Key Takeaways
바이낸스가 밝힌 해킹 피해는 약 63억 달러로, 종전 최대였던 바이빗(14.6억 달러)의 4배가 넘는 역대 최대 규모임
해커는 직원 노트북을 통해 내부 시스템에 들어간 뒤, 출금 요청 대신 지갑 통제권을 넘기는 EIP-7702 위임장에 서명을 받아냄. 배후로는 사회공학 수법을 주로 써온 북한 해킹 조직 트레이더트레이터가 지목됨
FTX는 고객 돈을 유용해 무너졌지만, 바이낸스는 외부에 도난당한 손실을 회사 돈으로 충당하겠다고 밝혔으며 손실 구조가 다름
다만 동결된 30억 달러는 아직 돌아오지 않았고 SAFU 기금으로는 피해액의 18%만 채울 수 있어, 나머지 약 51억 달러를 감당할 회사 자금이 있는지는 확인되지 않음
입출금 재개 후 고객 이탈과 디파이로 흘러간 탈취 자산이 다음 변수이며, 충격은 바이낸스를 넘어 디파이 시장 전반으로 번질 전망
1. 바이낸스의 해킹 피해규모와 타임라인
세계 최대 가상자산 거래소 바이낸스가 해킹을 당했다. 블록체인 연구자 스프릭(Spreek)이 X에 바이낸스 연계 지갑의 자산이 신규 주소로 옮겨졌다고 공개했고, 이후 창펑 자오 바이낸스 창업자가 해킹 사실을 인정했다.
05:24 바이낸스 핫월렛 'Binance 14'에서 단일 거래로 이더리움 16만 7,464개와 테더(USDT) 약 16억 개 유출
05:32 온체인 연구자 스프릭, X에 이상 거래 최초 공개
06:15 창펑 자오, "바이낸스가 해킹당한 것으로 보인다"고 언급
06:16 바이낸스, "잠재적 보안 문제를 조사 중"이라는 첫 공식 입장 발표
06:18~06:25 서클(8억 USDC)과 테더(15.7억 USDT), 해커 연계 자산 동결
09:13 바이낸스, 입출금 전면 중단 및 "모든 손실 보전" 발표
09:52 바이낸스, 확인된 동결액 30억 달러 발표
11:23 바이낸스, 초기 조사 결과 공지: 총 피해 약 63억 달러, 원인은 데브옵스 엔지니어 노트북 해킹
바이낸스가 추정한 총 피해 규모는 약 63억 달러다. 이전 해킹 최대 사례였던 바이빗보다 4배가 넘는 규모다.
2. 어떤 방식으로 해킹을 당했는가?
바이낸스는 아직 초기 조사 결과만 내놓았을 뿐, 상세 사후 보고서는 공개하지 않았다.
2.1. 최근 거래소 해킹의 공통점은 '위조된 요청'
최근 대형 거래소 해킹에서 해커는 개인키를 훔치지 않고 개인키로 거래에 서명하는 '서명 시스템'을 노렸다.
우선 거래소에서 가상자산을 내보내려면 지갑의 개인키로 거래에 서명해야 한다. 거래소는 이 개인키를 사람이 아닌 서명 시스템에 보관하고, 출금 요청이 들어오면 시스템이 받는 주소와 금액 등을 확인한 뒤 서명해 거래를 내보낸다. 콜드월렛(인터넷과 분리해 키를 보관하는 지갑)이나 멀티시그(여러 명이 함께 서명해야 하는 지갑)도 결국 이 확인 절차를 거쳐 서명이 이뤄진다.
해커가 노리는 것이 이 확인 절차다. 직원 PC나 내부 서버에 침투하여 정상 출금처럼 보이는 가짜 요청을 서명 시스템에 직접 넣거나, 직원이 승인하는 화면의 내용을 바꿔치기할 수 있다. 이것이 '위조 요청'이다. 서명 시스템이 이를 진짜로 받아들이면 해커는 개인키 없이도 원하는 곳으로 자산을 보낼 수 있다.
그렇다면 해커는 어떻게 직원의 기기에 들어갈 수 있었을까? 최근 사례에서 가장 많이 쓰인 수법은 사회공학이다.
사회공학: 사회공학은 기술적 허점이 아니라 사람의 실수를 노리는 공격으로, 채용 담당자나 거래 상대를 사칭해 악성 파일을 열게 하거나 가짜 화면에 속아 승인하도록 유도하는 방식
이전 해킹 사례에서 바이빗과 DMM비트코인도 사회공학으로 직원 기기를 해킹했다.
