바이낸스 63억달러 무단 출금에 금융위, 국내 거래소 보안 점검

금융위원회가 바이낸스(Binance)의 63억달러 무단 출금 사고를 계기로 2일 국내 가상자산 거래소 관계자들을 불러 보안 점검 회의를 열었다. 자산 보관 비율과 함께 거래 승인 절차도 살펴야 한다는 지적이 나왔다.

회의에는 업비트·빗썸·코인원 등 원화 거래소와 코인마켓 거래소 관계자들이 참석했다. 금융위는 보안 관리 현황과 이용자 자산 보호 방안을 논의했으며, 회의 개최와 참석 범위는 블록미디어가 전했다.

바이낸스는 10월 30일 공지에서 핫월렛 침해로 약 63억달러(약 8조4105억원) 규모의 자산이 무단 인출됐다고 밝혔다. 개인키가 유출됐다는 증거는 찾지 못했다고 설명했다.

바이낸스는 초기 조사에서 직원 노트북 침해 가능성을 제시했지만, 후속 조사에서 다른 침입 지점도 발견해 전체 공격 경로를 살펴보고 있다고 밝혔다. 상세한 사고 경위 보고서는 아직 공개되지 않았다.

타이거리서치(Tiger Research)는 10월 30일 보고서에서 공격자가 일반 출금 요청 대신 이더리움(ETH)의 권한 위임 기능인 EIP-7702를 이용해 거래 승인 절차를 우회했다고 분석했다.

EIP-7702는 지갑 소유자가 지정한 프로그램에 거래 권한을 맡길 수 있게 하는 기능이다. 타이거리서치는 공격자가 수신 주소와 금액이 적히지 않은 위임장에 서명을 받아 출금 검사를 피한 것으로 봤다.

블록미디어가 전한 보고서 내용에 따르면 공격자는 일련번호를 달리한 위임장 50건을 제출했고, 지갑의 거래 일련번호와 맞은 1건이 효력을 얻었다. 위임장에 포함된 일련번호가 지갑 상태와 일치해야 권한이 실행되는 구조를 노린 것으로 분석됐다.

윤승식(Yoon Seung-sik) 타이거리서치 선임연구원은 “최근 대형 거래소 해킹은 개인키를 직접 탈취하기보다 거래 승인과 서명을 처리하는 시스템을 노리는 방식으로 진화하고 있다”고 말했다. 그는 바이비트와 DMM 비트코인 사고에서도 직원을 속이거나 내부 시스템에 접근해 승인 절차를 악용하는 수법이 사용됐다고 설명했다.

국내 규정은 이용자 가상자산의 80% 이상을 인터넷과 분리된 콜드월렛에 보관하도록 한다. 다만 콜드월렛 비율은 온라인에 연결된 핫월렛이나 내부 거래 승인 시스템의 안전성을 보여주는 지표가 아니다.

콜드월렛은 자산을 오프라인 상태로 보관하는 지갑이고, 핫월렛은 입출금 등을 위해 온라인에 연결해 쓰는 지갑이다. 콜드월렛 비율이 높더라도 핫월렛이나 승인 체계가 침해되면 이용자 자산이 위험에 놓일 수 있다.

업비트는 지난해 11월 고객 자산의 98% 이상을 콜드월렛에 보관한 상태에서 핫월렛의 솔라나(SOL) 계열 자산 약 445억원을 탈취당했다. 블록미디어는 당시 공격자가 54분 만에 24종의 자산을 빼냈다고 보도했다.

거래소의 내부 접근 통제를 둘러싼 사고도 이어졌다. 빗썸에서는 고객 6444명과 임직원 715명의 정보가 유출됐고, 프라뱅은 개인정보 유출에 이어 핫월렛 자산까지 탈취당해 서비스 중단을 선언했다. 고팍스에서도 비정상 접근으로 정보가 유출됐다.

2026년 9월 말 국내 5대 원화 거래소의 고객 자산은 총 80조4175억원이었다. 5곳은 모두 법정 콜드월렛 보관 비율을 충족했지만, 핫월렛에 보관된 자산도 수조원 규모였다.

사고 이후 이용자 손실을 보전할 재원도 쟁점이다. 본지는 앞서 국내 5대 원화 거래소의 고객 자산과 보험·준비금 격차를 다뤘다. 당시 집계된 자체 준비금과 보험 보상한도 합계는 1854억원으로 고객 자산의 약 0.23%였다.

거래소별 재원은 차이가 컸다. 업비트는 자체 준비금 800억원을 보유했고, 고팍스는 자체 준비금 없이 보험 보상한도 30억원의 보험에 가입했다. 보험 보상한도는 회사가 즉시 집행할 수 있는 자체 준비금과 성격이 다르며, 손해배상 책임의 상한을 뜻하지도 않는다.

민병덕(Min Byeong-deok) 더불어민주당 의원은 “디지털자산 기본법 입법 과정에서 거래소 체급에 맞는 최소 보상 기준과 실효성 있는 준비금·보험 기준을 명확히 세워야 한다”고 말했다. 거래소 보안 점검에서는 자산 보관뿐 아니라 승인 권한과 사고 후 피해 보전 재원도 함께 검토해야 한다는 요구다.