바이낸스 해킹 63억 달러 — 역대 최대, 30억 달러는 묶었고 출금은 11월 1일 재개 목표

가상자산 역사상 가장 큰 도둑질이 하루 만에 벌어졌고, 수습도 하루 만에 절반까지 왔다. 세계 최대 거래소 바이낸스는 한국 시각 2026년 10월 30일 새벽 보안 사고를 확인했고, 그날 오전 추정 피해를 약 63억 달러로 발표했다. 2025년 2월 북한 조직이 바이비트에서 빼 간 15억 달러의 4배다. 블록체인 분석사 TRM랩스에 따르면 공격자는 바이낸스 지갑 10개 블록체인에서 자금 대부분을 약 20분 만에 옮겼다.

같은 날 테더·서클·리플과 디파이 대출 서비스 에이브까지 연쇄적으로 동결에 나서 약 30억 달러가 묶였다. 바이낸스는 손실 전액을 보전하겠다며 63억4천만 달러 이상을 확보했다고 밝혔다. 남은 질문은 셋이다. 어떻게 뚫렸나, 누가 했나, 내 돈은 언제 빼나.

1. 어떻게 뚫렸나 — 노트북 한 대에서 출금 버튼까지

바이낸스의 1차 설명은 간단했다. 운영(DevOps) 엔지니어의 노트북이 감염됐고, 공격자가 그 권한으로 서비스 컨테이너에 들어가 무단 출금 거래를 제출했다. 지갑 개인키가 새어 나간 증거는 없다고 했다. 몇 시간 뒤 바이낸스는 추가 침투 지점을 찾았다며 "복잡한 공격"이라고 설명을 고쳤다. 리처드 텡 CEO는 한 번 클릭으로 끝난 공격이 아니라 여러 단계였다고 말했다.

업계가 주목한 대목은 EIP-7702다. 이더리움의 일반 지갑이 스마트계약에 권한을 위임할 수 있게 한 기능이다. 텡 CEO는 공격자가 핫월렛(인터넷에 연결된 지갑)에 이 위임을 걸어 평소의 승인 절차를 건너뛰었다고 밝혔다. 여러 체인의 자금을 한 번에 쓸어 간 속도가 여기서 나왔다는 분석이다. 공격자는 흔적을 지우는 자기 파괴 장치도 썼다고 텡 CEO는 덧붙였다.

사람 한 명의 노트북이 출발점이라는 구도는 낯설지 않다. 2025년 바이비트 사고도 지갑 서비스 개발자의 컴퓨터가 먼저 뚫린 데서 시작됐다는 분석이 나왔다. 북한이 기업 내부로 들어오는 다른 경로는 「랩톱 팜이란」에서 다뤘다. 개인 기기에서 운영 서버까지 이어지는 권한이 결국 수십억 달러짜리 문이 됐다.

2. 누가 했나 — 분석사들은 북한을, 바이낸스는 말을 아꼈다

트레이더트레이터는 미국 FBI가 2025년 바이비트 해킹의 범인으로 지목한 북한 조직이다. 잭XBT의 지적대로 9월 비트겟(약 3억5천만 달러) 자금과 이번 자금이 섞였다면, 한 조직이 두 달 사이 두 거래소를 턴 셈이다. TRM랩스 집계로 2025년 한 해 약 150건의 공격에서 도난된 가상자산이 29억 달러였다. 이번 한 건이 그 두 배를 넘는다.

체이널리시스는 자금 세탁이 자동화된 패턴으로 반복되고 있다고 밝혔다. 공격자는 유니스왑 같은 탈중앙 거래소로 토큰을 바꾸고, 훔친 USDT를 담보로 에이브에서 WETH를 빌려 동결 전에 자산을 다른 형태로 돌렸다.

3. 얼마나 묶었나 — 스테이블코인이 처음으로 '은행 역할'을 했다

동결된 30억 달러의 대부분이 스테이블코인이라는 점이 이번 사고의 특징이다. 비트코인과 이더는 블록체인 위에서 누구도 멈출 수 없지만, 달러 연동 스테이블코인은 발행사가 특정 주소를 막을 수 있다. 아캄 집계로 한때 공격자 지갑에는 비트코인 약 15억 달러, 이더 약 9억 달러, USDT 약 15억 달러, USDC 8억 달러 이상이 있었다. 스테이블코인은 대부분 묶였고, 비트코인·이더 쪽이 빠져나간 몫으로 남았다.

시장도 흔들렸다. 아시아 시장에서 비트코인은 3% 넘게 내려 6주 만의 최저인 7만6,368달러, 이더는 2,178달러까지 밀렸다. 바이낸스 자체 토큰 BNB는 24시간 동안 5~8% 내렸다. 미국 시간외 거래에서 코인베이스 주가는 4.8%, 비트코인을 대량 보유한 스트래티지는 6% 가까이 빠졌다. 코인베이스와 바이낸스US는 이번 사고와 무관하다고 밝혔다.

4. 내 돈은 — 전액 보전 약속, 그 재원은

바이낸스 공동 CEO 이허(Yi He)는 "모든 해킹 손실"을 보전하겠다고 했다. 재원은 2018년 만든 사용자 보호 기금 SAFU와 회사 자금이다.

SAFU만으로는 피해의 6분의 1 정도다. 결국 회사 돈이 대부분을 메운다는 뜻이다. 거래소에 맡긴 가상자산은 은행 예금처럼 법정 예금자보호를 받지 않는다. 보전은 바이낸스의 약속과 지급 능력에 달려 있다. 바이낸스가 이번에 밝힌 확보분이 피해 추정치와 거의 같은 63억4천만 달러인 이유다.

출금은 10월 30일 오후 2시 34분(UTC)부터 40시간 안에 재개하겠다는 것이 마지막 목표다. 한국 시각으로 11월 1일 오후 3시 30분께다. 목표는 하루 동안 48시간 → 45시간 → 40시간으로 세 번 바뀌었다.

5. 남은 것과 확인되지 않은 것

• 최종 피해액: 바이낸스 63억 달러, 체이널리시스 64억 달러로 엇갈린다. 바이낸스는 금액이 늘어날 수 있다고 했다.
• 나머지 33억 달러: 동결되지 않은 몫이 어디로 갔는지, 회수 가능성이 얼마인지 공개된 분석이 없다.
• 책임 주체: 분석사들은 북한을 가리키지만 공식 발표는 아직이다. 미국 정부가 바이비트 때처럼 공식 지목할지가 다음 단계다.
• 사후 보고서: 노트북 감염 경로, 추가 침투 지점, EIP-7702 악용 방식은 바이낸스의 공식 사후 보고서로 확인해야 한다.
• 출금 재개: 11월 1일 목표가 지켜지는지가 신뢰의 첫 시험대다. 홍콩 해시키의 팀 선은 이번 일로 투자자들이 중앙화 거래소 위험을 다시 따질 것이라고 했다.

AI 시대의 보안 사고는 이번 주에도 이어졌다. 같은 주 드루팔 쇼핑몰 모듈의 취약점이 실제 공격에 쓰였다(「드루팔 커머스 취약점 패치 버전」). 훔친 열쇠로 남의 자원을 쓰는 수법은 「API 키 도용이란」에서 다뤘다.