Bitunix 애널리스트: 63억 달러 넘는 바이낸스 도난 사건, 거래소 자산 보관 보안 다시 시험대에 올라

최근 암호화폐 시장은 강제 디레버리징과 대형 거래소 보안 사고라는 서로 다른 형태의 시스템적 스트레스를 동시에 겪었다.

10월 30일 기준 시장 데이터에 따르면, 24시간 동안 약 23만 9,224명의 암호화폐 트레이더가 강제 청산됐으며 총 손실액은 약 15억 3,600만 달러에 달했다. 해당 기간 중 단일 포지션 기준으로 가장 큰 청산은 약 1,109만 달러 규모의 바이낸스 BTCUSDT 포지션이었다고 CoinGlass 청산 데이터는 전했다.

이와 거의 동시에 바이낸스의 멀티체인 핫월렛 인프라가 공격을 받았다는 소식이 전해지면서 보다 근본적인 우려가 제기됐다. 공격자가 지갑 승인과 관련된 시스템을 장악했을 때, 기초가 되는 개인 키가 직접 노출되지 않더라도 중앙화 거래 플랫폼이 자산을 보호할 수 있느냐는 문제다.

가격 변동성을 넘어선 시장 충격

청산은 레버리지 거래가 이뤄지는 암호화폐 시장에서 익숙한 위험 요소다. 가격이 급격히 움직이면 거래소는 담보가 부족한 포지션을 자동으로 정리한다. 이 과정에서 유동성이 줄고 변동성이 커지면서 개별 트레이더의 손실이 시장 전반으로 확산된다.

대규모 자산 보관 사고는 성격이 다르다. 레버리지를 사용하지 않고 파생상품 포지션도 보유하지 않았으며, 운영상 실수를 저지르지 않은 사용자까지 영향을 받을 수 있다. 위험의 핵심은 플랫폼이 자산을 안전하게 보관하고, 출금을 검증하며, 핵심 권한을 격리할 수 있는지에 있다.

이 두 사건이 동시에 발생하면 시장 신뢰에는 특히 큰 타격이 된다.

• 강제 청산은 단기적인 매도 압력을 높인다.
• 보안 침해는 출금 및 유동성에 대한 우려를 촉발할 수 있다.
• 영향을 받은 자산이 무엇인지 불확실하면 스프레드가 확대되고 할인 거래가 발생할 수 있다.
• 트레이더들은 시장 위험뿐 아니라 거래 상대방 위험까지 평가하기 시작할 수 있다.

따라서 거래소 보안 사고의 여파는 직접 도난된 자금에만 국한되지 않는다. 사용자 행동, 준비금 투명성, 출금 가능 여부, 그리고 중앙화된 자산 보관 체계 전반에 대한 신뢰에도 영향을 미칠 수 있다.

이번 공격이 보여준 핫월렛의 위험

이번 사건에서는 10개 블록체인에서 약 63억 6,000만 달러 규모의 자산이 이동한 것으로 알려졌다. 실제 피해 규모가 최종적으로 확인된다면, 이는 역대 최대 규모의 암호화폐 도난 사건 중 하나이며 앞서 보고된 바이비트 사건보다도 큰 규모가 된다.

조사 결과, 공격자들은 악성 거래 로직을 사전에 준비한 뒤 실행한 것으로 보인다. 이 과정에는 이더리움의 EIP-7702 승인 메커니즘과 다른 네트워크의 지갑 서명 절차가 함께 활용된 것으로 전해졌다.

EIP-7702는 이더리움 계정 추상화 개발의 한 축으로, 외부 소유 계정(EOA)이 승인 절차를 통해 일시적으로 스마트 계약 기능을 사용할 수 있도록 한다. 이 기능은 사용자 편의성을 높이고 보다 유연한 거래 실행을 가능하게 하지만, 그만큼 권한 관리의 중요성도 커진다. 승인 절차가 제대로 보호되지 않으면 전통적인 방식의 개인 키 탈취가 확인되지 않은 상황에서도 위험이 발생할 수 있다.

