가상자산 보안 손실 80억달러…바이낸스 사고 빼면 작년과 비슷

2026년 가상자산 보안 사고 손실액이 80억달러(약 10조7520억원)를 넘어섰다. 그레이스케일은 바이낸스 보안 사고가 연간 손실을 끌어올렸지만, 전체 가상자산 시가총액 대비 손실 비중은 장기적으로 낮아졌다고 분석했다.

잭 팬들(Zach Pandl) 그레이스케일 리서치 책임자는 3일 공개한 분석글에서 “가상자산 시가총액 대비 보안 손실 비중은 장기적으로 크게 낮아졌다”고 말했다. 그레이스케일은 장기 추이를 제시했지만, 올해 해당 비율을 구체적인 숫자로 밝히지는 않았다.

총손실액은 사고로 영향을 받은 달러 금액이고, 시가총액 대비 비중은 이를 전체 가상자산 시장 가치와 견준 값이다. 두 지표는 분자와 분모의 움직임에 따라 서로 다른 흐름을 보일 수 있다.

그레이스케일은 바이낸스 사고를 제외한 2026년 손실액이 지난해와 비슷한 수준이라고 분석했다. 올해 누적 손실이 80억달러를 넘어선 데에는 바이낸스 사고가 큰 영향을 미쳤다는 설명이다.

그레이스케일 분석글에는 사고일이 10월 19일로 적혀 있다. 바이낸스 초기 조사 보고서는 발생일을 10월 29일로 밝혔다. 한국시간 날짜는 30일이다.

바이낸스는 초기 조사 보고서에서 사고로 약 63억4000만달러(약 8조5210억원) 규모의 디지털 자산이 영향을 받았다고 밝혔다. 이 수치는 사고 영향 규모이며, 최종 손실액이나 회수액과 같은 뜻은 아니다.

바이낸스는 10월 31일 기준 영향받은 토큰 자산의 98%를 보충했다고 밝혔다. 그레이스케일은 영향을 받은 자산의 95%가 보전됐다고 썼다. 집계 시점과 지표 표현이 달라 두 수치를 같은 비율의 변화로 해석할 수는 없다.

바이낸스는 11월 3일 기준 약 28억5000만달러(약 3조8304억원)를 동결하거나 이동을 차단했다고 밝혔다. 그레이스케일은 테더(Tether)와 서클(Circle) 등 스테이블코인 발행사가 탈취 자금 약 29억달러(약 3조8976억원), 전체의 약 45%를 동결했다고 전했다. 집계 주체와 표현이 다른 두 수치를 합산하거나 차감해 최종 회수액을 계산할 수는 없다. 본지는 앞서 사고 영향액과 동결·차단액을 별개 지표로 다뤘다.

바이낸스는 고객이 손실을 부담하지 않도록 회사가 재정적 영향을 감당하겠다고 밝혔다. 보전에 필요한 금액의 100%를 넘는 자금을 이미 따로 마련했다고 설명했다. 고객 자산 보충률은 탈취 자금 회수율과 구분해야 한다.

바이낸스는 공격자가 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차 밖에서 거래를 실행했다고 설명했다. 공격자는 이 과정에서 이더리움의 EIP-7702 권한 부여 기능을 이용해 핫월렛의 일부 실행 권한을 악성 스마트컨트랙트에 넘겼다.

바이낸스는 공격에 사용된 접근 경로를 차단하고, 공격 경로에 노출된 시스템을 재구축하거나 교체했다고 밝혔다. 기기 접근 통제와 지갑 서비스 위험 관리, AI 기반 이상행동 탐지도 강화했다.

금융위원회는 11월 2일 금융감독원, 금융보안원, DAXA, 주요 가상자산사업자와 긴급회의를 열어 국내 시장 영향과 사업자 대응체계를 점검했다. 금융위는 콜드월렛 비중 확대와 입출고 상시 모니터링, 비정상 접근 시도에 대한 신속한 정보 공유, 준비금 추가 적립 등을 당부했다.

콜드월렛은 인터넷과 분리된 환경에 가상자산을 보관하는 지갑이다. 금융위가 당부한 조치는 사업자별로 이미 시행됐다는 뜻이 아니라, 점검 과정에서 요청한 보안 강화 항목이다.

그레이스케일은 3일 분석글에서 이번 사고가 단기적으로 시장 신뢰를 흔들 수 있지만, 장기적으로 거래소 보안 관행을 강화하는 계기가 될 것으로 내다봤다. 팬들은 미국 가상자산 상장지수상품(ETP)의 분리 보관, 오프라인 저장, 다중 서명 지갑을 기관 수탁의 사례로 들었다.

바이낸스는 독립된 외부 보안업체의 종합 검토를 진행해 조사 결과를 검증하고 추가 조치를 권고받을 계획이라고 밝혔다. 회사는 조사 진행에 따라 추가 정보를 공개하겠다고 했다.