바이낸스 현물 점유율 42%로, 12주 만에 최저

현물 점유율, 12주 만에 최저점

바이낸스의 현물 거래 점유율이 지난주 기록적인 해킹 사건 이후 뚜렷하게 후퇴했다. 최근 7일간 동 거래소는 상위 10개 거래소 전체 현물 거래량의 약 42%를 처리했으며, 이는 최소 12주 만에 가장 낮은 주간 점유율이다. 10월 29일 침해 사고 직전에는 약 48%, 8월 중순에는 약 51% 수준이었다. 주간 시장 점유율 데이터에 따르면 이탈한 유동성을 가장 많이 받아낸 곳은 OKX로, 직전 주 11%에서 약 14%로 올라섰다. Coinbase도 9%에서 9.6%로 소폭 확대됐고 Kraken 역시 점유율을 높였다.

피해의 기점은 10월 29일이다. 이날 공격자들은 바이낸스 핫월렛에서 63억 달러를 인출해 갔고, 거래소는 출금을 전면 중단했다. 출금은 11월 1일 단계적으로 재개됐으며, 재개 후 9시간 30분 동안 순유출액이 36억 4,000만 달러에 달했다. 바이낸스는 10월 28일자 준비금 증명에서 자산 규모를 1,710억 달러로 제시했으나, 월요일에는 1,570억 달러로 줄었다. 거래소는 이 감소분을 해킹 피해, 재개 이후 출금, 가격 변동의 합산 결과로 설명했다. 대변인은 재개 이후 누적 순유출을 56억 달러, 전체 자산의 약 3.5%로 밝혔다.

거래소는 이제 기관 고객 기반 방어에 나섰다. 11월 2일 11월 3일부터 12월 2일까지 운영되는 VIP 등급 보호 프로그램을 발표했다. VIP 1~9등급 이용자는 10월 21일부터 30일 사이 도달한 최고 등급을, 통상 요건을 충족하지 못하더라도 유지할 수 있다. 월요일부터 시작된 커뮤니티 거래 캠페인은 대상 이용자에게 누적 거래량 기준 1만 달러를 보상하고, 일부 이자 상품은 연 최대 10%의 수익률을 제공한다. 화요일에는 시각 기준 03:00(UTC)부터 시간당 입금액이 출금액을 웃돌았다고 밝혔고, 공동 최고경영자 리처드 텅이 홍콩 핀테크 위크에서 영향받은 토큰의 95%가 회복됐다고 밝힌 뒤 6번째 복원 물량을 개시했다.

TraderTraitor의 공격 수법

FBI가 10월 31일 발간한 경보문은 이번 탈취를 북한 해킹 조직 TraderTraitor의 소행으로 규정했다. 63억 달러 규모로 암호화폐 역사상 최대 금액이며, 2025년 2월 Bybit에서 유출된 15억 달러의 4배를 상회한다. 이 사건 역시 FBI는 같은 조직의 소행으로 보고 있다. TRM Labs가 4월 집계한 2017년 이후 북한 해커의 누적 탈취액 60억 달러 이상을 이번 한 건이 거의 두 배로 늘린 셈이다. 평양은 개입을 부인했고, 김정은 국무위원의 여동생 김여정은 이번 결론을 “터무니없는 선전”이라며 일축했다.

TraderTraitor라는 명칭은 2022년 4월 FBI, CISA, 재무부가 공동 발행한 권고문에서 처음 등장했다. 이 문서는 거래 앱에 숨겨진 악성코드와, 최소 2020년까지 거슬러 올라가는 거래소, 탈중앙화 금융 프로토콜, 투자자 대상 공격을 기술했다. 연구자들은 같은 조직을 Jade Sleet, UNC4899, Slow Pisces로도 추적한다. 이들의 공격 기록에는 2023년의 AlphaPo(6,000만 달러), CoinsPaid(3,700만 달러), Atomic Wallet(1억 달러)가 있고, 4월의 2억 9,200만 달러 규모 KelpDAO 브리지 탈취도 LayerZero 포렌식 팀이 이 조직의 작업으로 판정했다.

수법은 사회공학이다. 2024년 3월 가짜 리크루터가 Ginco 직원에게 악성코드가 심인 코딩 테스트를 보냈고, 유출된 세션 데이터로 공격자는 해당 직원으로 가장해 DMM Bitcoin의 정상 거래 요청을 조작했다. DMM Bitcoin은 4,503BTC(3억 800만 달러 상당)를 잃고 이후 폐업했다. 바이낸스에서는 최고보안책임자 지미 수가 밝힌 바에 따라 9월 한 소프트웨어 엔지니어가 프로젝트 디렉터로 위장한 인물에게 접촉돼, 거짓 면접 절차를 통과한 뒤 업무용 컴퓨터에 코딩 과제를 내려받았다. 이 악성코드는 공격자에게 해당 컴퓨터와 사내 AI 도구 접근 권한을 넘겨줬다. Chainalysis는 탈취된 자금이 9월 약 3억 8,800만 달러 규모의 Bitget 해킹 수익과 연결된다는 것이 가장 유력한 증거라고 밝혔다.

사후 분석의 의미

시장의 판단은 이미 거래 데이터에 나타나 있다. 현물 거래소에서 1주일에 6%포인트 점유율이 움직이는 것은 비정상적으로 빠른 속도이며, 복원 작업이 끝나기도 전에 경쟁사로 흘러갔다는 점은 기관들이 복구 일정이 아니라 침해 사건 자체에 반응했음을 보여준다. 장기적으로는 반대 방향의 평가가 가능하다. 내부자의 러그풀도, 암호학적 결함도 아니었고 직원 한 명이 악성 파일 하나를 실행한 사건이었다. 그래서 근본 대책은 프로토콜 재설계가 아니라 인력 검증과 승인 단계 모니터링에 있다. VIP 등급 보장과 95% 토큰 회복이 피해를 한계 지었지만, 나간 56억 달러를 되돌리는 열쇠는 자금 유입이고, 그 신호는 시간당 입금 데이터에서 가장 먼저 확인될 것이다.