한국뉴스투데이24 한국뉴스투데이24

핫월렛서 약 63억달러 무단출금…DevOps 직원 노트북 침해 정황 뒤 추가 침입지점도 확인

FBI “북한 책임”…이번 특정 악성 사이버 활동을 ‘TraderTraitor’로 지칭

약 30억달러 온체인 동결·피해자산 가치 약 95% 보충…최종 공격경로는 아직 조사 중

[한국뉴스투데이24=이상록 기자]

세계 최대 암호화폐 거래소 바이낸스에서 약 63억달러 상당의 암호자산이 탈취되는 대형 보안사고가 발생했다.

바이낸스에 따르면 10월 29일 오후 8시5분(UTC), 한국시간으로 10월 30일 오전 5시5분께 핫월렛이 침해돼 약 63억달러 상당의 토큰 자산이 무단 출금됐다. 바이낸스는 사고 직후 출금을 중단하고 보안점검과 피해자산 추적에 들어갔다.

미국 연방수사국(FBI)은 10월 31일 북한이 이번 60억달러 이상 가상자산 탈취에 책임이 있다고 공식 발표했다. FBI는 이번에 확인된 특정 북한 악성 사이버 활동을 **‘TraderTraitor’**라고 지칭했다.

이번 사건의 핵심은 단순히 63억달러라는 피해액만이 아니다.

어떻게 공격자가 그 정도의 자산을 움직일 수 있는 출금권한까지 확보했는가.

그 답은 아직 완전히 나오지 않았다.

최초 단서는 DevOps 직원 노트북…그러나 그것이 전부는 아니다

바이낸스의 초기 조사에서는 DevOps 엔지니어의 노트북 침해 가능성이 제기됐다.

회사에 따르면 공격자가 침해된 노트북을 통해 서비스 컨테이너에 접근하고 승인되지 않은 출금 트랜잭션을 제출했을 가능성이 있다.

그러나 후속 조사에서는 추가적인 침입지점이 확인됐다.

바이낸스는 첫 조사에서 노트북 침해 가능성을 확인했지만 이후 조사 과정에서 추가 breach point, 즉 다른 침입지점들도 발견했다고 밝혔다.

따라서 현재 단계에서:

“직원 노트북 한 대가 뚫려 63억달러가 빠져나갔다.”

고 단정해서는 안 된다.

공격자가 어느 지점에서 최초 침투했고, 어떤 권한을 획득했으며, 그 권한이 어떻게 대규모 출금 실행으로 이어졌는지는 아직 최종 확인되지 않았다.

바이낸스는 조사가 끝나면 전체 공격순서와 원인, 대응조치를 담은 상세 사후 기술보고서를 공개하겠다고 밝혔다.

개인키가 유출된 것인가

현재까지 바이낸스의 공식 설명은 **“개인키 유출 증거를 발견하지 못했다”**는 것이다.

회사는 조사 단계에서 지갑 개인키가 유출됐다는 증거는 찾지 못했다고 밝혔다.

이 표현은 중요하다.

“개인키는 유출되지 않았다.”

고 확정된 것이 아니라,

“현재까지 개인키 유출 증거가 발견되지 않았다는 것이 바이낸스의 조사결과다.”

라는 뜻이다.

최종 포스트모템이 아직 나오지 않은 만큼 개인키 문제 역시 회사 조사결과의 범위에서 판단해야 한다.

FBI “북한 책임”…TraderTraitor는 무엇인가

FBI는 이번 사건에 대해 비교적 명확한 표현을 사용했다.

FBI는 북한이 바이낸스에서 발생한 60억달러 이상 가상자산 탈취에 책임이 있다고 발표했다.

동시에 FBI는 이번 특정 북한 악성 사이버 활동을 TraderTraitor라고 지칭했다.

따라서 이를 별도의 독립조직명으로 확정해:

“북한 TraderTraitor 조직이 해킹했다”

고 쓰기보다는,

“FBI는 북한이 이번 탈취에 책임이 있다고 발표했고 이번 특정 악성 사이버 활동을 TraderTraitor라고 지칭했다.”

고 표현하는 것이 원문에 가장 정확하다.

FBI는 또 공격자들이 탈취자산을 주로 이더리움으로 전환하고 있으며 이후 DeFi와 즉시 스왑 서비스 등을 거쳐 추가 자금세탁을 시도할 가능성이 있다고 밝혔다.

약 30억달러 동결…그러나 ‘회수’와 ‘보충’은 다르다

이번 사건에서 가장 주의해야 할 부분이다.

