바이낸스 해킹: 가짜 면접으로 20분 만에 63억 달러 유출

가짜 면접, 20분간의 자금 유출

10월 29일, 약 63억 달러 규모의 자금이 약 20분에 걸쳐 바이낸스 지갑에서 빠져나갔다. 암호화폐 역사상 최대 규모의 탈취 사건으로, 2025년 2월의 Bybit 해킹을 네 배 이상 상회하는 금액이다. 거래소 측 설명에 따르면 침입 경로는 엔지니어의 컴퓨터였고, 이 컴퓨터는 가짜 채용 면접을 통해 감염됐다. 공격자는 해당 장비를 발판으로 플랫폼 내부 시스템 안에서 서명 권한을 확보했다. 바이낸스의 설정은 한 번의 배치 승인으로 50건의 권한 부여를 처리하도록 속였고, 그중 한 건만으로도 22억 달러 규모 지갑이 넘어갔다. 해당 자금 이동은 공격자의 Etherscan 주소에서 공개적으로 기록되어 확인할 수 있다. 바이낸스는 이틀 뒤인 10월 31일, 자체 자금으로 피해 자산의 98%를 복원했다고 발표했고 출금은 다음 날 재개됐다. 복원 내역은 회사의 준비금 증명 공시에서 대조할 수 있다. 원인은 암호학적 결함이 아니라 신원 탈취, 그리고 한 번의 동작으로 수십 건의 승인을 허용하던 서명 절차의 조합이었다. 이 사건은 익숙한 연속선 위에 놓인다. 2014년 Mt. Gox, 2019년 QuadrigaCX, 2022년 FTX, 2025년 Bybit, 그리고 이번 사건까지. 매번 반사적인 답은 개인 지갑으로의 자산 보관이었다. 개인 키가 없으면 자산이 아니라 채권만 쥐고 있다는 논리다. 이 전제는 기술적으로 옳다. 그러나 여기서 흔히 도출되는 결론, 즉 개인 지갑 보관이 자동으로 더 안전하다는 주장은 개인 피해 기록과 마주하면 유지되지 않는다. 개인이 전 재산을 잃을 때 그 사실을 알아차리는 이웃은 거의 없다. 흔적이 전부 온체인에 남아 있어도 블록체인 조사를 따라가는 외부인은 드물고, 피해자 가운데 다수는 경찰에 신고조차 하지 않는다.

거래소 밖에서 더 조용히 일어나는 피해

2026년의 기록은 이러한 침묵이 무엇을 감추는지 보여준다. 1월 10일, 한 투자자는 Trezor 고객지원을 사칭한 사기꾼에게 하드웨어 지갑의 시드 문구를 그대로 읽어 들려줬다. 기기 자체는 완벽히 정상 작동했지만 소유자는 1,459 BTC와 205만 LTC, 2억 8,200만 달러 이상을 잃었다. 탈취된 코인은 즉시 모네로로 전환되기 시작했고, 동결은 자금이 스테이블코인 발행사나 거래소에 닿을 때만 가능하다. 서명 피싱만으로 1월 한 달에 630만 달러가 추가로 유출됐다. 피해자들이 오프체인 메시지에 서명해 제3자에게 토큰 이동 상시 권한을 넘기는 방식으로, 실질적으로 백지 수표와 같다. 같은 달에는 주소 오염 수법도 발생했다. 피해자는 거래 내역에 심어진 유사한 지갑 주소를 복사해 1,225만 달러를 엉뻉지 않은 곳 잘못된 수취인에게 보냈다. 물리적 강압은 암호학 자체를 우회한다. CertiK 집계에 따르면 2026년 상반기에 렌치 어택이 52건 발생해 총 1억 2,400만 달러의 피해를 냈고, 그중 33건이 프랑스에서 일어났다. 기기의 실패도 있었다. 7월 29일에는 인터넷에 한 번도 연결한 적 없는 ColdCard 사용자들의 자산이 키 생성의 난수성 결함을 통해 유출됐고, 피해는 1,000 비트코인을 넘었다. 회수 결과는 보관 방식에 따라 크게 갈린다. Bybit는 3일 안에 고객 자산을 복원했고 Bitget은 9월에 유출된 3억 8,800만 달러를 보호기금으로 메웠다. 반면 Mt. Gox 채권자는 약 10년을 기다려서야 비트코인의 약 15%를 받았고, FTX 채권자는 비트코인이 1만 6,000달러 부근이던 붕괴에서 현금 기준 약 120%를 배상받았다. 브라질 중앙은행의 2025년 결의안 519, 520, 521호는 이제 거래상대방 모델을 검증 가능한 구조로 이끌고 있다. 고객 자산의 별도 지갑 분리 보관, 준비금 증명, 독립 감사, 그리고 회사 자체 운영에 고객 자금을 사용하는 행위의 금지를 요구한다.

보관 수학을 읽는 법

두 기록을 나란히 놓고 읽으면 자산 보관은 이분법적 선택이 아니라 신뢰의 배분이라는 결론에 이른다. 바이낸스의 사후 분석과 온체인 추적이 보여주는 것은 운영상의 실패, 즉 피싱당한 직원과 배치 서명 정책이지 거래소 보관 방식 자체의 결함이 아니다. 회사는 98%를 복원하면서 손실의 100%를 부담했다. 1월의 피해자들 중 누구도 이런 결과를 받지 못했는데, 개인 지갑 보관에는 애초에 거래상대방이 존재하지 않기 때문이다. 거래소 보관과 지갑 보관 사이에서 선택을 고민하는 사람은 두 가지 방안을 모두 자신의 운영 역량에 맞춰 가늠해야 한다. 검증된 거래소, 규율 있는 개인 보관, 상장 펀드로 나누는 배분은 어느 한 지점의 실패가 치명적으로 번지는 일을 막는다. 이 배분만이 위임할 수 없는 책임이다.