바이낸스, 63억 달러 털렸는데 사이버 보험은 없었다…자체 자금으로 95% 메웠다

바이낸스에서 약 63억 달러(약 8조 5,000억 원, 1달러 1,348원 기준)가 빠져나간 사고의 시작점이 공격 당일보다 훨씬 앞선다는 추정이 나왔다. 비영리 사이버보안 단체 SEAL(Security Alliance)은 북한 연계 해킹 조직 트레이더트레이터(TraderTraitor)가 10월 29일(현지시각) 도난 사고 약 8주 전인 9월경 바이낸스 시스템에 들어왔다고 밝혔다. 이하 날짜와 요일은 모두 현지시각이다.

피해 보상 방식도 도마에 올랐다. 프로그램비즈니스는 인슈어런스 비즈니스를 인용해 바이낸스에 손실을 메울 사이버 보험이 없었고 자체 자금으로 이용자에게 보상하고 있다고 전했다. 보험업계는 사고 이후 암호화폐 기업의 바이낸스 노출도와 보안 취약점을 더 꼼꼼히 따질 것으로 예상하고 있다.

SEAL “9월부터 침투”…가짜 채용 위장회사 최소 4곳

SEAL은 목요일 보고서에서 트레이더트레이터가 9월 중 바이낸스 시스템에 접근한 것으로 추정했다. 공격자가 일단 시스템에 들어오면 “장기간 높은 수준의 은밀성”을 유지하며 내부를 돌아다닐 수 있다는 설명도 덧붙였다. 코인텔레그래프에 따르면 바이낸스는 이 추정치에 대한 의견 요청에 기사 게재 시점까지 답하지 않았다.

SEAL은 2026년 트레이더트레이터의 가짜 채용 캠페인과 연결된 위장 회사(프론트 컴퍼니)를 최소 4곳 확인했다. 다른 대형 해킹에서도 비슷한 다단계 침투 패턴이 나타난다는 것이 SEAL의 분석이다. 비트겟 해킹은 3억 8,800만 달러가 털리기 전 약 6주의 접근 기간이 있었던 것으로 추정됐다. 켈프DAO 공격으로 이어진 취약점은 레이어제로에 대한 약 6주간의 접근 뒤에 나왔고 피해액은 2억 9,300만 달러였다. AFX 공격은 2,400만 달러 규모였으며 실행 약 3주 전부터 접근이 있었던 것으로 추정됐다.

바이낸스가 밝힌 경위는 더 길다. 프로그램비즈니스가 소개한 바이낸스 사고 보고서에 따르면 공격은 6월 한 직원이 AI 코딩 도우미의 변조된 설치 파일을 내려받으면서 시작됐다. 9월에는 채용 담당자로 위장한 공격자가 합법적인 구인 플랫폼을 통해 다른 엔지니어에게 접근했다. 화상 면접 뒤 이 엔지니어가 내려받은 코딩 과제에 악성 소프트웨어가 들어 있었다.

공격자들은 10월 20일 이 엔지니어의 노트북과 내부 AI 도구를 이용해 직원 2명의 컴퓨터를 추가로 장악했다. 그리고 9일 뒤인 10월 29일 탈취한 인증 정보로 인터넷에 연결된 핫월렛(온라인 보관 지갑)에서 약 63억 달러를 옮겼다. 미국 연방수사국(FBI)은 토요일 보고서에서 이 공격을 트레이더트레이터 소행으로 지목했다. 북한은 관련성을 부인했고 김정은 국무위원장의 여동생 김여정도 의혹을 일축했다.

사이버 보험 없었다…약관이 막는 길들

프로그램비즈니스는 블룸버그 로(Bloomberg Law) 보도를 인용해 바이낸스가 사이버 보험에 가입하지 못했다고 전했다. 다른 암호화폐 기업도 겪는 어려움이라는 설명이다. 바이낸스는 이사·임원 배상책임보험은 유지하고 있지만 보험 가입 상황에 대해서는 언급하지 않았다.

보험 상품의 구조도 걸림돌이다. 일반 범죄보험은 대체로 현금과 유가증권을 다루고 많은 사이버 보험은 디지털 자산 담보가 없으면 도난·이체된 자금을 면책한다. 브라운앤브라운(Brown & Brown)의 크리스토퍼 키건(Christopher Keegan)은 콜드 스토리지(오프라인 보관)에 있는 암호화폐는 스페시 보험으로 보장할 수 있다고 설명했다. 다만 인터넷에 연결된 핫월렛에서의 도난은 대개 제외된다고 그는 말했다.

국가 지원 해킹 면책 조항도 변수다. 프로그램비즈니스에 따르면 로이즈(Lloyd’s)는 2023년 3월부터 단독 사이버 보험에 일부 국가 지원 공격을 다루는 면책 조항을 넣도록 요구해 왔다. 바이낸스 사건이 이 기준에 해당하는지는 불분명하다. 래스럽 GPM의 앨러나 맥멀린 파트너는 국가 후원 사실만으로 보장이 자동 배제되는 것은 아니라고 지적했다.

