해커, Safe 지갑에 코드 심어 바이빗에서 15억 달러 탈취

서명 앱 하나로 유출된 15억 달러

2025년 2월 블록체인 거래소 바이빗에서 약 15억 달러가 빠져나갔다. 공격자가 쓴 문은 바이빗 소유가 아니었다. 거래소가 자금 이동 절차에 통합해 사용하던 외부 서명 애플리케이션 Safe{Wallet} 내부에 악성 코드를 심은 것이다. 멀티시그 거래를 전용 인터페이스로 서명하는 사무실에서는 흔한 구성이다. 피해 직원들은 화면에는 한 입금 주소가 보인 상태에서 서명 결과로는 전혀 다른 주소로 자금을 보내는 데 동의했다. FBI는 이 작전의 배후를 북한으로 지목했다. 피해 고객들은 자신이 만진 적 없는 인프라를 통해 노출됐고, 콜드월렛의 사적 키는 끝까지 유출되지 않았다. 도둑들은 지갑을 지배하는 최종 자격 증명을 손에 넣지도 못했다. 거래소의 승인 절차 자체를 속여 자금을 풀게 만든 것이고, 침해 지점은 암호학 바로 위의 애플리케이션 계층이었다. 멀티시그 서명은 자금이 움직이기 전 둘 이상의 승인을 강제하는 장치인데, 심어진 코드는 승인자가 보는 화면을 통제해 그 검증을 무력화했다. 플랫폼을 떠난 15억 달러는 이 단일 침해 경로를 통과했다. 온체인 기록과 회사 발표를 종합하면 지난 20개월간 바이빗, Binance, Bitget에 걸친 피해는 80억 달러를 넘으며, 이 사건들 모두 키가 아닌 승인 단계를 뚫고 들어왔다. Safe{Wallet}은 Safe 프로토콜의 서명 인터페이스로, 이 지갑은 업계에서 널리 쓰이는 표준이다. 그래서 새 유출 소식이 터질 때마다 이 사건이 다시 거론된다. 패턴이 반복되는 동안 리플(XRP)이 아닌 Safe 가격은 최근 24시간 동안 3.3% 하락했다. 서명 과정에 대한 신뢰 자체가 상품인 프로토콜에게, 서명자들이 고르지 않은 이체를 승인한 사건은 브랜드가 존재 이유로 방지하려던 바로 그 실패다.

세 건의 해킹, 유출된 키는 없다

이번에는 Binance 차례였다. 목요일인 10월 29일, 거래소는 약 63억 달러를 잃었다. 공동 CEO 리처드 텅은 해킹이 엔지니어 한 명의 노트북 침해에서 시작됐다고 밝혔고, 사내 검토에서는 키 유출의 증거가 없다는 결론이 나왔다. 텅은 공식 설명에서 "공격자는 단순히 엔지니어 한 명의 권한을 쓴 것이 아니며, 클릭 한 번으로 끝나는 행동도 아니었다"고 말했다. Bitget은 9월에 약 3억 8,750만 달러를 잃었다. 침입 경로는 외부 보안 제품의 결함이었고, 이후 가짜 출금 주문이 정상 서명 절차를 통과했다. 이에 비해 이만한 유출을 공개한 적 없는 Coinbase가 시장이 주목하는 반례다. 이 회사의 커스터디 모델은 각 키를 서로 다른 기계에 보관되는 조각으로 쪼개는 다자간 연산을 쓰며, 보안에 결정적인 소프트웨어는 모두 사내에서 만든다고 설명한다. Bitget과 바이빗 침해가 모두 제3자를 통해 들어온 것과 대비되는 지점이다. Coinbase Institutional 공동 CEO 그렉 투사는 회사 공식 블로그에서 "다자간 연산은 서명 중과 사용 중 어느 시점에도 전체 사적 키를 단일 기계에 저장하지 않는다"고 설명했다. 온체인 데이터에 따르면 Coinbase 지갑은 6,980만 개 주소에 걸쳐 약 95만 9,000 BTC를 보유하고 있으며, 그 가치는 747억 달러에 이른다. 연구자 제메는 X 게시글에서 이 구성은 세 가지 공격 경로를 모두 막는다고 주장한다. 노트북을 훔쳐봐야 쓸모없는 키 조각 하나만 손에 들어오기 때문이다. 최고기술책임자 로브 위토프는 거래소가 "가격 변동성을 감시하고 유출된 자금을 온체인에서 추적하고 있다"고 밝혔고, 최고보안책임자 제프 런글호퍼는 침해된 Binance 지갑으로의 송금을 차단하고 경계 차원에서 콜드 스토리지 구성을 조정했다고 말했다. 플랫폼 밖으로 자금을 옮기고 싶은 고객은 코인베이스 출금 방법 안내문을 참고할 수 있다. Coinbase도 침해 이력이 없는 것은 아니다. 2025년 범죄자들이 해외 지원 직원에게 뇌물을 주어 KYC 절차로 수집된 고객 정보를 유출하게 했고, 회사는 이 사건의 비용을 1억 8,000만~4억 달러로 추산했으며 다만 자금 접근은 불가능했다고 밝혔다. 연구자 마크 바우만은 4월에 Coinbase가 미국 현물 비트코인 ETF 자산의 84%, 약 770억 달러를 단일 커스터디로 보유한다고 추산했다.

거래소 너머의 서명 리스크

세 건의 해킹이 공유하는 결함은 설계상 한 곳이며, 암호학이 아니다. 인간이 서명하는 승인 단계를 노린 것이고, Coinbase의 키 분할과 사내 개발이 방어하도록 짜인 지점도 바로 거기다. Safe에게 판독은 더 엄격하다. 바이빗 유출의 침투 경로가 프로토콜의 서명 인터페이스였기 때문에, 시장은 이 프로젝트의 토큰노믹스만큼 이 연관성에서 토큰 가치를 재산정하고 있다. 본지의 SAFE 기술적 분석 페이지는 보안 헤드라인 하나하나가 토큰에 흡수되는 과정을 추적한다. 하드웨어 지갑도 같은 계열의 공급망 질문을 안고 있다. 2026년 3월부터 CryptoBilis 장치와 관련해 확인된 Trezor Safe 5 칩 삽입 보고가 그 예다. 미국 현물 비트코인 ETF 자산의 84%가 단일 커스터디에 놓인 지금, 같은 승인 단계가 이제 월스트리트의 자금도 지킨다. 손실의 책임은 거래소와 사용자에게 남고, Coinbase는 유출 자금을 온체인에서 추적 중이라고 밝혔다. 온체인 기록은 이미 빠져나간 자금에 되돌아갈 경로를 제공하지 않는다.