바이낸스에서 63억 달러(약 8조 4,400억 원, 1달러 1,340원 기준)가 빠져나간 사고는 공격 당일보다 훨씬 앞서 시작됐을 가능성이 나왔다. 비영리 사이버보안 단체 SEAL(Security Alliance)은 북한 연계 해킹 조직 트레이더트레이터(TraderTraitor)가 10월 29일(현지시각) 사고 약 8주 전인 9월 중 바이낸스 시스템에 들어왔다고 추정했다. 이하 날짜와 요일은 현지시각 기준이다.

한편 핫월렛(인터넷에 연결된 온라인 보관 지갑) 운영 방식을 둘러싼 의문은 풀리지 않았다. 블록체인 기록은 자금이 움직인 흔적만 보여줄 뿐 그 이동을 통제한 내부 체계까지 드러내지는 못한다. 외부에서 바이낸스의 실제 노출 규모를 따지기 어렵다는 지적이 나오는 이유다.

SEAL “사고 약 8주 전 침투”…다른 해킹과 비슷한 패턴

SEAL은 목요일 보고서에서 트레이더트레이터가 9월 중 바이낸스 시스템에 접근한 것으로 추정했다. 최초 침입 이후 공격자들이 “장기간 높은 수준의 은밀성”을 유지하며 시스템 안을 돌아다닐 수 있다는 설명도 붙였다. 코인텔레그래프에 따르면 바이낸스는 이 추정치에 대한 의견 요청에 기사 게재 시점까지 답하지 않았다.

SEAL은 트레이더트레이터의 가짜 채용 캠페인과 연결된 ‘위장 회사’를 2026년 기준 최소 4곳 확인했다고 밝혔다. 다른 대형 해킹에서도 다단계 침투 패턴이 비슷하게 나타난다는 것이 SEAL의 분석이다. 침투 기간 추정치는 사건마다 달랐다.

비트겟(Bitget) 해킹에서는 3억 8,800만 달러가 털리기 전 약 6주의 접근 기간이 있었다고 SEAL은 추정했다. 켈프DAO(Kelp DAO) 사고로 이어진 취약점은 레이어제로(LayerZero)에 대한 약 6주간의 접근 뒤에 나왔고 피해액은 2억 9,300만 달러였다. 2,400만 달러 규모의 AFX 공격은 실행 약 3주 전부터 접근이 이뤄진 것으로 추정됐다.

바이낸스는 가짜 면접과 6월 단서를 꼽았다

바이낸스는 해킹 원인을 가짜 채용 면접으로 설명해 왔다. 해커들이 면접을 미끼로 직원 기기를 감염시키고 인증 정보를 훔쳐 지갑 인프라에 들어왔다는 것이다. 화요일 X(옛 트위터) 게시글에서는 공격 캠페인의 출발점이 6월이라고도 밝혔다.

6월에는 별개의 직원 기기가 먼저 뚫렸다. 바이낸스는 당시 이를 탐지해 기기를 교체했지만 공격자들이 이미 팀 구성과 지갑 인프라에 관한 정보를 모은 뒤였다고 설명했다. SEAL이 말한 9월 시스템 접근은 바이낸스가 밝힌 6월 단서 이후의 단계를 가리킨다.

미국 연방수사국(FBI)은 토요일 보고서에서 이번 공격이 북한의 트레이더트레이터 소행이라고 밝혔다. 김정은 북한 국무위원장의 여동생 김여정은 이를 부인했다. 바이낸스는 사고 직후 공동 최고경영자 리처드 텡이 10월 30일 자사 핫월렛이 공격받았다고 밝혔고 앞서 화요일 초기 보고서에서는 공격자가 내부 월렛 서명 서비스에 접근했다고 설명했다. 일부 기술 세부사항은 추가 공격을 막기 위해 비공개로 남겼다.

잔고만으로는 판단 못 한다…블록체인 기록의 한계

코인텔레그래프는 바이낸스에 지갑 잔고와 안전장치에 대해 물었지만 답을 받지 못했다고 전했다. 코인베이스·게이트·업비트 등 경쟁 거래소는 사고 이후 콜드월렛(오프라인 보관 지갑) 보관 비율을 공개했다. 바이낸스는 이용자 자산 대부분이 콜드 스토리지에 있고 출금 요청이 있을 때만 핫월렛으로 옮긴다고 설명한 상태다.

