Austin Campbell, 10억 달러 초과 암호화폐 이체에 24시간 자동 보류 규칙 제안

10억 달러 이체에 24시간 시계

Zero Knowledge Group의 창립자이자 관리파트너인 Austin Campbell이 10억 달러를 넘는 암호화폐 이체에 24시간 자동 보류를 적용하자고 제안했다. 그는 11월 2일에 녹음된 Bits + Bips 팟캐스트에서 이 구상을 밝혔는데, 이는 10월 29일(목) 바이낸스의 핫월렛 침해로 거래소에서 약 63.4억 달러가 유출된 사건을 두고 나온 것이다. 제안의 핵심 메커니즘은 의도적으로 단순하다. 대규모 거래마다 담당자의 승인을 받는 대신, 규칙 자체를 프로토콜 수준에 두고 이체 금액이 기준선을 넘는 순간 24시간 카운트다운이 시작되도록 하는 방식이다. Campbell은 “10억 달러를 옮기겠다면 그 이체에는 24시간의 시계가 걸린다. 아무렇게나 밖으로 내보낼 수 있는 일이 아니다”라고 말했다.

그의 논리는 이렇다. 업계는 기술적 리스크를 중심으로 시스템을 만들었을 뿐, 전통 금융이 기본으로 여기는 금융 리스크 통제 장치를 들여오지 않았다는 것이다. Campbell은 “암호화폐는 기술 영역 밖의 보안을 스스로 구축하지 않았다”고 지적했다. 그는 대규모 자금 이동의 속도 제한 장치인 서킷브레이커를 전통 금융의 대응 사례로 꼽았다. 마켓메이커로 일하던 시절의 경험도 소환했다. 같은 매수자가 계속 수량을 더 요구하면 주문을 채우는 대신 호가를 넓혔다는 것으로, 그는 이를 “기초 수준의 리스크 관리”라고 불렀고, 암호화폐 업계가 이 단계를 건너뛰었다고 평가했다. 인공지능에 대해서는 공격자가 수비 측이 패치하기 전에 취약점을 더 빠르게 탐색할 수 있게 해준다고 보면서도, 양쪽 모두에 도움이 되는 도구라고 언급했다. 같은 방송에서 Lumida Wealth의 창립자이자 최고경영자인 Ram Ahluwalia는 디지털 자산이라는 자산군이 고객 예치금 보호에 실패했다며 “극도로 실망스럽다”고 말했다. 이는 단순한 FUD를 넘어 고객 자금을 지키는 산업 구조 자체에 대한 비판으로 읽힌다.

63.4억 달러 사후 분석 내막

바이낸스의 11월 3일자 사후 분석문은 10월 29일 침해의 규모를 출금 처리용 온라인 연결 지갑, 즉 핫월렛에서 빠져나간 63.4억 달러 규모의 자산으로 확정했다. 온체인 분석 결과 도난 자금은 10개 블록체인으로 옮겨졌고, 대부분은 약 20분 안에 흔적을 지웠다. FBI는 이 사건을 북한의 TraderTraitor 조직 소행으로 보고 있으며, 북한은 이 주장을 부인했다. 온체인 기록에 따르면 공격은 10월 29일(목) UTC 기준 저녁, 4분 남짓한 시간대에 바이낸스 5개 지갑에서 2억 3,346만 리플(XRP)을 공격자 주소로 옮기는 방식으로 시작됐다. 사후 분석문은 침입 경로를 감염된 엔지니어의 단말기와 내부 지갑 서명 서비스 악용의 결합으로 추적했다. 이 서비스는 자금이 커스터디를 벗어나는 트랜잭션을 승인하는 구성 요소다. 공개된 재발 방지 목록에는 지갑 시스템 재구축, 직원 단말기 통제 강화, 서명 서비스에 대한 리스크 관리 강화, 인공지능 기반 이상 탐지 확대가 담겼다. 다만 출금 지연이나 한도, 타임락은 목록에 없고, 일부 보안 조치는 기밀로 유지된다는 입장이다. 바이낸스는 손실을 자체적으로 부담하겠다고 밝혔다. 11월 2일 공지는 보상 규모를 피해 금액의 약 95%로 제시했고, 사후 분석문은 10월 31일(토) 기준으로 피해 토큰 자산의 98%로 이 수치를 올렸다. 이 숫자는 바이낸스가 영향받은 잔액에 맞춰 다시 채워 넣은 토큰을 측정한 것이지 공격자에게서 회수한 자산이 아니며, 쉽게 혼동되기 쉬운 두 개의 다른 지표다. 11월 1일(일) 출금이 재개된 뒤 예금 행태는 질서를 유지했다. 첫 9.5시간 동안 순유출은 36.4억 달러로, 고객 자산 1,710억 달러의 2.1%에 해당했다.

사후 분석문이 짚은 근본 원인은 암호학적 결함이 아니라 운영상의 문제였다. 감염된 단말기 하나가 자금 이동에 대해 지나치게 큰 단독 권한을 지닌 서명 서비스와 결합한 형태다. Campbell이 제안한 24시간 시계가 정확히 이 공백을 메우는 장치인데, 공개된 대응 목록은 대규모 출금에 대한 타임락까지는 나아가지 않았다. 다만 일부 조치가 공개되지 않았다는 거래소의 설명이 있어, 목록에 없다는 사실만으로 실제 부재를 단정할 수는 없다. 도난 토큰 자산의 98%가 채워졌고 순유출도 총 자산의 2.1%에 그친 만큼, 즉각적인 예금 이탈은 통제된 상태다. 아홉 자릿수와 10억 달러 규모 이체에 자동 지연 규칙을 업계가 채택할지 여부가 이번 사건이 남긴 과제다.