모닝스타 DBRS의 마르코스 알바레스는 이 정도 규모의 손실은 기존 암호화폐 보험으로는 감당할 수 없다고 말했다. 여러 보험의 지급액을 합쳐도 모자란다는 얘기다. 그는 국가 귀속이 확인되면 보험사가 청구를 다투거나 거절할 수 있다면서도 대형 지정학적 손실에서 면책 조항이 실제로 효력을 발휘할지는 시험대에 오른 적이 없다고 설명했다.

자체 자금으로 보상…동결·세탁 현황

바이낸스는 이용자 보호 기금과 선물 보험 기금, 회사 재무 자금으로 보상 재원을 마련하고 있다. 사고 전 이용자 보호 기금은 약 10억 달러였다. 프로그램비즈니스에 따르면 바이낸스는 피해 자금의 약 95%를 메웠다고 밝혔다. 출금은 거의 이틀간 중단된 뒤 일요일에 재개됐고 월요일까지 순유출은 약 47억 달러에 달했다. 별도로 운영되는 바이낸스US는 영향이 없다고 보고했다.

블록체인 분석업체 엘립틱은 금요일 갱신한 보고서에서 도난액을 약 64억 3,000만 달러로 집계했다. 이 가운데 약 28억 5,000만 달러가 동결되거나 압류됐다. 대부분 테더와 서클 같은 발행사가 사고 직후 1시간 안에 묶은 스테이블코인이다. 엘립틱은 2025년 2월 바이비트 해킹 때 동결 비율이 약 3%였다고 비교했다.

나머지 약 31억 1,000만 달러는 사고와 연결된 주소에 남아 있다. 대부분 이더리움과 비트코인이며 엘립틱은 이 자금을 북한이 “매우 높은 가능성”으로 보유 중이라고 밝혔다. 세탁에는 1만 6,000개 가운데 아니라 16개 블록체인에 걸쳐 2만 개가 넘는 지갑과 최소 36개 서비스, 최소 6만 5,000건의 거래가 쓰였다. 엘립틱은 AI 에이전트가 움직인다는 추측에 대해 자동화는 분명하지만 AI의 판단을 보여주는 증거는 없다고 선을 그었다.

바이낸스는 서비스 복구를 이어가고 있다. 금요일에는 최신 지급준비금 증명 스냅숏의 영지식 증명으로 이용자가 잔고가 최소 1대 1로 뒷받침되는지 확인할 수 있다고 밝혔다. 복구된 네트워크의 모든 토큰 출금은 다음 주말까지 재개하는 것이 목표다.

보험사는 ‘바이낸스 노출도’부터 묻는다

크립토노미스트는 인수업자들이 암호화폐 기업의 보안과 바이낸스 노출 규모를 더 면밀히 들여다볼 것으로 전했다. 보험 철수보다는 갱신 때 질문이 까다로워지는 쪽이 중심이라는 설명이다. 갤러거의 데이비드 로저스 금융기관 부문 상무는 “보험사들은 바이낸스에 관한 질문을 할 것”이라며 “첫 질문은 아주 단순할 것이다. 바이낸스에 얼마나 노출돼 있고 그곳에 돈을 두고 있느냐는 것”이라고 말했다.

보험은 보통 1년 단위여서 갱신 시점에 인수업자가 위험을 재평가하고 추가 정보와 보안 요건을 요구할 수 있다. 마시의 재클린 퀸탈은 고객사가 비슷한 공격에 얼마나 노출돼 있는지 더 엄격한 점검을 받겠지만 보험 인수 여력과 가격, 보장 범위는 크게 달라지지 않을 것이라고 말했다. 리드 스미스의 피터 하디 변호사는 바이낸스 조사에서 특정 결함이 드러나면 보험사가 다른 곳에서도 그 약점을 보완하라고 요구할 수 있다고 내다봤다.

허릭의 앨런 라이언스는 이런 규모의 손실이 나면 피해 기업뿐 아니라 전체 암호화폐 포트폴리오를 다시 들여다보는 것이 보통이라고 설명했다. 총 노출액과 약관 문구, 개별 보장 한도가 점검 대상이다. 그는 문구가 촘촘해지고 면책이 분명해지는 것이 예측 가능한 대응이라고 말했다.

한편 핫월렛 관리 방식에 대한 질문도 남아 있다. 코인텔레그래프에 따르면 파이어블록스의 이단 오프랫은 거래소가 보통 며칠치 예상 출금액을 핫월렛에 두며 이는 운용 자산의 한 자릿수 초반 비율인 경우가 많다고 말했다. 인증업체 써틱의 조너선 리스는 외부에서는 거래소 간 비교가 사실상 어렵다고 말했다. 크립토노미스트에 따르면 암호화폐 시장 규모는 2조 5,000억 달러가 넘고 그랜드 뷰 리서치는 글로벌 암호화폐 보험 시장이 2026년 138억 달러에서 2033년 1,927억 달러로 커질 것으로 전망했다.