바이낸스 해킹 영향액 63억4000만달러…롤백 놓고 찬반

바이낸스 해킹으로 63억4000만달러(약 8조6300억원) 규모의 디지털자산이 영향을 받았다. 공격 뒤 거래 기록을 되돌리는 롤백을 예외적으로 허용할지를 두고 논쟁이 이어졌다.

바이낸스는 초기 조사 보고서에서 사고 영향액을 63억4000만달러로 집계했다. 회사는 10월 31일 기준 영향을 받은 토큰 자산의 98%를 보충했다고 밝혔다. 보고서에는 동결 또는 차단된 자산이 약 28억5000만달러(약 3조8800억원)라고 적혔다. 보충 비율은 도난 자산의 회수율과 다른 지표다.

TRM랩스(TRM Labs)는 공격자가 10개 블록체인에서 약 63억6000만달러(약 8조6600억원) 상당의 자산을 이동했다고 추적했다. TRM랩스가 기록한 최초 자산 이동 시각은 10월 30일 오전 5시 5분께(한국시간)다. 바이낸스의 사고 영향액과 TRM랩스의 추적액은 집계 기준이 달라 같은 지표로 볼 수 없다.

바이낸스는 공격자가 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차 밖의 거래를 실행했다고 설명했다. 바이낸스는 이더리움에서 EIP-7702 권한 위임이 악용됐으며, 지갑 개인키가 유출됐다는 증거를 찾지 못했다고 밝혔다. 사고와 관련한 바이낸스의 EIP-7702 위임 해제 과정은 본지에서 앞서 다뤘다.

로렌초 발렌테(Lorenzo Valente) 아크인베스트(ARK Invest) 디지털자산 리서치 책임자는 10월 30일 X 게시물에서 “검증자 차원의 조정과 롤백을 논의 테이블에 올려야 한다”고 썼다. 그는 극단적 위기에 대비해 2~3년간 한시적인 ‘강화 기간’을 두자고 제안했다. 위기 때 네트워크가 어떤 대응 권한을 가질 수 있는지 논의하자는 주장이다.

오미드 말레칸(Omid Malekan) 컬럼비아대 경영대학원 겸임조교수는 같은 날 X 게시물에서 “블록체인이 중립성을 훼손하는 순간 버튼 달린 데이터베이스가 된다”고 반박했다. 그는 롤백 권한을 누가 어떤 기준으로 행사할지 문제를 제기했다.

발렌테는 앞서 가상자산 해킹 손실이 이용자에게 전가될 수 있다고 주장한 바 있다. 이번 제안은 해킹 피해의 비용을 넘어 위기 상황에서 네트워크가 어디까지 개입할 수 있는지를 다룬다.

두 사람의 발언은 개인 의견이며 네트워크의 공식 결정은 아니다. 롤백은 개별 서비스를 통해 거래를 취소하는 것과 달리, 확정된 체인의 상태나 적용 규칙을 바꾸는 문제와 연결된다.

◇ 동결·자산 이동은 롤백과 다르다

테더(Tether)는 해킹과 관련해 15억달러(약 2조200억원) 이상의 USDT를 동결했다고 밝혔다. 서클(Circle)은 약 11억달러(약 1조5000억원) 규모의 유에스디코인(USDC)을 동결했다고 발표했다.

각 동결액과 바이낸스가 집계한 동결·차단액은 대상과 집계 시점이 다르다. 이 수치를 더해 회수액이나 최종 피해액으로 해석할 수는 없다. 특정 주소의 토큰을 동결하는 조치는 전체 체인의 과거 거래 기록을 바꾸지 않는다.

아비트럼(ARB) 보안위원회는 공격자 주소에 있던 이더리움(ETH) 8425.997개와 아비트럼 74,559,805.2개를 별도 주소로 옮겼다. 이는 공격자 주소의 특정 자산을 이동한 조치다.

바이낸스는 11월 5일 동결 자산을 돌려받기 위한 DAO 거버넌스 제안을 아비트럼 포럼에 냈다. 제안은 포럼 토론과 Snapshot 의견 확인, 온체인 투표를 거치는 절차를 담았다. 문서는 절차에 약 49일이 걸릴 것으로 예상했으며, 법적 절차가 진행되면 더 길어질 수 있다고 밝혔다.

이 제안은 특정 자산의 반환 여부를 정하는 절차다. 체인 전체의 거래 기록을 되돌리는 롤백과는 대상과 결정 방식이 다르다.

◇ 2016년 DAO 사건이 남긴 선례

이더리움은 2016년 DAO 스마트계약이 공격받은 뒤 하드포크를 진행해 관련 자산을 복구 계약으로 옮겼다. 이더리움 재단은 당시 하드포크가 완료됐다고 기록했다. 기존 규칙을 유지한 참여자들은 이더리움 클래식 체인을 이어갔다.

이더리움 공식 거버넌스 문서는 당시 투표 참여율과 대표성을 둘러싼 논란을 설명한다. 문서는 현재 커뮤니티가 계약 오류나 자산 분실에 개입하지 않는 정책을 택했다고 밝힌다. DAO 사건은 스마트계약 공격이었고, 이번 바이낸스 사고는 거래소의 지갑 서명 서비스가 공격받은 사례여서 두 사건의 조건과 대응 절차는 다르다.