창펑 자오, 63억달러 해킹 뒤 업계 보안 협의체 제안

창펑 자오(Changpeng Zhao) 바이낸스 공동창업자가 오랫동안 해킹을 겪지 않은 기업일수록 보안에 방심하기 쉽다고 경고하며 업계 차원의 보안 협의체 구성을 제안했다. 지난달 말 바이낸스에서 약 63억달러(약 8조4672억원) 규모 자산이 탈취된 사고 직후 나온 발언이다.

자오는 충분한 자원을 방어에 투입하면 해킹은 막을 수 있다는 취지로 말했다고 Crypto Briefing은 전했다. 그가 내놓은 해법은 업계 공동 대응이다. 협의체는 업체 간 모범 사례를 공유하고, 감사를 실시하며, 사고가 터졌을 때 신속한 대응을 조율하는 구상이다. 아직 제안 단계다.

이번 발언의 배경인 바이낸스 사고는 역대 최대 규모의 가상자산 도난 사건으로 불린다고 Crypto Briefing은 전했다. 바이낸스는 11월 1일부터 점검을 마친 자산과 네트워크를 중심으로 출금을 단계적으로 재개했다. 바이낸스는 피해 규모의 약 95%를 보충했다고 발표했는데, 이 비율은 탈취 자산 회수율이 아니라 피해 자산을 다시 마련한 규모다.

공격 경로는 화려한 스마트컨트랙트 공격이 아니라 사람을 노린 방식이었다. Crypto Briefing은 이번 사고가 북한 연계 조직 TraderTraitor의 캠페인과 연결돼 있다고 전했다. 공격자는 DevOps 엔지니어 한 명을 겨냥해 가짜 채용 절차로 노트북을 감염시켰고, 이 과정에서 내부 AI 도구가 악용된 것으로 보도됐다.

바이낸스는 10월 30일 공지에서 안전 점검을 위해 출금을 일시 중단하고, 사고 손실은 이용자 보호 기금과 회사 자금으로 부담하겠다고 밝혔다. Crypto Briefing은 바이낸스가 지갑 개인키가 유출되지 않았다고 밝혔다고 전했다.

자오의 협의체 구상은 이런 공격의 성격과 맞닿아 있다. 바이낸스는 올해 북한 연계 의심 위협 57건을 탐지했다고 보고했다. Crypto Briefing은 북한 조직이 여러 표적에 걸쳐 조직적으로 움직이는 반면 피해 업체는 홀로 방어하는 경우가 많다고 짚었다. 한 거래소에서 포착한 가짜 채용 시도가 몇 시간 안에 업계 전체에 공유될 수 있다는 것이 이 매체의 설명이다.

피해 규모와 대응 수치는 서로 다른 개념이다. 탈취된 약 63억달러 가운데 28억5000만~30억달러(약 3조8304억~4조320억원)가 공격 이후 동결되거나 압수됐다고 Crypto Briefing은 전했다. 바이낸스는 이용자 손실을 회사 자금과 이용자 보호 기금 SAFU, 보험으로 전액 보전하겠다고 밝혔다. 동결·압수액은 회수가 끝난 금액이 아니고, 손실 보전 방식과도 별개의 수치다.

시장 충격은 제한적이었다. 이 매체는 비트코인(BTC) 가격에 미친 영향이 미미했다고 전했다.

AI는 이번 발언의 또 다른 축이다. Crypto Briefing은 AI가 공격자의 정교한 가짜 채용 담당자 메시지 작성에 쓰일 수 있고, 기업이 내부에 도입한 AI 도구가 오히려 공격에 이용될 수도 있다고 지적했다. 직원이 쓸 수 있는 도구와 그 도구의 접근 범위가 방화벽 규칙만큼 중요해졌다는 것이다.

협의체 구성 일정이나 참여 업체는 공개되지 않았다.