바이낸스 공동 CEO, 일요일까지 출금 재개 목표…월요일 전체 준비금 증명 보고서 공개 예정
바이낸스 공동 CEO, 일요일까지 출금 재개 목표…월요일 전체 준비금 증명 보고서 공개 예정
바이낸스가 자체 핫월렛 인프라에 영향을 미친 보안 사고 이후 사용자 출금 기능을 복구하기 위해 작업을 진행하고 있다. 거래소의 공동 CEO인 리처드 텡은 보안 테스트가 완료된다는 전제하에 일요일 시한 전에 출금 서비스를 다시 온라인 상태로 전환하는 것을 목표로 하고 있다고 밝혔다.
또한 바이낸스는 월요일에 전체 준비금 증명(Proof of Reserves) 보고서를 공개할 계획이며, 이에 앞서 예비 데이터를 공개해 대중이 검토할 수 있도록 할 예정이다.
바이낸스, 손실은 회사 자금으로 전액 보전
최근 업데이트에 따르면 바이낸스는 도난당한 자산 전액을 고객에게 전가하지 않고 자체 법인 자금으로 부담할 방침이다.
보도에 따르면 바이낸스는 이를 위해 63억 4,000만 달러가 넘는 법인 자산을 따로 확보해 두었다. 이 가운데 약 50억 달러는 이번 사고와 관련된 자산군인 USDC, USDT, BTC, ETH, BNB 등으로 이미 보유하고 있으며, 나머지 토큰은 시장 거래와 장외거래(OTC)를 통해 매입하고 있다.
이 같은 조치는 사용자에게 미치는 잠재적 영향을 줄이고, 관련 시스템의 보안이 확보된 뒤 거래소가 출금 요청을 정상적으로 처리할 수 있는 능력을 유지하기 위한 것이다.
텡은 또한 침해된 자산이 바이낸스 자체 핫월렛 인프라에 속한 것이라고 강조했다. 고객 자산이 직접적인 영향을 받은 것은 아니며, 대부분의 사용자 자금은 콜드월렛에 보관돼 있다는 설명이다. 바이낸스의 운영 방식상 자산은 주로 사용자가 출금을 요청할 때 핫월렛으로 이동한다.
핫월렛 인프라에는 무슨 일이 있었나?
이번 사고는 단일 인물에 의한 공격으로 설명되지 않았다. 바이낸스의 예비 조사에서는 처음에 침해된 노트북 한 대가 확인됐지만, 이후 분석 과정에서 추가 침입 경로가 발견됐다.
공격자는 활동에 사용한 도구와 흔적을 삭제하기 위해 자기파괴 메커니즘도 활용한 것으로 전해졌다. 이러한 수법은 보안팀이 확보할 수 있는 증거를 제한하고 공격 타임라인을 재구성하는 작업을 지연시켜 포렌식 조사를 복잡하게 만들 수 있다.
기술적으로 중요한 요소 중 하나는 EIP-7702를 이용해 핫월렛과 연결된 온체인 실행 권한을 확보한 것이다. 이 권한은 바이낸스의 일반적인 승인 통제 절차를 거치지 않고 처리됐다. 이는 월렛 권한, 서명 인프라, 운영 보안 절차가 유기적으로 작동하지 않을 때 발생할 수 있는 위험을 보여준다.
이더리움의 EIP-7702 사양은 외부 소유 계정(EOA)이 일시적으로 스마트 컨트랙트 기능을 사용할 수 있도록 하는 메커니즘을 설명한다. 이 기능은 보다 유연한 거래 경험을 지원할 수 있지만, 거래소와 기타 수탁형 플랫폼에서는 권한 관리와 거래 검증의 중요성이 더욱 커진다는 의미이기도 하다.
출금 복구 여부는 보안 테스트에 달려 있어
바이낸스는 출금 서비스를 즉시 재가동하는 대신 시스템을 재구축하고 있다. 교체된 시스템이 엄격한 테스트를 통과한 뒤에만 복구를 완료한다는 방침으로, 회사는 일요일 시한 이전인 약 40시간 내에 복구를 마칠 수 있을 것으로 예상하고 있다.
이번 검토는 다음과 같이 회사 기술 스택의 여러 계층을 대상으로 진행되는 것으로 알려졌다.
- 최종 사용자 기기 및 엔드포인트
- 클라우드 환경
- 키 관리 시스템
- 거래 서명 인프라
- 승인 및 권한 부여 절차
- 모니터링 및 사고 대응 통제 체계
이처럼 단계적으로 복구하는 방식은 암호화폐 보안의 중요한 원칙을 보여준다. 최초 침해가 완전히 차단됐는지 확인하지 않은 채 가용성을 지나치게 서둘러 복원하면 추가적인 위험이 발생할 수 있다는 점이다.
사용자 입장에서 이는 출금 가능 여부를 단순한 서비스 재시작이 아니라 보안 통제를 거쳐야 하는 절차로 봐야 한다는 뜻이다. 지연이 답답할 수는 있지만, 추가 검증을 통해 침해된 키나 권한, 서명 경로가 다시 악용되는 상황을 막는 데 도움이 될 수 있다.
예정된 준비금 증명 보고서가 중요한 이유
바이낸스는 월요일에 전체 준비금 증명 보고서를 공개할 계획이며, 그 전에 초기 수치를 공개하기 위해 작업 중이다. 바이낸스의 준비금 증명 포털은 지원 자산과 거래소가 보고한 준비금 현황을 사용자가 확인할 수 있도록 마련된 공간이다.
