바이낸스 보안 사건 전모: 63억 달러의 행방, 확인된 사실 및 출금 상태

개요

바이낸스가 2026년 10월 29일 핫월렛 자금이 전출되는 보안 사고를 겪었으며, 공식 추산 기준 영향 규모는 약 63억 달러로 공개 기록상 최대 규모의 암호자산 절도입니다. 10월 30일 07:00 UTC 기준 출금은 여전히 중단된 상태이며, 바이낸스는 48시간 이내에 복구를 시작할 것으로 예상한다고 밝혔고 입금은 최신 서비스 업데이트에 따라 정상 운영으로 복귀했습니다. 온체인에서 동결된 관련 자산은 약 30억 달러이며, 아직 자산이 회수되어 거래소에 반환된 공개 기록은 없습니다. 바이낸스는 SAFU 펀드와 회사 자금으로 전액 손실을 부담하겠다고 밝혔습니다.

기술적 경로는 대부분의 거래소 피해 사건과 다릅니다. 이더리움상의 전출은 EIP-7702 위임 승인 한 건을 통해 이루어졌으며, 공격자는 지갑 개인키를 획득하지 않았고 핫월렛이 자신이 배포한 컨트랙트에 따라 자산 스윕을 실행하도록 했습니다. 바이낸스는 초기 조사에서 지갑 개인키 유출 증거를 발견하지 못했다고 밝혔으며, 침입 경로는 해킹당한 DevOps 엔지니어의 노트북을 지목했습니다.

핵심 요점

사건 타임라인

온체인 기록, 연구 기관의 판단, 공식 입장 세 가지는 이번 사건에서 진행 속도가 서로 달랐으며, 아래 표는 통일된 시간대에 따라 배열하고 각 항목의 성격을 표기했습니다. 모든 시간은 UTC이며, 싱가포르 시간은 여기에 8시간을 더한 값입니다.

두 가지 단서를 별도로 주목할 필요가 있습니다. 첫째, 발행사의 동결 조치가 거래소의 서비스 중단보다 빨랐습니다. Tether와 Circle은 첫 대규모 스윕 후 약 40분 이내에 1차 동결을 완료했으며, 출금 중단은 22:15 UTC에 발생했습니다. 둘째, 바이낸스 임원의 표현이 점진적으로 변화했습니다. 공동 CEO 허이는 10월 30일 00:24 UTC 게시물에서 처음으로 "공격"이라는 단어를 사용했으며, 회사 메인 계정은 이전 공지에서 "잠재적 보안 문제"라는 표현을 사용했습니다.

금액 기준: 전출, 동결, 미동결, 회수의 구분

공개적으로 유통되는 금액은 33억 달러에서 63.6억 달러까지 다양하며, 차이는 세 가지에서 비롯됩니다. 통계가 포함하는 체인이 다르고, 가격 산정 시점이 다르며, 통계 대상이 전출 금액인지 공격자 지갑의 보유 잔액인지가 다릅니다.

동결된 자산 분포

TRM Labs가 10월 30일 00:30 UTC 기준으로 집계한 동결 금액은 Tether 약 17.7억 USDT, Circle 약 8.25억 USDC, Ripple 4,050만 RLUSD, World Liberty Financial 2,780만 USD1, 그리고 Arbitrum 보안위원회가 처리한 8,426 ETH와 7,460만 ARB로 총 약 27억 달러입니다. 바이낸스가 22분 후 통보한 확인된 동결 금액은 약 30억 달러이며,两者的差额来自统计时点，而非口径冲突。First Digital은 02:21 UTC에 문제의 FDUSD를 동결했으나 구체적 금액은 공개하지 않았으며, 해당 부분은 위 분류에 포함되지 않았습니다.

동결은 회수를 의미하지 않음

동결된 자산은 발행사의 컨트랙트 블랙리스트 상태에 있으며, 공격자 손에도 없고 거래소 장부로 돌아오지도 않았습니다. 자산이 바이낸스로 돌아가려면 발행사가 재발행하거나 사법 절차에 따라 이전해야 하며, 이 단계는 2025년 2월 Bybit 사건에서 수개월이 걸렸고 당시 15억 달러 규모의 도난 중 4,840만 달러만 회수되었습니다. 바이낸스 기준으로 계산하면 현재 동결 금액은 영향 규모의 약 48%이며, 나머지 부분은 중앙화된 발행자가 없는 비트코인과 이더리움 두 자산에 집중되어 있어 동일한 동결 경로가 존재하지 않습니다.

