바이낸스 해킹에 고객 잔고 뒷받침한 지갑 털려…이더리움 준비금 6% 부족 추정

바이낸스 해킹으로 털린 지갑에 고객 잔고를 뒷받침하는 암호화폐가 담겨 있었던 것으로 나타났다. 탈취 자산을 보충하기 전까지 일부 암호화폐의 준비금이 고객 잔고를 밑돌 가능성이 제기됐다.

10월 30일 코인데스크에 따르면 바이낸스가 공개한 준비금 자료를 분석한 결과 29일 목요일 해킹으로 자산이 빠져나간 지갑들은 고객 암호화폐를 전액 보유하고 있다는 근거로 제시한 지갑과 일치했다. 이에 따라 이더리움 등 일부 암호화폐의 고객 잔고 대비 준비금 비율이 100% 아래로 떨어졌을 가능성이 크다. 이더리움 준비금 부족분은 약 6%로 추정된다.

준비금 증명에 포함된 지갑서 자산 유출

바이낸스는 매달 관리 중인 지갑과 보유 자산 목록을 공개하고 이를 플랫폼 내 고객 잔고와 비교한다. 가장 최근 자료인 10월 1일 자 준비금 증명에는 이번 공격의 중심에 있던 핫월렛 '바이낸스 14'가 포함됐다. 당시 이 지갑은 37종의 암호화폐를 보유했다. 여기에는 12억6000만 USDT와 8만9475 ETH가 들어 있었다.

공격자는 지갑이 소프트웨어에 제어 권한을 위임할 수 있도록 하는 이더리움 기능 EIP-7702를 이용했다. 바이낸스 14의 키로 권한 위임에 서명하도록 한 뒤 해당 지갑에 들어오는 자금을 공격자 주소로 자동 전송하게 만들었다. 이더스캔에는 UTC 기준 오후 8시 24분이자 미국 동부시간 오후 4시 24분에 바이낸스 14에서 16만7464 ETH가 공격자 지갑으로 이동한 것으로 나타났다. 이어 바이낸스 16에서도 2만8006 ETH가 같은 지갑으로 전송됐다. 약 15분 뒤에는 약 4억4200만 달러 상당의 19만5460 ETH가 두 번째 주소로 옮겨졌다.

손실을 흡수할 준비금 여유는 크지 않았다. 10월 1일 기준 바이낸스의 이더리움 준비금 비율은 고객 잔고와 정확히 같은 100%였으며 USDC 준비금 비율은 약 108%였다. 탈취된 이더리움 약 20만4500 ETH는 전체 이더리움 준비금의 약 5.6%에 해당해 탈취 후 준비금 비율은 약 94%로 추정된다. 공격자가 탈취한 물량이 상대적으로 적은 ENA, UNI, PEPE, AAVE도 각각 바이낸스가 공개한 해당 암호화폐 보유량의 7~15%를 차지한다.

탈취 자금 동결…다음 준비금 공개서 보충 여부 확인

바이낸스와 이허 바이낸스 공동 최고경영자는 이용자 자금이 안전하다고 밝혔다. 이는 고객 잔고를 뒷받침하던 자산을 도난당했더라도 고객 잔고에 대한 지급 의무를 이행하겠다는 의미다. 창업자 자오창펑도 이용자들이 전액 보전받을 것으로 예상한다고 밝혔다.

스테이블코인 발행사들은 탈취 자금 상당액을 동결했다. 파올로 아르도이노 테더 최고경영자는 15억6700만 USDT 이상을 동결했다고 밝혔다. 자오창펑은 서클이 동결한 USDC 규모가 약 8억2300만 달러라고 전했다. 리플도 약 2억 달러의 자산을 동결했으며 월드 리버티 파이낸셜은 자사 스테이블코인 USD1 약 2700만 달러어치를 동결했다.

바이낸스의 긴급기금 SAFU는 비트코인 약 10억 달러어치를 보유하고 있어 손실 보전에 활용할 수 있다. 다음 준비금 집계 기준일은 11월 1일이다. 해당 자료를 통해 탈취 자산을 이미 보충했는지 확인할 수 있을 전망이다. 바이낸스 관계자는 논평 요청에 즉각 답하지 않았다.