보다 근본적인 교훈은 지갑 보안이 단순히 개인 키가 복사됐는지 여부에 달려 있지 않다는 점이다. 공격자가 다음과 같은 요소를 장악할 수 있다면 핫월렛은 여전히 위험에 노출될 수 있다.

1. 운영 시스템 관리에 사용되는 직원의 기기
2. 출금 처리를 담당하는 서비스 컨테이너
3. 거래 생성 또는 서명 인프라
4. 접근 토큰, 자격 증명 또는 세션 권한
5. 자동 승인 규칙 및 정책 엔진
6. 멀티체인 자산 관리 프로세스

다시 말해 보안 경계는 최종 서명 기기에만 존재하는 것이 아니라, 거래가 처리되는 전체 파이프라인을 포괄한다.

예비 조사 결과, 공격 표면이 더 넓었을 가능성

바이낸스의 예비 조사에 따르면 한 데브옵스 엔지니어의 노트북이 침해됐을 가능성이 있는 것으로 전해졌다. 이후 공격자는 서비스 컨테이너를 거쳐 무단 출금을 실행한 것으로 추정된다.

바이낸스는 지갑 개인 키가 직접 유출됐다는 증거는 발견하지 못했다고 밝혔다. 기술적으로는 중요한 구분이지만, 그렇다고 사건의 심각성이 줄어드는 것은 아니다. 거래를 준비하고 승인하며 전송하는 인프라를 공격자가 충분히 장악했다면, 저장된 원본 개인 키를 탈취하지 않고도 자산을 이동시킬 수 있기 때문이다.

이는 서로 연결된 시스템 전반에서 권한이 단계적으로 확대되는 전형적인 사례다.

• 엔드포인트 침해로 최초 접근 권한을 확보한다.
• 내부 서비스에서 추가 자격 증명이나 권한을 획득한다.
• 컨테이너 또는 오케스트레이션 계층을 운영 환경으로 진입하는 통로로 활용한다.
• 자동 서명 또는 승인 로직이 악성 지시를 실행한다.
• 자금은 복구를 어렵게 만들기 위해 여러 체인으로 분산된다.

따라서 현대적인 거래소는 개별 구성 요소가 언제든 실패할 수 있다는 전제하에 다층적인 통제 체계를 구축해야 한다. 하드웨어 기반 인증, 개발 환경과 운영 환경의 엄격한 분리, 수명이 짧은 자격 증명, 거래 시뮬레이션, 허용 주소 목록, 독립적인 출금 승인, 실시간 이상 징후 탐지 등이 보다 강력한 방어 수단이 될 수 있다.

공격 주체에 대한 판단에는 신중함이 필요하다

블록체인 조사관들은 이번 활동이 보안 연구자들이 북한의 사이버 작전과 연관된 집단으로 자주 지목해 온 위협 그룹 ‘트레이더트레이터(TraderTraitor)’와 높은 확률로 연관돼 있다고 분석한 것으로 전해졌다. 그러나 민간 보안업체의 귀속 판단은 최종적인 사법 또는 정부 기관의 공식 판단과는 다르다.

이 구분이 중요한 이유는 블록체인 거래 자체는 추적할 수 있지만, 거래를 실제로 수행한 주체를 현실 세계의 운영자와 연결하는 일은 여전히 복잡하기 때문이다. 공격자들은 자금 흐름을 숨기기 위해 중간 지갑, 크로스체인 브리지, 믹서, 장외거래 브로커, 탈중앙화 프로토콜 등을 활용할 수 있다.

투자자에게 실질적으로 중요한 것은 단순히 누가 공격을 실행했는지가 아니다. 거래소가 다음과 같은 조치를 취할 수 있는지도 중요하다.

