바이낸스 63억 달러 해킹: 사상 최대 암호화폐 도난과 30억 달러 동결
세계 최대 암호화폐 거래소 바이낸스는 10월 30일 보안 침해로 인한 추정 피해가 약 63억 달러에 달하며, 그중 약 30억 달러 규모의 관련 자산이 지금까지 동결됐다고 밝혔다. 이 추정치가 맞다면 이는 역대 최대 암호화폐 도난 사건으로, 이전의 모든 거래소 도난을 뛰어넘으며 단 하룻밤의 자금 유출로 발생했다. 바이낸스는 긴급 SAFU 기금과 회사 자금으로 모든 손실을 보상하겠다고 약속했고, 이용자 자금은 안전하다고 밝혔다. 앞으로 며칠은 그 약속과 동결 조치가 충분한지를 시험할 것이다.
자금 유출은 미국 시간 10월 29일 저녁에 시작됐다. 온체인 추적 기관에 따르면, 단 한 건의 거래로 Binance 14로 표시된 핫월렛에서 167,464 이더, 약 16억 달러 상당의 USDT, 수십 종의 다른 토큰이 빠져나갔고, 몇 분 안에 다른 핫월렛에서도 송금이 이어졌다. 체이널리시스는 이후 최소 59억 1,200만 달러가 도난된 것을 확인했다고 밝혔으며, 자금은 비트코인, 이더리움, 트론, 리플, 여러 레이어2 네트워크를 이동했다. 바이낸스 자체는 추정 총 피해액을 약 63억 달러로 제시했는데, 여기에는 이미 사라진 돈뿐 아니라 더 이동하기 전에 동결된 자산도 포함된다. 이 구분이 중요하며, 초기 보도가 33억 달러에서 60억 달러 가까이까지 달랐던 이유이기도 하다. 추적 기관마다 세는 대상이 달랐던 것이다.
바이낸스의 초기 조사는 DevOps 엔지니어의 노트북이 침해돼 공격자가 서비스 컨테이너에 접근해 무단 출금 거래를 제출할 수 있었을 가능성을 가리킨다. 바이낸스는 지갑 개인키 유출 증거를 찾지 못했다고 밝혔고, 관련 주소의 권한을 철회했다. 이 설명은 잠정적인 것으로 받아들여야 한다. 조사는 계속되고 있으며, 다른 보안 업체들은 이더리움의 EIP-7702 위임 기능과 관련된 다른 기술적 해석을 제시했다. 바이낸스는 그 방식을 확인하지 않았고, 공격자도 공식적으로 확인되지 않았다. 논란의 여지가 없는 것은 운영 대응이다. 입출금이 일시 중단됐고, 법 집행기관과 블록체인 정보 파트너가 참여했으며, 스테이블코인 발행자들이 신속히 움직였다.
동결은 이 사건에서 가장 고무적인 부분이자 가장 쉽게 오해되는 부분이기도 하다. 테더는 15억 7,000만 달러가 넘는 USDT를, 서클은 8억 달러가 넘는 USDC를 동결했고, 바이낸스에 따르면 리플은 약 2억 달러를 동결했다. 아비트럼 보안위원회는 별도로 이번 사건과 관련된 7,456만 ARB 토큰을 동결 지갑으로 옮겼다. 그러나 동결이 곧 회수를 의미하지는 않는다. 동결은 토큰 이동을 막을 뿐이며, 거래소로, 다시 이용자에게 돌려주는 과정은 발행자, 법원, 법 집행기관을 거쳐야 하고 수주가 걸릴 수 있다. 바이낸스 자체가 확인한 동결 총액은 밤사이 25억 4,000만 달러에서 약 30억 달러로 늘었는데, 이는 추적이 끝난 것이 아니라 자금 흐름을 따라잡고 있는 중임을 시사한다.
시장은 거래소 침해 때 흔히 그렇듯 반응했지만, 규모만 더 컸다. 로이터에 따르면 비트코인은 약 3% 하락해 76,469.82달러로 6주 최저치를 기록했고, 이더는 3% 넘게 하락해 2,185.83달러가 됐다. 규모를 분명히 말할 가치가 있다. TRM Labs에 따르면 2025년 한 해 동안 약 150건의 암호화폐 공격으로 29억 달러가 도난됐다. 바이낸스 사건 한 건으로 몇 시간 만에 그 연간 총액의 약 두 배가 빠져나갔을 수 있다. 이는 암호화폐 보안에서 평범한 나쁜 하루가 아니라, 한 번의 침해가 초래할 수 있는 비용의 새로운 상한이다.
같은 날 별개의 두 번째 사건이 발생했는데, 이와 섞어서는 안 된다. 폴리마켓 국제 거래소는 제3자 제공자를 통해 로드된 악성 코드가 이용자 계좌를 털자 주문 취소 전용 모드로 전환됐으며, 온체인 추적 기관은 손실을 약 260만~270만 달러로 추산한다. 폴리마켓은 제공자가 침해됐다고 밝혔고, 법 집행기관에 사건을 넘겼으며, 피해 이용자를 전액 보상하겠다고 약속하고 거래를 재개했다. 두 사건이 관련됐다는 증거는 없으며, 규모도 세 자릿수나 차이 난다. 둘을 혼동하면 한 사건은 과장되고 다른 사건은 축소된다.
다음에 일어날 일은 측정 가능하며, 그래서 단순히 반응하기보다 지켜볼 가치가 있다. 공동창업자 이허는 바이낸스가 48시간 안에 출금 재개를 시작하는 것을 목표로 한다고 말했다. 바이낸스는 조사가 끝나면 상세한 기술적 사후 분석을, 복구가 끝나면 업데이트된 준비금 증명을 공개하겠다고 약속했다. 이 세 가지 결과물 — 출금이 실제로 재개되는 것, 노트북에서 컨테이너로 이어지는 경로를 검증 가능한 세부 내용으로 설명하는 사후 분석, 격차가 메워졌음을 보여주는 준비금 증명 — 이 시험대다. 예정대로 나온다면, 이 사건은 기록적인 규모의 도난조차 신속한 동결로 억제할 수 있음을 보여주는 사례가 될 것이다. 출금 일정이 미뤄지거나 사후 분석이 모호하게 남는다면, 63억 달러라는 숫자 자체보다 그 뒤에 남은 미해결 질문이 더 중요해질 것이다. 어떻게 이 정도 규모의 무단 출금이 세계 최대 거래소의 통제를 통과할 수 있었는가 하는 질문이다.