바이빗(사회공학, 2025년 2월, 14.6억 달러): 지갑 업체 세이프의 개발자 PC를 악성코드로 감염시킨 뒤 서명 화면을 위조했다. 서명자는 일반 이체로 믿고 서명했지만, 실제로는 콜드월렛 통제권을 넘기는 거래였다. (시그니아, 세이프 사후 보고서)
DMM비트코인(사회공학, 2024년 5월, 3억 500만 달러): 북한 해킹 조직이 채용 담당자로 위장해 지갑 솔루션 업체 직원의 계정을 탈취했고, 정상 출금 요청을 중간에서 바꿔치기했다. (일본 경찰청·FBI 발표)
두 사례 모두 해커는 먼저 사람을 속여 내부로 들어왔고, 그다음 위조 요청으로 서명 시스템를 속이는 방식을 사용했다. 결국 콜드월렛과 멀티시그로 키를 아무리 잘 보관해도, 직원 한 명이 뚫리고 서명 시스템이 위조 요청을 걸러내지 못하면 문제가 발생할 수 있다.
2.2. 바이낸스는 무엇이 달랐나
바이낸스도 사회공학 수법으로 해킹당한 것으로 추정된다.
바이낸스는 엔지니어의 노트북이 해킹돼 공격자가 내부 시스템에 들어왔다고만 밝혔을 뿐, 노트북이 어떻게 뚫렸는지는 공개하지 않았다. 다만 TRM랩스가 배후로 지목한 북한 해킹 조직 트레이더트레이터는 바이빗과 DMM비트코인 때처럼 채용 사칭 같은 사회공학으로 직원 기기에 접근했다.
특히 피해를 키운 것은 'EIP-7702'라는 이더리움 기능이다.
EIP-7702는 일반 지갑이 일종의 위임장에 서명하면, 지정한 프로그램(스마트컨트랙트)이 그 지갑을 대신 움직일 수 있게 해주는 기능이다. 여러 거래를 한 번에 처리하는 등 지갑을 편하게 쓰도록 2025년 5월 도입됐다. 이 기능은 위임장에 한 번 서명하면, 지갑 안의 자산 전체를 그 프로그램이 다룰 수 있게 된다.
해커는 이 점을 노렸다. 바이낸스 내부 시스템에 들어간 해커는 출금 요청 대신 위임장을 서명 시스템에 넣었다. 위임장에는 받는 주소도 금액도 없어 출금 검사에 걸리지 않았고, 서명이 이뤄지자 바이낸스 핫월렛의 통제권이 해커가 만든 프로그램으로 넘어갔다. 해커는 3분 뒤 이 프로그램을 실행해 이더리움과 테더 등 63종의 토큰을 거래 한 번으로 빼냈다.
3. 바이낸스는 FTX처럼 파산이 될까?
사람들이 가장 우려하는 것은 바이낸스가 FTX처럼 파산할 것인가다. 손실이 생긴 구조를 보면 FTX와는 다르지만, 바이낸스가 이 손실을 끝까지 감당할 수 있을지는 아직 단정하기 어렵다.
3.1. 문제가 발생한 구조가 FTX와 다르다
먼저 바이낸스와 FTX는 발생한 문제의 이유가 다르다. FTX는 해킹이 아니라 고객 자금을 무분별하게 사용한 게 문제였다.
2022년 5월 테라·루나 붕괴로 코인 가격이 폭락하자, FTX의 관계사 알라메다리서치에 돈을 빌려준 업체들이 일제히 상환을 요구했고 알라메다는 이를 갚기 위해 FTX 고객 예치금을 알라메다로 약 80억 달러를 보냈다. 그해 11월 FTX의 재무 상태를 의심하는 보도가 나오자 고객들이 한꺼번에 출금을 요청했지만, 고객 돈은 이미 알라메다로 빠져나간 뒤였다. 돈을 돌려주지 못한 FTX는 결국 파산했다.
반면 바이낸스의 손실은 해킹으로 자산을 외부에 도난당한 것이다. 바이낸스는 이 손실을 고객 돈이 아닌 비상 기금(SAFU)과 회사 자체 자금으로 해결하겠다고 했지만, 문제는 바이낸스가 가진 돈으로 이 해결할 수 있느냐다.
3.2. 바이낸스는 손실을 감당할 수 있을까
바이낸스가 추정한 총 피해는 63억 달러로, 바이낸스가 보관 중인 전체 자산(약 1,440억 달러)의 4.4% 수준이다. 테더·서클 등 스테이블코인 발행사가 이 중 30억 달러를 동결했지만, 동결은 해커가 쓰지 못하게 묶어둔 것일 뿐 바이낸스에 돌아온 것은 아니다. 수사기관과 발행사 절차를 거쳐 돌려받아야 실제 손실이 약 33억 달러(보유자산의 2.3%)이다.
그래서 바이낸스는 동결 자산을 돌려받기 전까지 63억 달러를 먼저 메워야 한다. SAFU 기금(약 11.6억 달러)으로는 18%만 채울 수 있고, 나머지 약 51억 달러는 회사 자금에서 나와야 한다. 문제는 바이낸스가 재무제표를 공개하지 않아 회사 자금 규모를 확인할 수 없다는 점이다.