• 무단 이체를 신속하게 중단할 수 있는가
• 협력하는 플랫폼에서 자금을 동결할 수 있는가
• 여러 네트워크에 걸쳐 영향을 받은 주소를 식별할 수 있는가
• 충분한 기술적 세부사항과 함께 공격 경로를 설명할 수 있는가
• 남아 있는 시스템이 안전하게 운영될 수 있음을 입증할 수 있는가
• 준비금과 부채에 관한 검증 가능한 정보를 공개할 수 있는가

동결된 자금이 곧 회수된 자금은 아니다

바이낸스는 약 30억 달러 규모의 자산을 동결했으며, 손실은 SAFU 기금과 회사 자원을 통해 보전하겠다고 밝힌 것으로 전해졌다. 한편 온체인 추적 결과에 따르면 약 31억 달러 상당의 자산은 여전히 자유롭게 이동할 수 있는 상태이며, 여기에는 상당한 규모의 비트코인과 이더가 포함된 것으로 추정된다.

이러한 수치는 최종 결과가 아니라 변동 가능한 잠정치로 봐야 한다. 자금이 이동하거나 동결되고, 브리지로 전송되거나 거래소에 입금되거나, 새로운 주소로 분산되면서 자산 분류는 달라질 수 있다. 또한 ‘식별된 자금’, ‘동결된 자금’, ‘회수된 자금’은 서로 전혀 다른 의미를 갖는다.

• 식별된 자금은 사건과 관련된 주소로 연결된 자금이다.
• 동결된 자금은 거래소, 발행사 또는 서비스 제공업체가 부과한 제한의 적용을 받는 자금이다.
• 회수된 자금은 공식적인 회수 절차에 따라 반환되거나 안전하게 확보된 자금이다.

완전한 기술 보고서와 피해 자산에 대한 명확한 정산 내역이 공개되기 전까지 시장은 어떤 잠정 수치도 확정적인 것으로 받아들여서는 안 된다. 독자들은 Etherscan과 Arkham 같은 도구를 통해 공개 지갑의 움직임을 확인할 수 있다. 다만 주소 라벨과 귀속 정보는 시간이 지나면서 변경될 수 있다는 점을 염두에 둬야 한다.

핵심 위험은 권한 집중이다

가장 중요한 결론은 핫월렛 자체가 본질적으로 안전하지 않다는 것이 아니다. 대규모 입출금을 처리해야 하는 거래소에는 핫월렛이 필요하다. 더 근본적인 문제는 권한이 지나치게 한곳에 집중돼 있다는 점이다.

단 하나의 침해된 기기나 서비스 계정, 운영 절차만으로 독립적인 검증이 충분하지 않은 거래를 실행할 수 있다면, 해당 플랫폼은 단일 실패 지점을 만든 것이다. 이는 개인 키가 다자간 연산(MPC), 하드웨어 보안 모듈 또는 기타 첨단 기술로 보호되고 있더라도 마찬가지다.

복원력 있는 자산 보관 체계는 다음과 같은 상황을 전제로 설계돼야 한다.

• 직원의 엔드포인트가 침해될 수 있다.
• 클라우드 계정이 잘못 구성될 수 있다.
• 서비스 컨테이너가 변조될 수 있다.
• 서명 요청이 악성일 수 있다.
• 거래 목적지가 위장돼 있을 수 있다.
• 공격자가 조직적인 자금 이체를 준비할 만큼 오랫동안 탐지되지 않을 수 있다.

따라서 보안 통제는 단순히 거래에 누가 서명했는지만 확인해서는 안 된다. 무엇에 서명하는지, 자금이 어디로 이동하는지, 이체가 왜 정당한지, 그리고 해당 거래가 정상적인 운영 패턴에 부합하는지도 함께 검증해야 한다.

앞으로 암호화폐 사용자가 주시해야 할 사항

조사가 진행되는 동안 시장은 다음과 같은 지표에 주목할 가능성이 크다.

