바이낸스 영향 자산 8조4600억원…아르케아 부정 이체 공개

바이낸스(Binance)의 보안 사고 영향 자산은 63억4000만달러(약 8조4600억원)로 집계됐다. 프랑스 은행 크레디 뮈튀엘 아르케아(Crédit Mutuel Arkéa)도 외부 서비스업체 플랫폼을 거친 공격으로 부정 송금을 당했지만 고객 자산에는 영향이 없었다.

바이낸스는 공격이 10월 30일 오전 5시5분(한국시간) 시작됐다고 밝혔다. 회사는 11월 3일 공개한 초기 조사 결과에서 공격자가 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차 밖에서 거래를 실행했다고 설명했다.

바이낸스가 공개한 조사 내용에는 허위 채용 면접과 악성코드 설치, 내부 AI 도구 침해를 거쳐 공격자가 지갑 운영 권한에 접근한 과정이 담겼다. 회사는 직원 기기와 내부 권한이 침해된 경위를 설명했다.

63억4000만달러는 최종 손실액이 아니라 사고로 영향을 받은 자산 규모다. 바이낸스는 10월 31일 기준 피해 토큰 자산의 98%를 보충했다고 알렸고, 이후 사고 영향 자산의 보충을 완료했다고 발표했다. 자산을 보충했다는 것은 공격자에게서 이를 되찾았다는 뜻이 아니다.

◇ 아르케아는 은행 자체 계좌 송금 공개

크레디 뮈튀엘 아르케아는 11월 4일 공개한 질의응답에서 공격자가 고객 계좌가 아닌 은행 자체 계좌를 이용해 다른 금융기관으로 자금을 보냈다고 밝혔다. 자금이 이후 전문 플랫폼에서 가상자산으로 전환됐을 가능성도 제시했다.

은행은 공격이 외부 서비스업체 플랫폼을 통해 이뤄졌고 자회사 포르투네오(Fortuneo)는 경로가 아니었다고 앞서 설명했다. 고객 자산에는 영향이 없었지만 일부 이체 처리는 지연됐다고 밝혔다.

은행은 질의응답에서 언급된 1억1800만유로를 확인하지 않고 피해 규모의 대략적인 수준만 인정했다. 일부 자금은 차단됐으며 나머지는 회수 중이라고 밝혔다.

미 법무부는 11월 12일 바이낸스 사건과 관련해 정부와 민간의 협력으로 27억달러(약 3조6000억원) 이상을 동결했다고 밝혔다. 이 가운데 12억달러(약 1조6000억원) 이상은 법원 승인을 받아 압류하거나 처분을 제한할 수 있게 됐으며, 반환 완료액은 아니다. 바이낸스의 동결·차단액과는 집계 시점과 주체가 다르고 일부가 겹칠 수 있어 합산할 수 없다.

두 사건의 공격 경로는 달랐다. 바이낸스는 내부 지갑 서명 권한과 직원 기기 침해 경위를 공개했고, 아르케아는 외부 서비스업체 플랫폼을 진입 경로로 지목했다. 두 기관의 발표만으로 기술적 공격 방식이 같다고 볼 근거는 없다.

◇ 금융기관의 사이버 위험과 AI 경고

유럽연합(EU)의 디지털 운영 복원력법(DORA)은 금융기관의 정보통신기술 위험 관리와 사고 보고, 외부 서비스업체 위험 관리를 규정한다. 이 법은 2025년 1월부터 적용되고 있다.

유럽중앙은행(ECB)은 7월 금융기관 최고경영자들에게 보낸 서한에서 AI 모델이 소프트웨어 취약점을 찾고 작동하는 공격 코드를 만드는 시간을 줄일 수 있다고 경고했다. 이는 AI 모델이 금융기관을 겨냥한 공격에 활용될 수 있다는 일반적인 위험을 짚은 것이다.

ECB는 취약점 보완과 공격 탐지 역량 강화, 외부 서비스업체 관리, 노후 기술 교체도 과제로 제시했다. 이는 금융기관 내부 시스템과 외부 접속 경로를 함께 관리해야 한다는 규제·감독 측면의 대응 항목이다.

유럽시스템리스크위원회(ESRB)는 고도 AI 모델이 단기·중기에는 공격자의 취약점 탐색과 공격 실행 속도를 높일 수 있다고 경고했다. 장기적으로는 방어 역량도 강화할 수 있다고 덧붙였다.

AI를 활용한 공격과 고객을 대신해 결제하는 AI 에이전트는 구분해야 한다. 산탄데르(Santander)와 마스터카드(Mastercard)는 3월 사전에 설정한 권한과 한도 안에서 AI 에이전트가 결제하는 시험을 진행했으며, 상용 서비스로 출시한 것은 아니라고 밝혔다.

바이낸스가 밝힌 내부 AI 도구 침해는 지갑 운영 권한에 접근한 과정의 일부다. 양사의 결제 시험이 이번 두 사고와 연결됐다는 내용은 발표에 담기지 않았다.