바이낸스는 블록체인 업계와 협력해 약 30억달러 상당을 온체인에서 동결했다고 밝혔다.

하지만 동결은 곧 회수를 뜻하지 않는다.

공격자가 마음대로 움직이지 못하도록 자산이 묶였다는 의미와 바이낸스가 실제 통제권을 다시 확보했다는 의미는 구분해야 한다.

별도로 바이낸스는:

• SAFU
• 선물보험기금 일부
• 회사 자체 자금
• 시장 및 장외거래를 통한 토큰 매입

등을 이용해 피해자산을 보충했다.

10월 31일 보충률은 약 90%였고, 11월 1일 바이낸스는 피해자산 가치의 약 95%까지 보충했다고 발표했다.

따라서 세 개념을 반드시 구분해야 한다.

동결 ≠ 회수 ≠ 회사가 대신 보충

바이낸스가 95%를 해커에게서 회수한 것이 아니다.

정확한 표현은:

약 30억달러는 온체인에서 동결됐고, 이와 별도로 바이낸스가 회사자금과 보호기금, 시장·장외매입 등을 통해 피해자산 가치의 약 95%를 보충했다.

이다.

BTC·ETH·XRP 등 주요 자산은 100% 준비금 보충

바이낸스는 BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD, ZEC 등 주요 10개 자산에 대해 사용자 잔액에 대응하는 준비자산을 100% 보충했다고 발표했다.

이 역시:

“탈취된 자산을 100% 되찾았다.”

는 뜻이 아니다.

거래소가 해당 사용자 잔액을 뒷받침할 준비자산을 다시 확보했다는 의미다.

바이낸스는 나머지 약 5%는 유동성이 상대적으로 낮은 토큰들이어서 시장과 장외거래를 통해 계속 확보하고 있다고 밝혔다.

준비금 스냅샷은 공개…전체 ZKP는 아직 계산 중

바이낸스는 10월 31일 0시(UTC) 기준 새로운 준비금증명(Proof of Reserves·PoR) 스냅샷을 만들고 이를 공개했다.

그러나 전체 영지식증명(ZKP)은 아직 완성되지 않았다.

바이낸스는 전체 ZKP 생성에 약 40~50시간이 걸리며, 사용자들이 주요 10개 자산의 최소 1대1 준비금 보유 여부를 독립적으로 검증할 수 있는 전체 증명은 11월 3일께 완료될 것으로 예상한다고 밝혔다.

따라서 11월 2일 현재:

“준비금 검증이 모두 끝났다.”

고 표현해서는 안 된다.

준비금 스냅샷은 공개됐지만 전체 ZKP 생성은 진행 중이다.

출금 재개 뒤 36억4천만달러 ‘순유출’

바이낸스는 11월 1일부터 출금서비스를 단계적으로 다시 열었다. 예치 서비스는 사고 기간에도 영향을 받지 않았다는 것이 회사 설명이다.

출금 재개 뒤 상당한 자금이 움직였다.

The Block이 전한 바이낸스 측 자료에 따르면 첫 약 9시간30분 동안:

총 출금: 약 46억5천만달러

총 입금: 약 10억1천만달러

순유출: 약 36억4천만달러

였다.

따라서 36억4천만달러는 출금 총액이 아니라 순유출액이다.

바이낸스는 이 순유출이 10월 28일 준비금 자료상 전체 자산 약 1710억달러의 약 2.1%라고 설명했다.

대형 사고 직후 이용자들이 실제로 자산을 이동했다는 점은 거래소에 대한 신뢰 변화가 얼마나 빠르게 자금흐름으로 나타날 수 있는지를 보여준다.

핫월렛보다 중요한 것은 ‘출금권한 통제’

이번 사고를 단순히:

핫월렛은 위험하고 콜드월렛은 안전하다

는 문제로만 보면 핵심을 놓칠 수 있다.

거래소는 고객의 빠른 출금을 처리하기 위해 일정 규모의 자산을 온라인 환경과 연결된 핫월렛에서 관리한다.

핫월렛에는 공격표면이 존재하기 때문에 더 강한 통제가 필요하다.

하지만 이번 사건에서 확인해야 할 것은 핫월렛 사용 자체만이 아니다.

핫월렛에 얼마를 두었는가

출금권한이 어떻게 분리됐는가

대규모 출금에 몇 단계의 승인이 필요한가

비정상 거래를 어떤 시스템이 탐지하는가

특정 계정이나 서비스 컨테이너가 어느 수준의 권한까지 가질 수 있었는가

가 더 중요하다.