1. 출금 서비스 상태 — 영향을 받은 네트워크가 정상적인 처리를 재개하는지, 제한 조치가 계속 유지되는지 여부
2. 잔여 자산의 이동 — 의심 주소에서 비트코인, 이더 또는 기타 토큰의 추가 이체가 발생하는지 여부
3. 동결 잔액의 변화 — 보고된 동결 조치가 실제 회수로 이어지는지, 아니면 일시적인 제한에 그치는지 여부
4. 완전한 기술적 사후 보고서 — 침해된 엔드포인트, 컨테이너 접근, 승인 절차, 탐지 시점에 관한 세부 내용
5. 업데이트된 준비금 및 부채 증명 — 플랫폼의 지급 능력과 운영 건전성을 평가하는 데 도움이 되는 자료
6. 독립적인 보안 검증 — 핵심 권한이 교체·격리되고 재감사를 받았다는 확인

사용자들은 거래 플랫폼에 얼마나 많은 자본을 계속 보관해야 하는지도 다시 검토할 필요가 있다. 거래소는 유동성과 거래 실행 측면에서 유용하지만, 동시에 사용자 자산을 보관하는 수탁자이기도 하다. 장기 보유 자산은 시드 문구 보호, 거래 검증, 복구 절차를 충분히 이해하고 있다는 전제하에 셀프 커스터디 방식으로 관리하는 편이 더 나을 수 있다.

셀프 커스터디에도 여전히 철저한 관리가 필요한 이유

셀프 커스터디는 거래소에 대한 거래 상대방 위험을 줄여주지만, 보안 위험 자체를 없애지는 않는다. 책임의 주체가 플랫폼의 인프라 팀에서 개인 자산 보유자로 옮겨갈 뿐이다.

하드웨어 지갑은 개인 키를 인터넷에 연결된 기기와 분리해 보관하고, 악성코드·피싱·승인되지 않은 브라우저 접근에 대한 노출을 줄이는 데 도움을 줄 수 있다. 그러나 사용자는 여전히 복구 문구를 안전하게 보호하고, 기기 자체에서 거래 세부사항을 확인하며, 출처가 불분명한 컨트랙트 승인을 피하고, 안전한 백업 전략을 유지해야 한다.

이번 사건을 계기로 자산 보관 방식을 재검토하는 사용자에게 OneKey 하드웨어 지갑은 오프라인 키 보관과 기기 내 거래 검증을 중심으로 설계됐다는 점에서 고려할 만한 선택지다. 기본적인 운영 원칙을 지킨다면 장기 보유 자산과 거래소 계정을 분리하는 실용적인 수단으로 활용할 수 있다.

• 복구 문구는 오프라인에 보관하고 클라우드 저장소에는 절대 업로드하지 않는다.
• 웹사이트, 메시지 또는 고객지원 양식에 복구 문구를 입력하지 않는다.
• 서명하기 전에 수신 주소와 토큰 승인 내역을 확인한다.
• 장기 저축용 지갑과 위험도가 높은 디파이(DeFi) 활동용 지갑을 분리한다.
• 실제로 사용하기 전에 소액으로 복구 절차를 테스트한다.

이번 바이낸스 사건은 블록체인 보안이 처음부터 끝까지 연결된 문제라는 사실을 다시 보여준다. 자산을 보호하려면 개인 키를 지키는 것만으로는 부족하다. 자금을 이동시킬 수 있는 모든 기기와 권한, 서비스, 서명 결정을 통제해야 한다.

레버리지 청산과 자산 보관 실패가 점점 더 긴밀하게 맞물리는 상황에서 암호화폐 사용자는 시장 노출과 거래 상대방 노출을 모두 평가해야 한다. 디지털 자산 생태계에 대한 신뢰를 회복하려면 투명한 조사, 더욱 강력한 권한 격리, 책임 있는 셀프 커스터디가 필수적이다.