바이낸스 “침해 지점 더 있었다”…출금 재개 앞 준비금 증명 시험대

사상 최대 규모의 해킹을 당한 바이낸스(Binance)가 사고 이틀째인 30일(미국 동부시간) 처음 지목한 직원 노트북 말고도 침해 지점이 더 있었다고 밝혔다. 회사는 출금을 일요일인 11월 1일까지 재개하고 2일에 준비금 증명(PoR) 보고서를 공개하겠다고 했다. 사고 원인 조사와 고객 신뢰 회복이 동시에 진행되는 셈이다.

무슨 일이 있었나

리처드 텅 공동 최고경영자(CEO)는 조사 과정에서 추가 침해 지점이 확인됐지만 전체 공격 순서는 아직 파악하지 못했다고 말했다. 코인데스크에 따르면 공격자는 흔적을 지우는 자기 삭제 장치를 썼고, 이더리움의 계정 위임 기능(EIP-7702)을 이용해 정상 승인 절차를 거치지 않고 핫월렛 통제권을 가져갔다. 텅 CEO는 한 사람의 권한만으로 이뤄진 단순 공격이 아니라는 취지로 설명했다. 개인키가 유출된 증거는 찾지 못했다고 했다.

피해 추정액은 약 63억달러다. 바이낸스는 손실 전액을 회사 자금으로 메우겠다며 63억4000만달러 이상을 따로 떼어 뒀다고 밝혔다. 이 가운데 약 50억달러는 이미 보유한 해당 코인이고, 나머지는 거래소와 장외(OTC)시장에서 사들이고 있다. 스테이블코인 발행사 등이 묶은 자산은 약 30억달러다.

출금은 여전히 막혀 있다. 회사는 클라우드 시스템, 직원 기기, 개인키 관리, 거래 서명 절차를 전면 점검한 뒤 출금 서비스를 다시 열겠다고 했다. 입금은 30일 오전부터 정상 운영 중이다. 체이널리시스와 TRM랩스 등 분석업체는 북한 연계 조직 트레이더트레이터(TraderTraitor)를 배후로 지목했지만, 정부 차원의 공식 확인은 아직 없다.

논점

쟁점은 '고객 자산이냐 회사 자산이냐'다. 텅 CEO는 공격 대상이 회사 핫월렛이었고 고객 자산은 영향을 받지 않았다고 했다. 고객 자금 대부분은 콜드월렛에 있고, 출금 요청이 있을 때만 핫월렛으로 옮긴다는 설명이다. 그런데 코인데스크가 바이낸스의 준비금 자료를 확인한 결과, 털린 지갑들은 과거 고객 잔고를 뒷받침하는 자산 목록에 포함돼 있었다.

회사가 손실을 전액 메운다면 고객 입장에서 결과는 같다는 반론도 있다. 회사가 손실액을 웃도는 재원을 이미 확보했다고 밝힌 만큼 지급 능력 우려는 과하다는 시각이다. 다만 준비금 증명은 '고객 돈만큼 자산을 갖고 있다'는 걸 보여주는 장치다. 같은 지갑을 평소엔 고객 담보로 집계하고 사고 뒤엔 회사 돈이라고 한다면 집계 기준부터 설명이 필요하다는 지적이 나온다.

시사점

일요일 출금 재개와 월요일 보고서가 첫 시험대다. 출금이 예정대로 열리는지, 보고서가 사고 전후 지갑 구분과 보전 재원을 얼마나 구체적으로 보여주는지에 따라 이용자 이탈 규모가 갈릴 수 있다. 아캄(Arkham) 집계로 공격자가 아직 옮길 수 있는 약 29억달러 상당 자산의 향방도 변수다.

국내에서는 업비트·빗썸 등이 바이낸스로의 출금 주의를 안내한 상태다. 금융당국이 추진하는 디지털자산 법제에 해킹 시 배상 책임과 준비금 공시 기준을 어떻게 담을지에도 이번 사고가 참고 사례가 될 전망이다. 해킹을 미끼로 한 피싱에도 주의가 필요하다.

본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.

참고

• CoinDesk · Binance discovers multiple breach points in $6.3 billion attack, eyes Sunday reopening
• Decrypt · Binance Finds 'Additional Points of Breach' in $6.3B Hack
• TokenPost · Binance Plans Full Proof-of-Reserves Report by Monday, Teng Says
• Forbes · Binance's $6.3 Billion Hack Started With One Engineer's Laptop