공격자가 동결 발효 전 현금화한 움직임

TRM Labs는 공격자가 발행사 동결 발효 전에 10% 이상의 할인율로 마켓메이커에 약 3.25억 USDT를 매도하여 약 122,300 ETH로 교환했으며, Aave에서 USDT를 담보로 ETH를 차입하고 동시에 트론 체인의 대출 프로토콜과 Uniswap을 통해 자산을 교환·이전한 것을 기록했습니다. 이 일련의 행동은 동결 가능한 중앙화 스테이블코인을 동결 불가능한 네이티브 자산으로 바꾸었으며, 나머지 24억 달러가 BTC와 ETH에 집중된 직접적 원인입니다.

공격 경로

이더리움상의 EIP-7702 위임

EIP-7702는 2025년 5월 이더리움 Pectra 업그레이드와 함께 출시되었으며, 일반 계정이 특정 스마트 컨트랙트에 자신을 대신하여 작업을 실행하도록 승인할 수 있게 합니다. TRM Labs와 Blockaid의 분석에 따르면, 공격자가 제출한 위임 거래에는 50개의 사전 서명 승인이 포함되어 있었으며, 각각 연속된 50개의 거래 순번에 대응하여 그중 하나가 실행 시 유효한 상태에 있도록 보장했습니다. 승인이 발효된 후 바이낸스의 핫월렛은 공격자가 배포한 컨트랙트 로직에 따라 스윕을 완료했으며, 전체 과정은 위임 발효 후 약 3분 30초 이내에 종료되었습니다. 관련 컨트랙트는 당일 이른 시각에 배포되었으며, 연관 주소의 초기 자금은 믹서 서비스의 소액 출금에서 비롯되었습니다.

이 메커니즘은 "개인키 유출 미발견"과 "지갑 비워짐"이 동시에 성립할 수 있는 이유를 설명합니다. 위임 승인 자체는 지갑에서 발생한 유효한 서명 한 건이 필요하지만, 공격자는 서명 요청이 승인되도록 하기만 하면 되며 개인키 자체에 접촉할 필요가 없습니다. Blockaid는 이에 따라 사건의 성격을 서명 인프라의 키 오용으로 판단했습니다.

나머지 9개 체인의 전출은 동일 메커니즘으로 설명 불가

TRM Labs가 집계한 전출은 10개 체인을 포함하며, 그중 이더리움 약 37.9억 달러(200,630 ETH와 약 18.75억 USDT 포함), 비트코인 18,270 BTC 약 14.7억 달러, 트론 약 6.28억 달러, XRP Ledger상 233.46만 XRP 약 2.96억 달러, Solana상 970,500 SOL 약 9,600만 달러, Arbitrum·Optimism·Base 합계 약 3,900만 달러, Avalanche 약 2,800만 달러, Polygon 약 1,000만 달러입니다. 이더리움을 제외한 나머지 체인의 전출은 모두 일반 서명 전송이며, EIP-7702는 이들 체인에서 적용되지 않습니다. TRM Labs는 이에 따라 핫월렛 서명 인프라 전체가 장악된 가능성이 더 높다고 판단했습니다.

공식 초기 결론

바이낸스는 10월 30일 02:25 UTC 성명에서 초기 조사 결과 사건이 해킹당한 DevOps 엔지니어의 노트북과 관련되었을 가능성이 있으며, 공격자가 이를 통해 서비스 컨테이너에 접근하여 무단 출금 거래를 제출했다고 밝혔고, 동시에 지갑 개인키 유출 증거는 발견되지 않았다고 밝혔습니다. 바이낸스는 문제 주소의 승인을 철회했으며, 복구 완료 후 준비금 증명 데이터를 업데이트하고 별도로 전체 기술 사후 분석 보고서를 공개할 예정이라고 밝혔습니다. 10월 30일 07:00 UTC 기준 해당 사후 분석 보고서는 아직 발표되지 않았습니다.

귀속

TRM Labs는 높은 신뢰도로 공격을 북한 해커 조직 TraderTraitor에 귀속시켰으며, 근거로는 온체인·오프체인 정보와 2025년 2월 Bybit 사건 및 2026년 4월 KelpDAO 사건과의 믹서 소액 입금 및 사전 서명 수법의 유사성을 들었습니다. 온체인 조사자 ZachXBT와 Blockaid도 북한 방향을 지목했습니다. 현재까지 법집행 기관의 공식 인정은 없습니다.

