바이낸스 63억6000만달러 유출…개인 지갑도 복구 문구·서명 위험

바이낸스에서 10월 29일 63억6000만달러(약 8조4842억원) 규모의 가상자산이 유출됐다. 거래소에 자산을 맡기지 않는 셀프 커스터디도 복구 문구 노출과 악성 서명, 물리적 위협에 취약할 수 있다.

블록체인 분석업체 TRM 랩스(TRM Labs)는 10개 블록체인에서 자산이 이동했고, 유출 물량 대부분이 약 20분 사이 옮겨졌다고 분석했다. 바이낸스의 사고 조사 보고서에서 공격자는 가짜 채용 면접을 통해 직원 컴퓨터에 악성 파일을 설치한 뒤 내부 지갑 서명 서비스에 접근한 것으로 설명됐다.

바이낸스는 11월 4일 피해액의 약 98%에 해당하는 토큰을 자체 자금으로 보충했다고 발표했다. 이는 탈취 자산을 해커에게서 되찾은 비율이 아니라 거래소가 손실을 메운 비율이다.

셀프 커스터디는 이용자가 개인키를 직접 관리하는 지갑 보관 방식이다. 거래소 운영자에게 보관 권한을 맡기지 않는 대신 지갑 접근과 복구 수단을 관리할 책임도 이용자에게 있다.

복구 문구가 다른 사람에게 넘어가면 지갑 통제권까지 잃을 수 있다. 하드웨어 지갑 업체 트레저(Trezor)는 고객지원 담당자를 포함해 누구에게도 복구 문구를 알려주지 말라고 안내한다.

지갑의 서명 절차도 위험 경로가 될 수 있다. 이용자가 거래나 메시지에 서명하면서 토큰 사용 권한을 잘못 승인하면 공격자가 그 권한으로 자산을 옮길 수 있다.

주소 오염 공격은 거래 내역에 실제 수신 주소와 비슷한 주소를 끼워 넣어 오송금을 유도한다. 송금 전 전체 주소를 확인해야 하는 이유도 이와 맞닿아 있다.

온라인 공격 외에 강압에 의한 지갑 접근도 위험 요인이다. 서틱(CertiK)은 2026년 상반기 전 세계에서 공개적으로 확인된 신체 위협 사건 52건과 관련해 금전 노출액을 1억2418만달러(약 1657억원)로 집계했다.

이 금액에는 탈취액뿐 아니라 몸값 요구액과 동결된 자산도 포함돼 피해 총액으로 볼 수 없다. 사건 건수와 금전 노출액은 서로 다른 지표다.

거래소와 개인 지갑은 사고 뒤 대응 주체가 다르다. 거래소에 자산을 맡긴 경우 손실 보전이나 출금 재개를 요구할 상대가 있지만, 실제 이행은 거래소의 재원과 대응에 달려 있다.

개인 지갑에서 이뤄진 송금은 대체로 되돌릴 수 없다. 자산 이동 경로를 추적하더라도 회수가 보장되지는 않는다.

창펑 자오(Changpeng Zhao) 바이낸스 공동창업자는 거래소 보관이 셀프 커스터디보다 통계적으로 안전할 수 있다는 견해를 밝힌 바 있다. 개인 지갑 사고가 모두 공개되거나 통계에 반영되는 것은 아니라는 점을 근거로 들었다.

거래소 보관이 모든 사고에서 더 안전하다고 단정하기도 어렵다. 거래소는 사업자의 보안 체계와 지급 능력에, 셀프 커스터디는 개인키와 기기, 서명 권한 관리에 위험이 집중된다.

미 법무부는 11월 12일 바이낸스 유출 자산 가운데 27억달러(약 3조6018억원) 이상이 동결됐으며, 그중 12억달러(약 1조6008억원) 이상에 대해 법원의 압류·처분 제한 허가를 받았다고 발표했다. 동결액과 법원 허가 대상액은 더해 계산할 수 없다.

동결 조치는 자산을 움직이지 못하게 한 상태를 뜻하며 피해자에게 반환됐다는 의미는 아니다. 보관 방식을 살필 때는 키를 누가 관리하는지와 사고 뒤 누가 대응할 수 있는지를 함께 봐야 한다.