마이클 세일러, AI 해커가 제대로 검증 안 된 거래소 소프트웨어 노린다고 경고

상파울루에서 나온 세일러의 경고

마이클 세일러는 암호화폐 업계의 가장 큰 위협이 더 이상 깨진 암호학이 아니라 서둘러 배포된 소프트웨어라고 보고 있다. 그는 상파울루에서 열린 OranjeBTC Summit에서 바이낸스 자금 탈취 사건과 별개의 브라질 사건에 대한 질문을 받았고, 두 사건을 규모만 다른 하나의 문제로 묶어 설명했다. Anthropic과 OpenAI 같은 연구소가 만든 최전선 AI 모델은 공격자에게 수비자가 아직 따라잡지 못한 능력 도약을 쥐여줬다는 것이다. 그는 “진짜 위협은 제대로 테스트되지 않고 잠금 장치도 없는 상태로 너무 빨리 서비스에 올려진 새 소프트웨어를 노리는, 극도로 집중된 AI 해커”라고 말했다. 처방은 수사적이 아니라 운영적인 것이었다. 같은 모델을 매일 자사 시스템에 돌려보라는 것으로, 그는 고객 돈을 보관하는 모든 거래소, 은행, 커스터디 업체에 이 테스트를 촉구했다. 브라질 언급도 구체적이었다. 11월 2일 월요일, 보안업체 Hypernative는 브라질 최대 거래소 중 하나인 Mercado Bitcoin에서 나간 4,000만 달러가 넘는 의심 이체를 적발해 일반적 리스크를 지역 실사례로 바꿔놓았다. 세일러는 자산 계층과 응용 계층을 굳게 구분했다. “비트코인은 튼튼하다. 흔들리고 허술하게 만들어진 디지털 상거래 소프트웨어는 해킹당할 것”이라고 그는 말하며, 이더리움, Solana, Cardano 위에 배포되는 새 기능마다 공격자에게 또 하나의 진입로가 열린다고 덧붙였다. 비트코인을 핵심 대차대조표 자산으로 HODL하기로 의사결정을 해온 MicroStrategy에게 이 구분은 실무적이다. 프로토콜은 실패하지 않았고, 그것을 감싼 코드가 실패했다는 것이다. 이 관점에서는 제품 출시 때마다 순수한 업그레이드가 아니라 새 공격 표면이 생기며, 입증 책임은 배포하는 쪽에 놓인다.

63억 달러 바이낸스 침해의 전개 과정

경고는 새로운 증거 위에 놓여 있다. 지난주 공격자들이 바이낸스에서 약 63억 달러를 탈취했다. 거래소의 침해 설명은 암호학적 실패라기보다 소셜 엔지니어링 실패로 읽힌다. 첫 속임수는 낡은 방식이었다. 가짜 채용 담당자가 엔지니어에게 그럴듯한 취업 기회를 제시하고 기술 과제라고 둘러싼 파일을 받아가도록 유도했고, 그 파일이 문을 열어줬다. 내부에 들어간 침입자들은 거래소의 자체 내부 AI 도구를 거꾸로 이용해 추가 직원 계정을 장악했다. 그럼에도 침해의 대부분은 대규모 언어 모델 이전부터 존재하던 평범한 피싱에 기반했다. 범인 특정도 빨랐다. FBI는 북한을 지목했고, 조사기관 TRM Labs는 이 작전을 TraderTraitor와 연결했다. TraderTraitor는 2025년 15억 달러 규모 Bybit 해킹에 대해 FBI가 책임을 돌린 바 있는 조직으로, 두 사건이 같은 깃발 아래 놓이는 선례가 된다. 피해 축소는 업계의 몇 안 되는 유효한 차단 수단에 의존했다. Tether와 Circle은 도난된 스테이블코인, 즉 달러에 페그된 토큰을 동결해 자금이 더 움직이기 전에 유동성 경로 하나를 끊었다. 바이낸스는 자체 준비금으로 누락 자금 대부분을 채웠다고 밝혔고, 이는 손실이 개별 예금자가 아니라 거래소 대차대조표에 안긴다는 뜻이다. 동결이 전부 얼마나 회복됐는지는 공개되지 않았다. 공식 기록에는 두 가지 복구 항목이 남아 있다. AI 기반 위협 탐지 프로그램 확대와, 수리 완료 후 예정된 준비금 증명 업데이트다. 준비금 증명은 거래소가 고객이 예치한 코인을 여전히 보유하는지 검증하는 공개 확인 절차다.

커스터디 리스크의 현재 위치

두 이야기는 같은 실패 계층, 즉 코인이 아니라 운영 계층에서 수렴한다. KYC 인증 같은 고객 대면 통제와 암호화폐 지갑 주소의 안전은 직접 압박을 받지 않았다. 공격자는 직원 기기와 내부 계정을 겨냥했기 때문이다. 이것이 업계에 불편한 지점이다. 어떤 프로토콜 수준 보안도 적대적 파일을 내려받는 직원까지는 막아주지 못한다. 인도 사이버 기관은 11월 4일 수요일 거래소에서 지갑 키를 훔치는 AI 지원 그룹을 별도로 경고했다. 커스터디 체계를 다시 점검하려는 이용자는 더 엄격한 통제 아래 바이낸스 계정 생성의 기본 원칙부터 시작할 수 있다. 다음 확정 가능한 검증 지점은 수리 작업이 끝난 뒤 공개될 바이낸스의 업데이트된 준비금 증명이다.