바이낸스 해커, EIP-7702 위임으로 핫월렛 장악…“자폭 메커니즘”으로 흔적 삭제
||2026.10.31
바이낸스 해킹 충격이 30일(현지시각) 코인 시장 전반을 흔들었다. CNBC에 따르면 비트코인은 4% 내린 7만 7,465.05달러, 이더리움은 4% 내린 2,239.80달러에 거래됐다. 바이낸스 자체 토큰 BNB는 5% 떨어진 702.28달러였다. 반면 하이퍼리퀴드(Hyperliquid)의 HYPE 토큰은 9% 오른 92.67달러로 하락장에 역행했다.
주요 코인 4~5% 하락, HYPE는 홀로 상승 폭 확대
바이낸스는 이번 보안 사고의 추정 피해 규모가 63억 달러라고 밝혔다. 약 30억 달러 상당의 자산은 이미 동결됐고 손실 전액을 보전하겠다는 입장이다. CNBC는 이 사건을 암호화폐 업계 사상 “단연 최대” 해킹으로 규정했다.
시장 반응은 즉각적이었다. CNN에 따르면 비트코인과 이더는 해킹 소식이 전해진 직후 급락했다가 낙폭을 일부 만회했다. 금요일 홍콩 정오 무렵에는 2~3% 낮은 수준에서 거래됐다. 매체마다 집계 시점이 달라 하락률이 4%와 2~3%로 엇갈린다.
HYPE의 상승은 눈에 띄는 대목이다. HYPE는 시장 전반의 매도세를 거슬러 9% 올랐다. 다만 관련 보도들은 상승 배경을 따로 설명하지 않았다. 다른 종목 가운데에는 쏜체인(THORChain)의 RUNE이 바이낸스 63억 달러 해킹 뒤 13% 뛰었다는 별도 보도도 있었다.
노트북에서 시작된 침투, 이더리움 위임 기능까지 동원
바이낸스는 초기 조사 결과 개발·운영(DevOps) 엔지니어의 노트북이 침해됐을 수 있다고 밝혔다. 공격자가 이를 통해 서비스 컨테이너에 접근해 무단 출금 거래를 제출했다는 설명이다. 그러나 조사가 진행되며 판단이 달라졌다. 바이낸스는 “추가 침투 지점”을 발견했다고 밝혔고 사실관계를 확인하는 중이다.
리처드 텡(Richard Teng) 공동 최고경영자는 공격자가 이더리움의 EIP-7702 위임을 이용해 핫월렛(인터넷에 연결된 거래용 지갑)의 실행 권한을 얻었다고 설명했다. 이 위임은 “정상적인 승인 통제를 거치지 않았다”고 한다. 텡은 공격자가 침투 과정에서 도구와 흔적을 지우는 “자폭 메커니즘”을 썼다고도 밝혔다. 조사가 그만큼 까다로워졌다는 뜻이다. 텡은 엑스(X)에서 이번 공격이 ‘원클릭’ 방식이 아니라 복잡한 과정이었다고 강조했다. CNN에 따르면 조사는 특정 개인에게 책임을 돌리지 않았고 지갑 개인키 유출 증거도 찾지 못했다.
보안업체 블록에이드(Blockaid)의 이도 벤나탄 최고경영자는 EIP-7702 없이도 탈취가 가능했을 것이라고 말했다. 다만 이 기능이 보안 검증을 우회하는 데 도움이 됐을 수 있다고 봤다. 그는 서명 시스템이 침해된 점이 공격의 핵심이었을 가능성이 크다고 했다. 이 기능이 있었기에 공격자가 한 번에 처리할 수 있었고 없었다면 여러 건의 거래가 필요했을 것이라는 설명이다.
북한 연계 정황도 속속 나왔다. CNN에 따르면 TRM랩스는 “온체인·오프체인 정보”를 근거로 북한의 정예 해킹 조직을 지목했다. 싱가포르 기반 팡골린 인텔리전스와 체이널리시스도 북한 배후를 지목했다. 체이널리시스 대변인은 “높은 확신”이 있다고 했다. 사이버보안 분석가들은 북한의 ‘트레이더트레이터’를 의심하고 있다. CNN은 북한이 과거 해킹 의혹을 부인해 왔다고 덧붙였다.
스테이블코인은 막히고 이더는 쌓였다…출구 찾는 공격자
탈취 자금 추적에서는 세탁 방식이 주목받고 있다. 체이널리시스는 “이번 바이낸스 공격 자금에서 전에 본 적 없는 세탁 패턴이 관찰된다”고 밝혔다. 짧은 시간에 수천 건의 거래가 이어져 자동화로 자금 흐름을 흐리고 있다는 분석이다. 자금이 여러 주소를 반복해 돌고 앞서 쓰던 지갑으로 되돌아오기도 했다. 팡골린 분석가는 CNN에 “쫓고 쫓기는 게임은 이제 막 시작됐을 뿐”이라고 말했다.
