창펑 자오, 바이낸스 사고 후 거래소 신뢰 문제 짚었다

창펑 자오(Changpeng Zhao) 바이낸스(Binance) 창업자가 옥스퍼드연합에서 바이낸스 보안사고 이후 거래소 신뢰와 사고 대응을 논의했다. 자오는 공격 경로를 사전에 막을 기회와 기본적인 보안 절차가 지켜지지 않은 점을 짚었다.

옥스퍼드연합(Oxford Union)은 자오와의 행사를 11월 3일로 공지했다. 행사 안내

공개된 대담과 질의응답에서는 보안사고에 이어 가상자산의 활용, 인공지능(AI), 규제와 금융 인프라가 다뤄졌다. 대화의 중심에는 사고 이후 거래소가 신뢰를 회복하려면 무엇을 설명하고 공개해야 하는지가 놓였다.

자오는 11월 3일 옥스퍼드연합 질의응답 영상에서 공격이 정교했다는 설명만으로 사고 원인을 모두 설명할 수 없으며, 사전에 막을 기회와 지켜지지 않은 기본 보안 절차도 있었다는 취지로 말했다.

그는 복잡한 정보 시스템의 안전을 100% 보장할 수는 없다는 입장도 밝혔다. 이 발언은 사고 후 대응과 함께 사고 전 통제 절차도 살펴야 한다는 논점으로 이어졌다.

◇ 영향액·동결액·보충률은 다른 수치

바이낸스는 초기 조사 보고서를 11월 3일 공개했다. 보고서에 따르면 10월 29일 사고로 약 63억4000만달러(약 8조5463억원) 규모의 가상자산이 영향을 받았다.

바이낸스는 이 가운데 약 28억5000만달러(약 3조8418억원)어치가 동결 또는 차단됐다고 밝혔다. 동결·차단액은 조정과 시장가격 변동에 따라 달라질 수 있다고 덧붙였다. 초기 조사 보고서

63억4000만달러는 사고 영향 규모이고, 28억5000만달러는 동결·차단 규모다. 동결·차단액은 이용자에게 반환된 금액과 같은 뜻이 아니다.

미국 연방수사국(FBI)은 10월 31일 북한이 이번 탈취를 저질렀다고 발표하고 해당 활동을 ‘TraderTraitor’로 지칭했다. FBI 발표

FBI 발표는 공격 주체에 관한 것이고, 바이낸스의 조사는 내부 보안 절차와 사고 경로를 다룬다. 바이낸스는 초기 보고서에서 조사를 계속하고 독립 보안업체의 추가 검토를 진행하겠다고 밝혔다.

자오는 앞서 달러 기준 피해액만으로 사고의 전체 영향을 판단하기 어렵다는 취지의 평가를 내놓기도 했다. 이번 대담에서는 피해 규모를 설명하는 데 그치지 않고 보안 절차와 이용자 자산 보호 문제를 다뤘다.

◇ 보충률은 탈취 자산 회수율과 달라

바이낸스는 11월 4일 업데이트에서 영향받은 자산의 약 98%를 보충했다고 밝혔다. 필요한 금액의 100%가 넘는 자체 자금도 마련했다고 설명했다.

바이낸스는 남은 2%는 유동성이 낮아 매입에 시간이 더 걸릴 수 있다고 했다. 회사가 밝힌 보충률은 거래소가 영향받은 자산을 채운 비율이다. 회복 업데이트

따라서 98% 보충은 탈취 자산의 98%를 회수했다는 의미가 아니다. 보충액과 회수액은 별도로 봐야 한다.

같은 업데이트에서 바이낸스는 준비금 증명(Proof of Reserves·PoR) 스냅샷 대상 자산을 10종에서 44종으로 늘렸다고 밝혔다. 스냅샷은 특정 시점의 보유 현황을 담는다.

바이낸스는 전체 영지식 증명을 생성하는 데 약 50~60시간이 걸릴 것으로 예상했다. 11월 6일 기준 확대된 증명의 완료 여부는 확인되지 않았다.