 지갑 잔액만으로는 이 노출 정도를 알 수 없다는 뜻이다.

리스는 서명을 요청하는 애플리케이션이 뚫리면 그 애플리케이션이 적용한 거래 한도는 우회될 수 있다고 지적했다. 서명 시스템이 독립적으로 거는 한도는 여전히 이체를 제한할 수 있다. 외부에서 다른 거래소와 비교하기도 어렵다는 것이 그의 설명이다. 내부 서명 구조에 대한 공개 정보는 어디서나 제한적이고, 준비금 증명은 자산이 어디 있는지만 보여줄 뿐 출금이 어떻게 승인되는지는 보여주지 않기 때문이다.

파이어블록스의 이단 오프랫 공동창업자 겸 최고제품책임자는 거래소가 보통 며칠 치 예상 출금액을 핫월렛에 두며 이는 운용자산의 한 자릿수 초반 비율인 경우가 많다고 말했다. 텔레그램 기반 지갑 월트의 알렉스 토볼 최고기술책임자는 바이낸스 규모 거래소가 핫월렛에 수십억 달러를 두는 것이 본질적으로 이례적이지는 않다고 했다. 다만 콜드월렛에서 핫월렛으로 보충할 때는 별도의 재무 결정과 수동 승인이 필요해야 한다고 강조했다. 비트고의 유진 하르 최고제품책임자는 서명 전 거래 한도, 승인된 출금 주소, 추가 인증 같은 통제가 시스템이 뚫렸을 때 피해를 줄일 수 있다고 말했다.

콜드월렛이라고 안전이 보장되지는 않는다. 서명 시스템이 침해되거나 접근 통제가 허술하거나 직원이 사기성 거래를 승인하면 오프라인 지갑도 노출될 수 있다. 홍콩 증권선물감독위원회는 2025년 8월 공문에서 이런 약점이 핫월렛과 콜드월렛 인프라 모두를 위협할 수 있다고 경고한 바 있다.

보험사 “바이낸스에 얼마나 노출됐나” 묻는다

보험사들은 가상자산 기업이 신규 계약을 맺거나 갱신할 때 비슷한 공격에 취약한지 따져 물을 전망이다. 가상자산 업계에서 철수하거나 보험 공급을 줄이지는 않으리라는 관측이 우세하다. 다만 바이낸스에 대한 노출과 이번 공격에서 드러난 약점은 더 엄격한 심사 대상이 된다. 가상자산 보험 가운데 바이낸스가 입은 규모의 손실을 보장할 상품은 없다고 전문가들은 말했다.

보험 중개사 갤러거의 데이비드 로저스 금융기관 부문 전무는 “보험사들은 바이낸스에 특정한 질문을 할 것이다. 첫 질문은 아주 단순하다. 바이낸스에 얼마나 노출돼 있고 그곳에 맡긴 돈이 있느냐는 것”이라고 말했다. 사건 경위가 더 드러나면 질문이 구체화돼 보험 인수 관행이 달라질 수도 있다고 했다. 보험 계약은 보통 1년 단위여서 다음 갱신 때 보험사가 위험을 재평가하고 새 보안 요건을 붙일 수 있다.

마시의 재클린 퀸탈 금융기관·디지털자산 부문 리더는 보험 한도·가격·보장 범위에 실질적 변화는 예상하지 않지만 고객에게 묻는 질문은 늘 것이라고 말했다. 리드 스미스의 런던 소재 보험 변호사 피터 하디는 조사에서 바이낸스 보안의 구체적 결함이 드러나면 다른 보험사들도 그 결함의 해소를 요구할 수 있다고 내다봤다. 허릭의 앨런 라이언스 공동 의장은 이 정도 규모의 손실이 나면 보험사가 영향받은 고객뿐 아니라 가상자산 계약 전체를 재검토하며 문구를 강화하고 면책 조항을 명확히 하는 것이 예상 가능한 대응이라고 설명했다.

국가 지원 해킹은 또 다른 변수다. FBI가 북한 연계 조직을 배후로 지목한 만큼 보험금 청구가 복잡해질 수 있다. 모닝스타 DBRS의 마르코스 알바레스 글로벌 금융기관 신용평가 총괄은 로이드(Lloyd’s)에서 인수한 사이버 보험이 2023년 이후 국가 지원 공격 면책을 대체로 요구해 왔다고 설명했다. 이런 면책 조항이 대형 지정학적 손실에서 얼마나 효력이 있는지는 검증된 적이 없다고도 했다. 시장조사업체 그랜드뷰리서치는 글로벌 가상자산 보험 시장이 2026년 138억 달러에서 2033년 1,927억 달러로 커질 것으로 전망한다. 시가총액 2조 5,000억 달러가 넘는 산업을 받치기에는 보험 보호막이 아직 얇다는 점이 이번 사건으로 드러났다.