준비금 증명 보고서는 특정 시점에 거래소가 고객 잔액에 상응하는 충분한 온체인 자산을 보유하고 있는지 사용자가 판단하는 데 도움을 줄 수 있다. 다만 이 보고서가 운영 보안 관련 정보 공개나 독립적인 재무감사를 완전히 대체할 수 있는 것은 아니다.
이번 사고와 관련해 사용자들은 다음과 같은 질문에 특히 주목할 가능성이 크다.
- 어떤 자산이 보고서에 포함되는가?
- 해당 스냅샷에 영향을 받은 월렛과 대체 자금이 포함되는가?
- 고객 부채와 법인 자산이 명확하게 구분돼 있는가?
- 보고된 잔액을 온체인에서 독립적으로 검증할 수 있는가?
- 대체 토큰을 어떤 방식으로 매입했는지 보고서에 설명돼 있는가?
준비금과 부채를 구분하는 것은 특히 중요하다. 거래소가 상당한 규모의 암호화폐를 통제하고 있다는 사실을 입증하더라도, 사용자는 잔액과 내부 채무, 대출, 일시적으로 보관 중인 자산이 어떤 방식으로 처리되는지 이해해야 한다.
바이낸스를 넘어 확산되는 복구 작업
바이낸스는 도난 자금을 추적하고 회수할 가능성을 높이기 위해 수사기관, 블록체인 정보 분석 업체, 토큰 발행사 및 다른 거래 플랫폼과 협력하고 있다.
블록체인 거래는 공개적으로 확인할 수 있지만, 자금이 여러 주소와 탈중앙화 프로토콜, 브리지 또는 서로 다른 규정 준수 절차를 적용하는 서비스로 이동하면 추적과 동결이 어려워질 수 있다. 토큰 발행사는 일부 중앙화 스테이블코인에 대해 추가적인 대응 수단을 보유하고 있을 수 있으며, 거래소는 거래 모니터링과 주소 선별 시스템을 활용해 사고와 연관된 입금 내역을 식별할 수 있다.
이러한 노력의 성과는 자금이 얼마나 신속하게 식별되는지, 관련 거래 상대방이 해당 주소를 인지하는지, 공격자가 자산을 어떤 방식으로 이동시키거나 환전하려 하는지에 달려 있다.
이번 사고가 사용자에게 주는 교훈
이번 사건은 암호화폐 사용자에게 여러 가지 보안 교훈을 다시 한번 일깨운다.
거래소 잔액과 개인 수탁 자산은 다르다
거래소에 보관된 자금은 해당 거래소의 수탁 아키텍처를 통해 관리된다. 플랫폼이 강력한 통제 체계를 갖추고 있더라도 사용자는 출금 시스템, 서명 정책, 인프라, 사고 대응 절차에 의존할 수밖에 없다.
장기 보유 자산의 경우 개인 수탁을 활용하면 특정 거래소의 운영상 위험에 대한 노출을 줄일 수 있다. 하드웨어 월렛은 개인 키 관련 작업을 일상적인 온라인 환경과 분리하고, 사용자가 직접 거래를 승인할 수 있도록 해준다.
월렛 권한에 더 많은 주의를 기울여야 한다
스마트 계정 기능이 점점 널리 사용되면서 사용자는 거래 권한과 승인 요청을 꼼꼼히 확인해야 한다. 특히 익숙하지 않은 애플리케이션과 상호작용할 때는 겉보기에는 일반적인 거래처럼 보이는 요청이 예상보다 광범위한 실행 권한을 부여할 수 있다.
서명하기 전에 사용자는 다음 사항을 확인해야 한다.
- 목적지 주소
- 요청된 권한 또는 사용 한도
- 관련 네트워크와 자산
- 거래를 되돌릴 수 있는지 여부
- 해당 애플리케이션이 신뢰할 수 있고 실제로 필요한지 여부
복구 문구는 여전히 최후의 보안 경계다
하드웨어 월렛의 보안은 복구 문구를 어떻게 생성하고 보관하는지에 크게 좌우된다. 복구 문구를 웹사이트에 입력하거나 고객지원 담당자와 공유하거나 클라우드 계정에 저장해서는 안 된다. 또한 대형 거래소에서 사고가 발생한 직후 나타나는 피싱 시도에도 각별히 주의해야 한다.
암호화폐 업계 전체를 향한 메시지
바이낸스 사건은 현대의 암호화폐 보안이 더 이상 개인 키 보호만으로 충분하지 않다는 점을 보여준다. 효과적인 보호를 위해서는 엔드포인트 보안, 클라우드 통제, 접근 권한 관리, 거래 시뮬레이션, 다자간 승인, 실시간 모니터링, 그리고 충분히 검증된 대응 계획까지 필요하다.
준비금 증명은 투명성을 높이는 데 도움이 될 수 있지만, 투명성과 보안은 서로 다른 위험을 다룬다. 준비금 보고서는 자산 보유 현황을 보여주는 데 유용한 반면, 강력한 수탁 통제는 애초에 승인되지 않은 거래가 발생하는 것을 막는 역할을 한다. 보다 탄력적인 디지털 자산 생태계를 구축하려면 두 요소가 모두 필요하다.
중앙화 거래소의 출금 시스템에 대한 의존도를 낮추고 싶은 사용자라면 OneKey 하드웨어 월렛을 통해 추가적인 개인 수탁 보호 계층을 마련할 수 있다. OneKey는 개인 키를 일반적인 온라인 기기와 분리해 보관한다는 점에서 장기 보유 자산을 독립적으로 관리하려는 사용자에게 특히 적합하다. 다만 기기와 복구 문구, 거래 승인 절차를 신중하게 관리해야 한다.