디크립트에 따르면 공격자는 유니스왑과 에이브 같은 탈중앙화 서비스를 출구로 썼다. 발행사가 동결할 수 있는 스테이블코인을 누구도 동결할 수 없는 이더리움으로 바꾸는 방식이다. 이더리움 블록 탐색기 이더스캔 기록 기준으로 지갑 10개를 분석한 결과다. 두 서비스에서 결함이 발견된 정황은 없다.
집계상 두 지갑에는 약 25만 3,000 ETH(약 5억 7,000만 달러)가 쌓여 있었다. 22시 7분 기준 이 물량은 아직 밖으로 나가지 않았다. 테더와 서클은 의심 주소를 블랙리스트에 올려 약 20억 달러 넘는 USDT와 USDC를 동결했다. 리플도 약 2억 달러 규모 RLUSD를 동결했다고 Yi He가 엑스에 밝혔다. 동결 자산에는 이 밖에 USD1, XAUT, PAXG, ARB 등이 포함된다.
디파이 업계도 방어에 나섰다. 에이브는 사고 직후 이더리움 메인넷 V3 시장을 동결했다가 이후 V3·V4 전 시장에서 신규 예치와 대출을 재개했다. 창업자 스타니 쿨레초프는 모든 포지션이 과담보 상태라고 확인했다. 솔라나 기반 카미노는 SOL·BTC 시장 대출을 예방 차원에서 일시 중단했다.
북한 라자루스 그룹이 바이빗 해킹 뒤 탈취한 이더의 84.45%를 쏜체인으로 비트코인으로 바꿨다는 바이빗 최고경영자의 발언도 나왔다. 프라이버시 코인 모네로가 목요일 약 6% 오른 점도 자금 이동 가능성을 시사한다는 해석이다. 어디까지나 정황이며 확인된 사실은 아니다.
손실 보전 계획과 출금 재개 시점
바이낸스는 63억 4,000만 달러 넘는 회사 자금을 손실 보전용으로 따로 적립했다고 밝혔다. 이 가운데 50억 달러(약 6조 7,000억 원, 1달러 1,338원 기준)는 도난당한 것과 같은 토큰으로 이미 보유 중이었다. 바이낸스 대변인은 이 물량이 거래소 보관 상태라고 확인했다. 지갑 주소는 보안상 공개하지 않았고 확보 시점도 밝히지 않았다.
나머지는 장외거래와 시장 매수로 채우고 있다. Yi He는 도난 물량과 같은 규모의 알트코인을 사들이고 있다고 설명했다. 일부 매입은 유동성이 낮고 OTC 결제에 시간이 걸려 더 오래 걸릴 수 있다. 이 적립금에는 동결·보호된 자산이 포함되지 않는다. 바이낸스 SAFU 기금과 회사 보유분에는 비트코인과 이더가 상당량 들어 있다고 Yi He는 밝혔다.
출금 재개 일정은 보도마다 다르다. CNN은 일요일 아침 재개를 예상했고 48시간 이내라는 전망도 나온다. 텡은 40시간 이내 재개와 월요일까지 지급준비금 증명 보고서 공개를 목표로 제시했다. 입금은 정상 운영 중이다. 바이낸스는 아부다비 금융서비스규제청에 회사 자금 보고서를 매주 제출한다고 밝혔다. 이 의무는 해킹 이전부터 있었다.
수사 공조도 이어지고 있다. 바이낸스는 사법 당국과 협력 중이라고 밝혔고 한 소식통은 FBI와 자금 회수를 돕고 있다고 전했다. FBI는 성명에서 “사건을 인지하고 있으며 민관 파트너와 협력하고 있다”고 밝혔다. 미국 비밀경호국은 USDC 발행사 서클 등과 함께 자금을 동결·추적·회수하고 있다고 설명했다.
바이낸스는 디파이라마 기준 총자산 1,340억 달러로 준비금 기준 최대 거래소다. 최근 24시간 동안 약 60억 달러가 유출됐다. 앞서 바이빗은 약 15억 달러, 비트겟은 3억 5,000만 달러 넘는 자산을 사이버 탈취로 잃었다. 창펑 자오는 더 이상 거래소를 운영하지 않지만 최대 주주로 남아 있다. 그는 엑스에서 사용자 자금이 전액 보전될 것으로 기대한다고 밝혔다.
매일 보는 나만의 운세 리포트! 오늘 하루는 어떨까?