32억달러 남은 바이낸스 공격자 지갑…비트코인(BTC) 1만8270개

30일 오후 3시43분(한국시간) 기준 바이낸스(Binance) 공격자 연관 지갑에는 약 32억달러(약 4조2800억원)가 남아 있었다.

온체인 분석업체 비트쿼리(Bitquery)는 자금 추적 보고서에서 공격자 연관 주소의 이더리움(ETH) 잔액을 50만8621개, 비트코인(BTC) 잔액을 1만8270개로 집계했다. 비트코인은 19개 주소에 나뉘어 있었으며, 추적 시점까지 지출되지 않았다.

이더리움 잔액 전부가 바이낸스에서 직접 빠져나간 것은 아니다. 비트쿼리는 직접 유출량을 20만630개로 집계했으며, 나머지 약 30만8000개는 탈취한 스테이블코인과 다른 토큰을 바꿔 확보한 물량으로 분석했다.

비트쿼리는 같은 시점까지 공격자 연관 자산이 확인된 거래소·믹서·브리지로 이동한 흔적을 찾지 못했다. 이 추적 결과에는 오후 3시43분 이후의 이동이 포함되지 않는다.

바이낸스는 보안 사고 공지에서 전체 영향액을 약 63억달러(약 8조4200억원)로 추산했다. 본지는 앞서 바이낸스의 63억달러 규모 보안 침해를 보도했다.

비트쿼리는 9개 블록체인에서 약 63억달러가 유출된 것으로 집계했다. TRM 랩스(TRM Labs)는 10개 블록체인에서 탈취 당시 가격을 적용해 약 63억6000만달러(약 8조5000억원)를 산정했다. 두 기관의 조사 범위와 평가 기준이 달라 총액에도 차이가 있다.

바이낸스는 온체인 동결액을 약 30억달러(약 4조100억원)로 추산했다. TRM 랩스는 30일 오전 9시30분(한국시간) 기준 발행사와 아비트럼의 조치로 동결된 자산을 약 27억달러(약 3조6100억원)로 집계했다.

동결액은 집계 시점과 범위가 달라 두 수치를 더할 수 없다. 동결된 자산이 바이낸스에 반환되거나 이용자에게 배상된 것도 아니다.

아비트럼(Arbitrum) 보안위원회는 30일 오전 9시8분(한국시간) 공격자 연관 주소의 이더리움 8425개와 아비트럼(ARB) 7455만9805.2개를 별도 주소로 옮겨 잠갔다고 공지했다. 해당 자산은 아비트럼 DAO의 거버넌스 투표를 거쳐야 다시 이동할 수 있다.

테더와 서클의 스테이블코인은 발행사가 주소를 동결할 수 있지만, 비트코인에는 중앙 발행사가 없어 같은 방식의 조치를 취할 수 없다. 아비트럼 보안위원회가 옮겨 잠근 자산도 바이낸스에 반환된 것은 아니다.

빗썸(Bithumb)은 30일 오전 8시 공지에서 바이낸스로 가상자산을 출금할 때 유의하라고 안내했고, 필요하면 출금을 제한할 수 있다고 밝혔다. 업비트(Upbit)도 공식 텔레그램에 바이낸스 출금 주의 공지를 올렸다.

바이낸스는 초기 조사에서 DevOps 엔지니어의 노트북 침해가 서비스 컨테이너 접근과 무단 출금으로 이어졌을 가능성을 제시했다. 지갑 개인키가 유출된 증거는 찾지 못했다고 밝혔다.

바이낸스는 30일 후속 안내에서 입금은 정상 운영 중이고 출금은 보안 점검을 위해 일시 중단됐다고 밝혔다. 출금 서비스는 48시간 안에 재개될 것으로 예상한다고 덧붙였다.

바이낸스는 손실을 SAFU 기금과 회사 자금으로 부담하겠다고 밝혔다. 사고 원인을 담은 기술 보고서와 갱신된 준비금 증명은 조사와 복구가 끝난 뒤 공개할 예정이다.