CertiK, 63억 달러 바이낸스 해킹 뒤 핫월렛 달러 상한제 권고

보관 비율보다 달러 상한선

보안 업체 CertiK가 암호화폐 거래소들이 핫월렛에 보관하는 자금에 고정된 달러 기준 상한을 둘 것을 권고했다. 콜드 스토리지 비율만으로는 플랫폼 안전성을 온전히 보여줄 수 없다는 것이 핵심 논거다. 권고는 역대 최대 규모의 바이낸스 해킹 직후 나왔다. 이번 공격은 거래소의 온라인 지갑을 노렸고 약 63억 달러의 손실을 낳았다. 공격이 있기 며칠 전부터는 여러 거래소가 콜드 스토리지 비율을 공개하며 고객 자금 대부분이 온라인 공격의 손이 닿지 않는 곳에 있다고 안심시키는 흐름이 이어졌다. 실제로 Gate는 전체 자산의 88.26%를 콜드 스토리지에 두었고, Coinbase는 고객 자산의 99% 이상을 오프라인에 보관한다고 밝혔다. Coinbase의 커스터디 모델은 하드웨어 월렛 인프라를 중심으로 설계됐다.

CertiK 리서치 팀은 콜드 스토리지가 온라인 노출을 가늠하는 유용한 척도이긴 하지만 종합적인 보안 점수를 대신할 수는 없다고 봤다. 비율이 높아도 온라인에 놓인 절대 금액이 클 수 있고, 공격자가 실제로 손대는 것은 그 금액이라는 것이다. 비율을 높일수록 온라인 노출은 일반적으로 줄어들지만, 매우 높은 수준에서는 효과가 둔해진다. 경직된 할당제는 고유한 비용도 만든다. 출금 속도를 늦추고, 촉박한 자금 이동을 강제하고, 키 관리 체계 안에 위험을 쌓일 수 있다. CertiK는 비율 목표 대신 각 거래소가 자산별, 블록체인별로 핫월렛 상한을 정하되 세 가지 기준 중 가장 엄격한 것을 적용할 것을 제안했다. 세 기준은 고객 부채의 일정 비율, 예상 출금 수요, 그리고 운영사의 재무 상황과 복구 능력에 맞춰 산정한 절대 손실 한도다. 운영 유동성은 유연하게 유지하되, 하드 달러 상한과 서킷브레이커가 잠재 손실의 상한을 묶는 구조다. 국가별 규제는 이미 비율 문제에서 서로 다르다. 한국은 고객 자산 가치의 최소 80%를 콜드 스토리지에 보관하도록 요구하고, 싱가포르 가이드라인은 90%, 일본은 95%, 홍콩은 인가된 거래 플랫폼에 98%를 기준선으로 둔다. CertiK는 이번 전환의 취지를 자산의 위치에서 단일 사건으로 감수할 수 있는 손실 규모로 측정 기준을 옮기는 것으로 정리했다.

바이낸스, 해킹 토큰의 98% 보충

바이낸스는 지난주 공격으로 탈취된 토큰의 약 98%를 보충했으며, 남은 손실은 자사 장부에서 감당하겠다고 밝혔다. 보충 소식은 사건 발생 며칠 안에 나왔고, 거래소는 부족분을 자체 자원으로 메우겠다고 약속했다. 수요일에 게시된 복구 업데이트에 따르면 아직 미회수인 토큰은 유동성이 얇아 확보에 더 오래 걸리며, 그래서 부족분 중 일부가 당분간 채워지지 않은 상태로 남는다. 공지는 미회수 자산이 무엇인지 밝히지 않았고 완료 시점도 제시하지 않았다. 공격은 바이낸스의 온라인 지갑을 겨냥했다. CertiK가 이제 상한을 두자는 바로 그 커스터디 계층이다. 보충 수치는 거래소가 약 일주일 안에 손실의 어느 정도를 복구했는지를 보여주는 첫 번째 잣대다.

관심은 한편 탈취 자금의 행선으로 옮겨갔다. 블록체인 분석 업체 Elliptic은 NEAR 네트워크에서 최신 출시 토큰 여섯 개를 통해 약 43만 달러의 자금 흐름을 추적했고, 이를 북한 연계 해커의 소행으로 보고 있다. 해커들은 밈코인 출시를 활용해 탈취 자산을 파는 시장을 만들었다는 설명이다. 토큰은 신규 유동성 풀과 함께 등장했고, 공격자는 그 풀을 이용해 주소 간에 가치를 옮겼다. Elliptic은 추적 범위가 지금까지 온체인에서 따라갈 수 있었던 부분에 한정된다고 밝혔으며, 이동한 총액에 대한 추정치는 내놓지 않았다. 유동성 풀은 탈중앙화 거래소가 매수자와 매도자를 직접 맞춰주지 않고도 거래를 체결하게 해주는 자금 풀이다. 이 풀 때문에 지갑 간 이동 추적이 더 어려워졌지만, 거래 자체는 온체인에서 여전히 확인할 수 있다. 공격과 초기 보충 발표가 모두 지난주에 이뤄졌고, 수요일 업데이트가 마지막 2%에 대한 그림을 보완했다. 바이낸스는 남은 토큰의 복원 시점을 밝히지 않았다.

상한제 프레임워크가 바꾸는 것

두 흐름을 함께 놓고 보면 방향은 같다. 공개되는 콜드 스토리지 비율이 리스크 척도에서 안심 지표로 자리를 바꾸고 있다는 것이다. 이 논쟁의 핵심 문서인 CertiK 권고는 단일 비율 점수표를 명시적으로 거부하며, 거래소가 감내할 수 있는 최대 손실을 수치로 정량화하라고 요구한다. 이 검증은 지금 가장 높은 보관 비율을 내세우는 곳일수록 가장 크게 작동한다. 43만 달러짜리 NEAR 추적은 63억 달러 규모의 해킹에 비하면 작다. 그러나 탈취 자금이 며칠 안에 새 토큰 시장을 통해 흘러갔다는 점이 중요하다. 단일 사건의 파급 범위를 결정하는 것은 온라인 잔고의 절대 규모이지 비율이 아니다. 비율만 공개하고 달러 상한을 두지 않는 거래소는 바로 그 숫자를 밝히지 않은 채로 남는다.