바이낸스, 해킹 영향액 63억4000만달러(약 8조6034억원)로 집계

바이낸스(Binance)는 10월 30일 오전 5시 5분(한국시간) 시작된 핫월렛 사고로 약 63억4000만달러(약 8조6034억원) 상당의 가상자산이 영향을 받았다고 밝혔다. 핫월렛은 온라인 거래에 이용되는 가상자산 지갑이다.

바이낸스는 11월 3일 공개한 초기 조사에서 공격자가 내부 지갑 서명 서비스에 무단 접근해 통상적인 출금 절차 밖에서 거래를 실행했다고 설명했다. 사고는 거래소의 내부 권한 관리와 고객 자산 보관 절차를 다시 살피게 했다.

바이낸스는 가짜 채용 면접과 악성 개발 도구, 직원 기기 침해, 내부 AI 도구 악용이 공격 경로에 포함됐다고 밝혔다. 초기 공지에서는 지갑 개인키가 유출됐다는 증거를 찾지 못했다고 설명했다.

사고 규모는 바이비트(Bybit)가 2025년 2월 발표한 해킹 손실 14억6000만달러(약 1조9812억원)를 웃돈다. 다만 두 거래소의 사고만으로 업계 전체의 해킹 피해가 계속 커지는 추세라고 단정할 수는 없다.

체이널리시스(Chainalysis)는 이번 사고의 유출액을 약 64억달러(약 8조6848억원)로 추산했다. 바이낸스 발표액과 차이를 만든 집계 범위와 가격 평가 기준은 두 원문에서 확인되지 않는다.

◇ 피해 자산과 고객 잔액 보충

바이낸스는 11월 3일 기준 약 28억5000만달러(약 3조8675억원)를 동결하거나 이동을 차단했다고 밝혔다. 체이널리시스도 11월 3일 기준 동결액을 약 28억달러(약 3조8000억원)로 집계했다.

테더(Tether)는 사고와 관련한 테더(USDT) 15억달러(약 2조355억원) 상당을 동결했다고 발표했다. 세 수치에는 겹치는 자산이 있을 수 있어 합산하거나 고객에게 반환된 금액으로 계산할 수 없다. 본지는 앞서 사고 관련 주소에서 USDT0 619만개가 동결된 사례를 보도했다.

바이낸스는 11월 4일 영향받은 토큰 자산의 약 98%를 회사 자금으로 보충했다고 공지했다. 이는 고객 잔액을 채운 비율이지 탈취 자산의 회수율은 아니다.

출금은 11월 1일부터 단계적으로 재개됐다. 바이낸스는 11월 6일 추가 자산의 출금도 보안 점검을 거쳐 순차적으로 재개한다고 공지했다.

출금 재개 후 첫 9시간 30분 동안 바이낸스가 공개한 출금액은 46억4900만달러(약 6조3087억원), 입금액은 10억1000만달러(약 1조3706억원)였다. 이 기간 순유출은 약 36억4000만달러(약 4조9395억원)였다.

바이낸스는 11월 3일 정오(한국시간)께 시간당 입금액이 출금액을 넘어섰다고 밝혔다. 별도로 같은 날 오후 1시(한국시간)까지 집계한 누적 순유출은 52억7600만달러(약 7조1595억원)였다.

이 입출금 수치는 거래소의 자금 흐름을 보여준다. 고객 신뢰도를 직접 측정한 조사로 볼 수는 없다.

◇ 거래소 보관과 제도권 수탁

미국 증권거래위원회(SEC)는 2024년 1월 비트코인(BTC) 현물 상장지수상품(ETP)의 상장과 거래를 승인하면서도 수탁 방식을 승인한 것은 아니라고 명시했다. 상장지수상품은 거래소에서 주식처럼 거래되는 상품이다.

미국 통화감독청(OCC)은 2025년 적절한 위험 관리 아래 은행의 가상자산 수탁과 거래 실행, 제3자 위탁이 가능하다고 밝혔다. 두 당국의 조치는 거래소 계정에 자산을 보관하는 방식과 기관 수탁을 제공하는 상품을 구분해 볼 필요성을 보여준다.

그레이스케일(Grayscale)은 이번 사고가 기관 수탁의 중요성을 부각한다고 평가하고, 기관 수탁을 제공하는 상장 ETP를 투자 경로의 하나로 제시했다. 이는 자산운용사의 분석이다. 본지는 앞서 바이낸스 해킹 뒤 내부통제 작동 여부를 시험해야 한다는 대만 전문가의 제언을 전했다.

바이낸스는 11월 3일 초기 조사 업데이트에서 독립 보안 전문가의 검토를 진행하겠다고 밝혔다.