또 다른 문제는 입출금을 다시 연 뒤다.
해킹 손실을 해결하는 것과, 불안해진 고객이 한꺼번에 자금을 빼갈 때 이를 버티는 것은 별개의 문제다. 바이빗은 해킹 직후 하루 만에 보유자산의 약 24%인 40억 달러가 빠져나갔다. 같은 비율이면 바이낸스에서는 최대 350억 달러가 한꺼번에 출금될 수 있다. 총 피해액 63억 달러의 5배가 넘는 규모다.
따라서 바이낸스는 입출금을 재개하기에 앞서 대규모 인출에 대비한 대책을 밝혀야 한다.
동결 자산을 돌려받기 전까지 출금에 쓸 자금을 어떻게 마련했는지, 갱신된 준비금 증명을 언제 내놓을지가 가장 중요하다. 입출금을 다시 연 시점까지 구체적인 계획이 없다면 고객 불안이 가중되어 대규모 뱅크런으로 번질 수 있기 때문이다.
4. 연쇄 뱅크런
바이낸스의 뱅크런 우려는 1차적인 문제다. 가상자산 시장은 하나의 자산이 여러 디파이와 연결되어 있기 때문이다.
당장에 발행사가 동결할 수 있는 것은 스테이블코인뿐이어서, 해커는 나머지 자산을 이더리움으로 바꿔 디파이로 옮겼다. 예를 들어 탈취한 USDT를 Aave에 맡기고 이더리움을 빌려 가기도 했다. 이에 디파이 최대 대출 프로토콜인 Aave는 추가 피해를 막기 위해 전 시장을 동결했다.
즉 피해는 바이낸스에서 끝나는 게 아니라, 연결되어 있는 디파이로 이어질 수 있다는 것이다. 예를 들어 지난 4월 켈프다오 해킹 피해액은 2.9억 달러였지만, 불안이 퍼지면서 이틀 동안 디파이 전체 예치금은 132억 달러 줄었다. 이는 해킹 금액의 45배다.
즉, 2차적인 뱅크런도 가능하다는 것이다. 해커가 가진 이더리움과 디파이 토큰이 시장에 풀리거나 Aave 동결이 길어져 해결되지 않은 상태에서 입출금이 열리며 예치금이 빠져나가기 시작하면, 바이낸스 1차 뱅크런에 이서 디파이 시장의 2차 뱅크런으로 이어질 수 있다는 것이다.
결국 바이낸스 측에서 해킹 손실을 어떻게 해결할 수 있을 지 구체적인 안이 나와야하는 상황이다. 위에서 언급한 것 같이 바이낸스와 같은 대형 거래소에게 문제가 될만한 금액은 아니지만, 누구도 확신할 수 없기에 계속해서 대응을 지켜봐야할 것이다.
🐯 More from Tiger Research
이번 리서치와 관련된 더 많은 자료를 읽어보세요.Disclaimer
이 보고서는 신뢰할 수 있는 자료를 바탕으로 작성되었습니다. 그러나 정보의 정확성, 완전성, 그리고 적합성을 명시적으로나 암시적으로 보증하지 않습니다. 당사는 본 보고서나 그 내용을 이용함에 따른 모든 손실에 대해 책임을 지지 않습니다. 이 보고서의 결론과 권고사항, 예상, 추정, 전망, 목표, 의견 및 관점은 작성 당시의 정보를 바탕으로 하며 예고 없이 변경될 수 있습니다. 또한 타인 및 타조직의 의견과 일치하지 않거나 반대될 수 있습니다. 이 보고서는 정보 제공의 목적으로 작성되었으며, 법률, 사업, 투자, 또는 세금에 관한 조언으로 간주되어서는 안 됩니다. 또한 증권이나 디지털 자산에 대한 언급은 설명을 위한 것일 뿐, 투자 권고나 투자 자문 서비스 제공을 제안하는 것이 아닙니다. 이 자료는 투자자나 잠재적 투자자를 대상으로 하지 않았습니다.
타이거리서치 리포트 이용 안내
타이거리서치는 리포트의 공정 사용을 지지합니다. 이는 공익적 목적으로 콘텐츠를 인용하되 상업적 가치에 영향을 주지 않는 범위에서의 넓은 사용을 허용하는 원칙입니다. 공정 사용 규칙에 따라, 리포트를 사전 허가 없이 사용할 수 있으나, 타이거리서치 리포트를 인용 시에는 1) 출처로 ‘타이거리서치’를 분명히 밝히고, 2) 타이거리서치 로고를 포함시켜야 합니다. 자료를 재구성하여 출판할 경우에는 별도의 협의가 요구됩니다. 사전 허가 없는 사용은 법적 조치를 초래할 수 있습니다.