사용자에 대한 실제 영향

서비스 상태

바이낸스는 10월 29일 22:15 UTC 출금을 중단했고, 10월 30일 00:07 UTC 입금을 중단했습니다. 공동 CEO 허이는 10월 30일 04:17 UTC 서비스 업데이트에서 팀이 출금 서비스 및 관련 주소의 보안 개편을 완료하기 전까지 출금은 중단 상태를 유지할 것이며, 48시간 이내에 복구를 시작할 것으로 예상한다고 밝혔으며, 해당 기간은 11월 1일 04:17 UTC 전후에 해당합니다. 같은 업데이트에서 입금은 영향을 받지 않으며 정상 운영 중이라고 밝혔습니다. 바이낸스는 00:07 UTC와 02:25 UTC 공지에서 모두 입금을 중단으로 분류했으며, 04:17 UTC의 표현과 다르지만 회사는两者的差异에 대해 설명하지 않았습니다. 10월 30일 07:00 UTC 기준 출금 중단은 약 9시간 지속되었으며, 48시간 기간에 따라 복구가 완료되면 중단 시작부터 총 중단 시간은 약 54시간이 됩니다. 현물 및 선물 거래는 이 기간 동안 중단 공지가 없었습니다.

손실 부담

바이낸스는 공지에서 SAFU 펀드와 회사 자금으로 전액 손실을 부담하겠다고 밝혔고, 사용자 자산은 안전하다고 밝혔습니다. 창업자 자오창펑은 소셜 플랫폼에서 주주로서 사용자 자금이 전액 커버될 것으로 예상하며, 손실 규모가 최초 통보보다 다소 클 수 있다고 밝혔습니다. DefiLlama 데이터에 따르면 사건 전 바이낸스 플랫폼 자산은 약 1,440억 달러였으며, 영향 규모는 그중 약 4.4%입니다. 마켓메이커 Wintermute CEO Evgeny Gaevoy는 현재 규모의 3~4배로 계산해도 바이낸스는 여전히 감당할 수 있다고 밝혔습니다. Wintermute와 GSR 모두 바이낸스에 익스포저가 있음을 공개했으며, GSR은 순자본의 5% 미만, Wintermute는 20% 미만이라고 밝혔고 두 회사 모두 금액은 공개하지 않았습니다.

시장 반응

사건 당일 밤 시장은 6주 최저치까지 하락했습니다. 10월 30일 01:19 UTC 기준 비트코인은 약 76,937달러로 24시간 동안 4.9% 하락했고, 이더리움은 5.7% 하락한 약 2,211달러, BNB는 약 8% 하락한 약 693달러, AAVE는 11.3% 하락, UNI는 10.7% 하락했습니다. 비트코인은 장중 최저 약 76,650달러까지 떨어졌습니다. 이후 시장은 부분적으로 낙폭을 회복했으며, CoinGecko 데이터에 따르면 10월 30일 06:35 UTC 기준 비트코인은 78,518달러로 24시간 낙폭이 1.78%로 축소되었고, 이더리움은 2,245.53달러로 2.79% 하락, BNB는 715.24달러로 4.83% 하락했습니다. CoinGlass는 사건 후 24시간 내 전 시장 레버리지 청산이 약 14억 달러라고 집계했으며, 이 수치에는 이번 사건과 무관한 일반 청산이 포함됩니다.

사건 이후 확인 가능한 정보

준비금 증명이 답할 수 있는 것

준비금 증명은 머클 트리를 통해 사용자가 자신의 잔액이 거래소가 신고한 부채에 포함되었는지 검증하고, 신고된 부채와 온체인에서 확인 가능한 주소의 자산을 대조합니다. 이는 특정 시점의 자산·부채 대응 관계를 답할 뿐, 핫월렛의 서명 권한이 어떻게 관리되는지, 운영 단말이 어떻게 격리되는지, 사건 발생 후 자산이 언제 보충되는지는 답하지 않습니다. 바이낸스는 복구 완료 후 준비금 증명 데이터를 업데이트할 예정이라고 밝혔으며, 이 업데이트의 시점과 수치는 이번 사건 후 가장 직접적인 확인 항목입니다. 사용자가 이러한 데이터의 제시 방식을 이해하려면 MEXC의 준비금 증명 페이지가 채택한 공개 구조를 참고할 수 있습니다.

승인형 공격과 개인키 유출의 차이

온체인 지갑을 보유한 사용자에게 이번 사건에서 주목할 기술적 세부 사항은 승인과 개인키의 분리입니다. EIP-7702 유형의 위임은 일단 서명되면 컨트랙트가 이후 정