보안업체 서틱의 분석가 조너선 리스는 63억 달러가 10개 블록체인에 걸쳐 영향을 받은 자산의 누적 가치라고 설명했다. 이더리움에서는 새 입금이 들어올 때마다 공격자가 핫월렛을 반복해서 비웠다. 공격자가 유효한 서명을 확보하면 한 시점의 잔고가 아니라 서명 시스템이 시간에 걸쳐 허용한 이체 범위가 노출 규모를 정한다는 설명이다.

리스는 서명을 요청하는 애플리케이션이 설정한 거래 한도는 그 애플리케이션이 뚫리면 우회될 수 있다고 말했다. 서명 시스템이 독립적으로 거는 한도는 여전히 이체를 제한할 수 있다는 점도 짚었다. 그는 “외부에서는 다른 거래소와의 비교가 사실상 불가능하다”며 “내부 서명 구조에 대한 공개 정보는 어디서나 제한적이고 준비금 분포나 지급준비금 증명은 무엇이 어디에 있는지만 보여줄 뿐 출금이 어떻게 승인되는지는 보여주지 않는다”고 말했다.

핫월렛에 얼마를 둬야 하나…업계 시각

비트고의 최고제품책임자 유진 하르는 바이낸스의 내부 안전장치에 대한 추측을 거부했다. 그는 “보관 체계의 구성은 바이낸스가 가장 잘 답할 수 있는 질문”이라고 말했다. 다만 서명 전에 적용하는 거래 한도, 승인된 출금 주소, 추가 인증 요건이 시스템이 뚫렸을 때 손실을 줄이는 데 도움이 된다고 설명했다.

파이어블록스 공동창업자 겸 최고제품책임자 이단 오프랫은 거래소가 보통 며칠치 예상 출금액을 핫월렛에 둔다고 말했다. 이는 운용 자산의 낮은 한 자릿수 비율에 해당하는 경우가 많다. 고객 자산 대부분은 콜드 스토리지에 두고 일부는 핫월렛으로 옮길 때 수동 승인을 요구하는 중간 지갑을 쓴다고 그는 덧붙였다.

텔레그램 기반 지갑 월트의 최고기술책임자 알렉스 토볼은 바이낸스 규모의 거래소가 수십억 달러를 핫월렛에 두는 것 자체가 이례적이지는 않다고 봤다. 핫월렛은 대개 출금을 자동 처리하지만 콜드 스토리지에서 핫월렛을 다시 채우는 일에는 별도의 자금 운용 결정과 수동 승인이 필요하다는 것이 그의 설명이다.

보안 동맹 외친 CZ…앞서 만든 T3는 이미 문 닫았다

바이낸스 공동창업자 자오창펑은 10월 29일 사고 이후 업계 전체의 보안 동맹을 제안했다. 그는 공통 공격 수법을 확산 전에 파악하고 감사 결과와 해킹 교훈을 공유하며 자산 동결을 더 빠르게 조율하는 구상을 내놨다. 테더는 바이낸스에서 도난된 USDT 15억 달러 이상을 동결했다고 밝혔다.

그런데 바이낸스가 참여했던 기존 협의체는 이미 사라졌다. 블룸버그는 바이낸스·테더·트론·TRM랩스가 꾸린 금융범죄 대응 조직 T3가 8월 말 폐쇄됐다고 소식통들을 인용해 보도했다. 이들에 따르면 이 조직은 지난 1년간 “느린 대응 속도와 회원 간 조율 부족”으로 어려움을 겪었다. 트론·테더·TRM랩스는 폐쇄 사실을 블룸버그에 확인했고 2025년 합류한 바이낸스는 논평을 거부했다.

T3는 출범 이후 불법 USDT 4억 5,000만 달러 이상을 동결했다고 주장해 왔다. 트론은 “새로운 이니셔티브가 곧 나올 것”이라고 예고했다. 테더는 TRM랩스와 계속 범죄 대응에 협력하겠다고 밝혔다.