바이낸스 63억 달러 해킹 뒤 Fed·OCC, 미국 은행에 접촉

Fed와 OCC, 미국 은행 시스템 점검 착수

미국 은행 규제 당국이 11월 2일부터 대출기관에 연락을 돌리며, 규모 63억 달러의 바이낸스 해킹이 전통 은행 인프라에 흔적을 남겼는지 확인에 나섰다. 미국 연방준비제도(Fed)와 미국 통화감독청(OCC)의 관계자들은 금융기관들에게 의심스러운 거래, 서비스 중단, 사이버 보안 취약점을 보고하라고 요청했다. 이번 접촉은 예방 성격으로 읽힌다. 보고 결과 미국 은행이 침해됐다는 징후는 발견되지 않았고, 연락을 받은 한 은행 관계자는 고객 문의도 거의 없어 서비스가 평소처럼 운영됐다고 말했다. 다른 소식통은 인공지능의 빠른 발전이 은행들이 사이버 보안에 더 많은 자원을 쏟아 부으면서도 공격자를 따라잡기 버겁다고 지적했으며, 이 문제로 이미 여러 대형 은행이 자사 온라인 플랫폼에서 AI 기반 봇을 차단했다. 이번 조사는 암호화폐 업계 역사상 최대 규모 도난 사건의 여파다. 규제 당국의 관심은 구체적인 우려에 맞춰져 있다. 거래량 기준 세계 최대 암호화폐 거래소에서 드러난 취약점이 기존 은행 시스템까지 위협할 수 있는가라는 물음이다. 이 우려는 민간 부문에도 빠르게 번졌다. 침해 발생 몇 시간 만에 미국 최대 은행 중 하나의 사이버 보안팀이 바이낸스에 직접 연락했고, 해당 은행은 현재 자체 방어 태세에 대한 내부 평가를 준비 중이다. 이 문서는 이후 보안 점검과 소프트웨어 업그레이드의 기준이 될 것으로 보인다. Fed와 OCC는 모두 논평을 거부했다. 바이낸스는 미국 규제 당국과 은행 간 대화의 내용은 확인할 수 없다면서도 감독 기관과의 지속적인 협의를 언급했다. "전 세계 규제 기관과 긴밀히 접촉하며 이번 보안 사고를 계속 보고하고 있다"는 대변인의 입장이다. 이번 압박은 워싱턴이 암호화폐 활동을 하는 은행에 대한 일부 제한을 완화한 지 몇 주 만에 이뤄졌다. 정책 변화는 전통 금융과 디지털 자산 시장 사이의 연결을 한층 깊게 만든 상태다.

10월 29일 침해, 여기까지 이르는 과정

규제 대응으로 이어진 침입은 몇 달에 걸쳐 진행됐다. 조사관들은 바이낸스 엔지니어 한 명이 인기 AI 코딩 도구를 찾다가 악성 검색 광고를 클릭하고 멀웨어가 심어진 소프트웨어를 설치하면서 시작된 공격으로 설명한다. 거래소 보안팀은 이 1차 침해를 포착해 차단했지만, 그 전에 해당 엔지니어와 그의 팀 정보가 유출됐다. 3개월 뒤에는 또 다른 엔지니어가 가짜 채용 면접에 끌려 들어가 악성 코드가 담긴 '과제' 파일을 다운로드했고, 이 코드가 직원 컴퓨터에서 민감한 정보를 빼냈다. 이 교두보를 확보한 공격자는 세 번째 엔지니어의 컴퓨터에 접속했고, 10월 29일 드디어 도난을 실행하는 스크립트를 가동했다. 탈취 금액은 약 63억 달러에 이르며, 이 사건은 기록상 최대 규모의 암호화폐 도난 사건 목록에 오른다. FBI는 이 작전의 배후를 북한 정부와 연결되고 라자루스 그룹과도 연관이 있는 조직인 TraderTraitor로 지목한다. 조사관들에 따르면 공격자는 먼저 바이낸스 내부 시스템에 침투한 뒤, 암호화폐 출금을 승인하는 인프라에 대한 접근 권한을 확보했다. 거래소는 피해 고객 보상을 약속하고 법 집행 기관 및 스테이블코인 발행사와 협력해 탈취 자산을 추적하고 동결하는 작업을 진행 중이다. 이번 주에는 별도 사건이 업계의 긴장을 한층 높였다. 11월 4일 프랑스 은행 그룹 크레디 뮈튈 엘 아르케아(Crédit Mutuel Arkéa)가 부정 거래가 포함된 사이버 공격을 확인했고, 온체인 조사관 ZachXBT는 암호화폐 플랫폼으로 이동하는 것으로 의심되는 자금이 1억 3,300만 달러를 넘는다고 추적했다. 연구자들은 자금이 스테이블코인 네트워크로 들어가기 전에 승인되지 않은 은행 이체가 이뤄졌다고 보며, 이는 침해된 은행 인프라가 암호화폐 연계 범죄로 이어질 수 있음을 보여주는 패턴이다. 크레디 뮈튈 엘 아르케아는 고객 자산이 보호되고 있으며 재무 안정성에도 문제가 없다는 입장이다. 프랑스 사건과 바이낸스 해킹을 잇는 확증 증거는 없지만, 두 사건 모두 점점 연결되는 금융 시스템에서 범죄자들이 취약점을 어떻게 활용하는지 보여준다.

두 사건은 같은 대본에서 나온 듯 읽힌다. 공격의 시작점은 모두 사람과 자격 증명이었지, 깨진 온체인 코드가 아니었다. 바이낸스 자체 복원 분석에 따르면 공격자는 개인 키나 DeFi 계약을 뚫지 못했다. 직원들을 침해하고, 그들을 통해 커스터디를 통제하는 중앙화된 출금 승인 계층을 장악한 것이다. 이 디테일이 대응의 방향을 정해야 한다. 대형 은행들이 현재 진행 중인 내부 점검은 블록체인 보안 감사 읽는 법의 규율과 맞닿아 있고, 자기 보관을 고민하는 개인 투자자에게는 Tangem 모바일 지갑 같은 선택지도 있다. 규제 당국이 은행에 던진 질문은 감독 기관이 이 리스크를 당분간 통제 가능한 수준으로 보고 있음을 가리킨다. 접촉 자체가 예방 차원이었고, 미국 은행 침해로 확인된 사례는 아직 없다.