“자산 보전이 출금 정상화일까?”…비트플래닛(Bitplanet), 바이낸스 지급 능력 점검

가상자산 거래소의 건전성을 판단하려면 해킹 이후 발표한 자산 보전율과 고객의 실제 출금 가능 여부를 함께 살펴야 한다는 분석이 나왔다. 비트플래닛(Bitplanet) 리서치랩은 11월 4일 발행한 보고서에서 바이낸스의 사고 대응과 공개 지갑, 출금 현황을 분석하며 ‘자산 보전’이 곧 ‘지급 정상화’를 의미하지는 않는다고 진단했다. 보유 자산의 규모뿐 아니라 위기 상황에서 고객에게 자산을 돌려줄 수 있는 운영 역량이 핵심 평가 기준이라는 설명이다.

보고서에 따르면 10월 29일 오후 8시 5분(UTC) 리플 원장(XRP Ledger) 내 바이낸스 지갑에서 최초 자금 유출이 발생했다. 보고서가 인용한 바이낸스 발표상 피해액은 약 63억 달러로, 사고 직전 이용자 보호 기금(SAFU) 평가액인 약 12억 달러의 5배를 웃돌았다. 회사는 SAFU와 선물 보험기금 일부, 자체 자금을 투입해 11월 2일까지 도난액의 약 95%를 동일한 종류의 자산으로 재확보했다고 밝혔다.

비트플래닛은 이 과정에서 동결과 회수, 보전과 지급을 구분해야 한다고 강조했다. ‘동결’은 탈취 자산의 이동을 막는 조치이며 ‘회수’는 해당 자산을 실제로 돌려받는 절차다. 회사가 별도 재원으로 부족분을 채우는 것은 ‘보전’에 해당한다. 고객이 출금을 신청해 자산을 인출해야 비로소 ‘지급’이 완료된다. 따라서 보전율만으로 거래소의 회복 상태를 단정하기 어렵다는 분석이다.

실제 출금 접근성은 자산 보전 발표와 차이를 보였다. 보고서의 자체 집계에 따르면 11월 3일 오후 1시 43분(한국시간) 기준 바이낸스에서 출금이 허용된 가상자산은 27개였다. 준비금 증명(PoR) 대상 주요 10개 자산도 전체 자산·네트워크 조합 72개 가운데 23개에서만 출금할 수 있었다. 같은 가상자산이라도 전송에 사용하는 블록체인이 다르면 별도 조합으로 계산한 수치다.

비트플래닛(Bitplanet)은 보고서에서 준비금 증명이 특정 시점의 자산 보유와 고객 잔액 대비 뒷받침 수준을 보여주는 절차라고 설명했다. 거래소 전체의 잠재 부채와 재무 건전성을 인증하는 정밀 감사와는 범위가 다르다. 핫월렛 잔액 보충과 네트워크 검증에 시간이 필요한 만큼 출금 지연을 곧바로 자산 부족으로 해석할 수는 없다. 반대로 모든 지연이 운영 절차 때문이라고 단정하는 것도 경계했다.

손실 보전 재원의 성격 역시 점검 대상으로 제시됐다. 보고서에 따르면 11월 3일 오전 9시 31분(한국시간) SAFU 공개 주소에는 비트코인(BTC) 약 7,500개가 남아 있었다. 당시 시세로 약 5억 7,700만 달러이며, 같은 가격을 적용하면 회사가 제시한 10억 달러 재충전 목표까지 약 4억 2,300만 달러가 추가로 필요하다는 계산이다. 사고 전 공개 지갑 잔액 약 1,440억 달러에는 고객 예탁 자산이 포함돼 있어 회사가 손실 보전에 사용할 수 있는 자체 재원과 구별해야 한다고 지적했다.

시장 충격은 탈취 자산의 매도 여부와 별개로 나타났다는 해석이다. 보고서가 산출한 사건 발생일부터 사흘간 종가 기준 최대 낙폭은 비트코인(BTC) 5.0%, 이더리움(ETH) 4.9%였다. 보고서가 인용한 엘립틱의 11월 2일 집계에서는 최초 탈취된 비트코인 1만 8,270개가 이동하지 않은 상태였지만, 사건이 알려진 직후 1시간 동안 약 6억 2,770만 달러 규모의 파생상품 포지션이 강제 청산됐다. 비트플래닛은 초기 하락을 해킹 소식에 따른 투자심리 위축과 연쇄 청산의 영향으로 해석하면서도 두 요인의 기여도를 해당 자료만으로 분리하기는 어렵다고 덧붙였다.

보안 평가에서는 개인키 보관을 넘어 서명 승인 절차까지 확인해야 한다고 봤다. 보고서에 따르면 자금 유출에는 바이낸스 지갑의 유효한 서명이 동반됐으며, 회사는 개인키 자체가 외부로 탈취됐다는 증거를 발견하지 못했다고 발표했다. 공개 조사에서 침해 가능성이 지목된 영역은 비트코인 프로토콜이 아니라 거래소 내부 운영 환경과 서명 승인 시스템이었다. 비트플래닛은 키 유출 없이 승인 체계가 악용될 수 있다면 출금 요청부터 최종 승인까지 내부 통제 전반을 재점검해야 한다고 분석했다.

향후 관건은 출금 허용 범위가 넓어진 뒤에도 인출 요청을 원활하게 처리하는지다. 제한된 자산과 네트워크에서 집계한 순출금액만으로는 전면적인 인출 수요에 대응할 능력을 판단하기 어렵다. 보고서는 11월 4일 예정된 후속 준비금 집계와 함께 정상 출금이 가능한 조합의 확대 속도, 처리 지연 여부, 핫월렛 잔액 부족에 따른 중단 재발 여부를 확인할 지표로 제시했다. 탈취 자산의 거래소·장외 거래 창구 유입은 잠재 매도 압력을 살피기 위해 별도로 추적할 필요가 있다고 설명했다.

비트플래닛(Bitplanet)은 바이낸스의 건전성을 평가할 최종 기준으로 ‘실질적인 고객 지급 이행’을 제시했다. 자산 보전 이후에도 출금 수요를 감당하고 SAFU를 재충전하며 사고 원인에 대한 보안 개선을 마쳐야 재무적·운영적 회복을 판단할 수 있다는 것이다. 보고서 발행기관은 비트코인을 재무자산으로 보유하고 있어 주제 선정과 해석에 이해관계가 존재할 수 있다고 공개했다.