바이낸스 ‘해킹 추정’ 수십억달러 유출…발행사가 먼저 묶었다
세계 최대 가상자산 거래소 바이낸스의 핫월렛에서 수십억달러어치 자산이 정체불명의 지갑으로 빠져나가 회사가 조사에 들어갔다. 피해 규모는 추정치마다 다르지만, 거래소보다 먼저 움직인 쪽은 테더와 서클이었다. 두 발행사가 묶은 스테이블코인만 20억달러를 웃도는 것으로 집계됐다.
진행 중인 사건바이낸스 해킹 사태속보 30 · 기사 4
세계 최대 가상자산 거래소 바이낸스(Binance)의 핫월렛에서 대규모 자산이 외부 지갑으로 빠져나간 정황이 29일(미국 동부시간) 포착됐다. 바이낸스는 보안 문제를 조사 중이라고 밝혔고, 창업자 자오창펑(CZ)은 해킹으로 보인다고 했다. 테더와 서클은 문제의 지갑에 들어간 스테이블코인을 잇달아 동결했다.
무슨 일이 있었나
이상 거래를 처음 공개한 건 온체인 분석가들이었다. 더블록에 따르면 분석가 스프릭(Spreek)은 이름 없는 지갑 한 곳으로 약 35억5000만달러가 들어갔고 이 가운데 9억달러가량이 다시 다른 지갑으로 옮겨졌다고 짚었다. 보안업체 블록에이드(Blockaid)는 이더리움·아비트럼·아발란체에 걸쳐 약 33억달러의 의심스러운 유출을 들여다보고 있다고 했다.
추정치의 폭은 넓다. 코인데스크는 피해 규모를 17억~57억달러로 봤고, 블록체인 분석업체 아캄(Arkham)에는 의심 지갑의 보유 자산이 57억달러대로 표시됐다. 다만 특정 시점의 보유액이라 확정 피해액으로 보기는 어렵다. 저널리스트 몰리 화이트는 50억달러대 수치가 과대 추정일 가능성이 크다고 지적했다.
바이낸스는 공동창업자 허이(Yi He)를 통해 보고를 인지하고 조사 중이라며, 확인된 내용은 공식 채널로 알리겠다고 밝혔다. 초기에는 고객 자산 영향을 확인하지 못했다고 했으나 이후 대변인 명의로 고객 자금이 안전하다고 설명했다. 자오창펑은 경영에서 물러난 상태지만 주주로서 이용자 자산이 전액 보전될 것으로 본다고 했다.
대응은 발행사 쪽이 빨랐다. 서클은 약 8억2300만달러어치 USDC를 동결한 것으로 알려졌다. 파올로 아르도이노 테더 최고경영자(CEO)는 동결한 USDT가 15억6700만개를 넘는다고 밝혔다. 디파이 대출 프로토콜 에이브(Aave)는 해커가 이 자산을 담보로 돈을 빌리지 못하도록 일부 시장을 멈췄다.
시장도 흔들렸다. 기술주 실적 부진으로 이미 약세이던 비트코인은 7만9000달러대로 밀렸고, 바이낸스 코인(BNB)은 6% 넘게 빠졌다. 1시간 새 5억9000만달러 이상의 포지션이 강제 청산됐다.
논점
먼저 규모와 성격이 확정되지 않았다. 추정치가 맞다면 2025년 바이비트(Bybit)의 약 15억달러를 넘는 사상 최대 해킹이 된다. 반면 바이낸스는 아직 침해 사실과 피해액을 공식 확인하지 않았다. 고객 자산 영향에 대한 설명이 몇 시간 사이 달라진 점을 두고 소통이 혼란스러웠다는 지적도 나왔다.
스테이블코인 동결을 보는 시각도 갈린다. 발행사가 몇 시간 만에 20억달러 넘게 묶으면서 피해 회수의 핵심 수단이 됐다는 평가가 많다. 하지만 발행사가 언제든 특정 주소의 자산을 멈출 수 있다는 사실은 탈중앙성을 내세우는 업계의 오랜 논쟁거리다. 비트코인과 이더리움처럼 동결 장치가 없는 자산은 회수가 훨씬 어렵다는 점도 다시 드러났다.
시사점
국내 투자자에게도 남의 일이 아니다. 이달 빗썸 그룹웨어 침해와 프라뱅 핫월렛 탈취가 잇따랐고, 금융위원회는 거래소 보안을 은행 수준으로 끌어올리겠다고 예고했다. 세계 1위 거래소마저 핫월렛이 뚫렸다면 콜드월렛 보관 비율, 이상 출금 차단, 피해 보전 재원 같은 기준을 법에 어떻게 담을지가 더 무거운 과제가 된다.
지켜볼 일정은 바이낸스의 공식 사고 보고와 보전 방식, 해커 측의 추가 자금 이동, 국내 거래소의 입출금 관련 공지다. 해킹 소식을 틈탄 피싱도 늘 수 있어, 공식 채널이 아닌 링크와 계정 정보 요구는 피하는 게 좋다.
본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.
참고