63억달러 상당의 무단출금이 가능했다면 최종 기술보고서에서는 출금 승인구조와 내부 권한통제가 어디에서 실패했는지가 핵심 검증 대상이 돼야 한다.

거래소가 돈을 메웠다면 사건은 끝난 것인가

사용자가 직접 손실을 부담하지 않도록 회사가 피해액을 메우는 것은 매우 중요하다.

바이낸스는 이번 손실을 사용자에게 전가하지 않고 회사가 재정적 영향을 부담하겠다고 반복해서 밝혔다.

하지만 그것만으로 보안사고 자체가 해결된 것은 아니다.

돈을 보충하는 문제와 사고의 원인을 밝히는 문제는 다르다.

이번 사건에서 남은 핵심 질문은:

공격자는 최초에 어디로 들어왔는가

어떤 권한을 추가로 확보했는가

대규모 출금 승인을 어떻게 통과했는가

이상징후는 언제 처음 탐지됐는가

왜 그 전에 자동 차단되지 않았는가

출금중단까지 얼마나 걸렸는가

이다.

이 질문에 대한 상세한 답은 아직 공개되지 않았다.

북한의 암호화폐 탈취는 금융사고를 넘어 안보문제다

FBI가 북한의 책임을 공식 발표하면서 이번 사건은 개별 거래소의 전산사고 범위를 넘어선다.

국가연계 공격세력이 세계 최대급 암호화폐 거래소에서 수십억달러 상당의 자산을 탈취할 수 있다면 문제는:

사이버안보,

대북제재,

국제 자금세탁방지,

암호화폐 규제,

금융안보

와 연결된다.

FBI가 민간 블록체인 사업자와 DeFi·스왑 서비스 사업자들에게 관련 자금 이동을 차단하도록 요청한 것도 이런 이유다.

암호자산 거래가 국경을 넘어 빠르게 이동하는 만큼 한 기업의 대응만으로는 국가연계 공격의 자금세탁 경로를 모두 차단하기 어렵다.

이용자가 확인해야 할 것은 수익률만이 아니다

이번 사건은 거래소 이용자에게도 질문을 남긴다.

암호자산을 거래소에 보관한다는 것은 가격변동 위험뿐 아니라 거래소 자체의 운영·보안위험에도 노출된다는 뜻이다.

따라서 거래소를 볼 때는 거래량과 수수료 외에도:

자산 보관구조

핫월렛과 콜드월렛 운영

출금권한 분리

이상거래 탐지

준비금 공개

보안사고 보상기금

사고 발생 시 출금·복구절차

를 함께 볼 필요가 있다.

63억달러보다 더 중요한 숫자는 아직 나오지 않았다

현재까지 가장 눈에 띄는 숫자는 약 63억달러다.

그러나 보안사고의 본질을 판단할 더 중요한 숫자는 아직 공개되지 않았다.

공격자가 시스템 안에 머문 시간,

침해된 계정과 권한의 수,

무단 출금이 처음 시작된 시점부터 탐지까지 걸린 시간,

탐지 후 출금 중단까지 걸린 시간,

실제 되찾은 자산 규모다.

이 수치들이 나와야 내부통제가 어디서 실패했는지 판단할 수 있다.

바이낸스는 최종 사후 기술보고서를 공개하겠다고 밝혔다.

그 보고서가 나오기 전까지 이번 사건을:

“직원 노트북이 뚫려 사고가 났다.”

고 단순화해서도,

“피해자산의 95%를 보충했으니 사건이 끝났다.”

고 평가해서도 안 된다.

현재 확인되는 사실은 명확하다.

세계 최대급 암호화폐 거래소의 핫월렛에서 약 63억달러 상당의 자산이 무단 출금됐다.

FBI는 북한이 이번 탈취에 책임이 있다고 발표했다.

약 30억달러는 온체인에서 동결됐고, 바이낸스는 피해자산 가치의 약 95%를 자체 자금과 보호기금, 시장·장외매입 등을 통해 보충했다고 밝혔다.

출금서비스는 단계적으로 재개됐다.

하지만 전체 공격경로와 내부 권한통제 실패의 원인은 아직 조사 중이다.

이번 사건에서 가장 중요한 질문은 ‘얼마를 훔쳤나’보다 ‘어떻게 그만큼을 움직일 권한까지 얻었나’다.

그 답이 나와야 이번 사건의 진짜 교훈도 시작된다.