10개 블록체인 지갑서 자산 유출...공격자가 확보한 승인 서명 사용
노트북 침해 추정 뒤 추가 침해 지점 발견...출금 재개 전 검증 내용은
약 63억달러, 8조4000억원 상당의 가상자산이 바이낸스에서 탈취됐다. 공격자는 여러 블록체인에 흩어진 거래소 지갑에서 자산을 빼냈다. 거래를 승인하는 유효한 서명까지 공격에 쓰였다. 세계 최대 가상자산 거래소가 고객 자산을 지키는 과정에서 드러낸 구멍이다.
2일 바이낸스 공지와 블록체인 분석업체 TRM랩스 자료를 종합하면 지난달 29일 발생한 이번 사고의 피해액은 지난해 2월 바이비트 해킹 당시 약 15억달러의 4배를 넘는다. 바이낸스는 약 63억달러, TRM은 약 63억6000만달러로 집계했다. 바이낸스는 손실을 전액 부담하겠다고 밝혔지만, 조사 과정에서는 최초 설명에 없던 추가 침해 지점도 발견됐다.
20분간 대규모 유출...서로 다른 지갑의 승인 체계는
TRM에 따르면 공격자는 이더리움·비트코인·트론·XRP 레저·솔라나 등 10개 블록체인의 바이낸스 지갑에서 자산을 빼냈다. 유출액 대부분이 협정세계시(UTC) 기준 지난달 29일 오후 8시 5분부터 약 20분 사이 이동했다.
이더리움 지갑에서는 사전에 확보한 서명이 사용됐다. 공격자는 일반 지갑이 프로그램 코드를 실행할 수 있도록 하는 위임 기능을 악용했다. 미리 준비한 서명 50개를 제출해 바이낸스 핫월렛이 공격자가 심은 코드를 실행하도록 했다는 게 TRM의 분석이다. 핫월렛은 인터넷에 연결돼 출금을 처리하는 지갑이다.
다른 체인에서도 자금이 빠져나갔다. 이들 지갑에서는 일반적인 서명 전송이 이뤄졌다. TRM은 서로 다른 체인의 지갑에서 유효한 서명이 사용된 점을 근거로 바이낸스 핫월렛의 서명 인프라가 침해됐을 가능성을 제기했다.
유효한 서명이 붙었다고 해서 정당한 출금은 아니다. 거래소가 의도하지 않은 거래에 필요한 서명을 공격자가 확보했다면, 서명 생성과 사용을 통제하는 과정까지 들여다봐야 한다.
다만 외부 분석만으로 어떤 내부 시스템이 어떤 순서로 뚫렸는지까지 확정할 수는 없다. 서로 다른 지갑의 승인 권한에 공격자가 어떻게 접근했는지, 대규모 유출을 어느 시점에 탐지하고 차단했는지가 남아 있다.
"개인키 유출 증거 없다"...노트북 외 추가 침해 지점 발견
바이낸스가 처음 제시한 침입 경로는 개발·운영 담당 엔지니어의 노트북이었다. 지난달 30일 초기 공지에서는 노트북 침해로 공격자가 서비스 실행 환경인 컨테이너에 접근해 무단 출금 거래를 제출했을 가능성을 설명했다.
이후 같은 날 나온 후속 공지에서는 추가 침해 지점이 발견됐다고 밝혔다. 초기 노트북 침해 추정만으로는 공격 전모를 설명할 수 없게 된 것이다.
회사는 지갑 개인키가 유출됐다는 증거는 발견하지 못했다고 설명했다. 침해된 인프라를 격리하고 영향받은 권한을 취소했으며, 추가 통제도 적용했다고 밝혔다. 내부·외부 보안 전문가들과 전체 공격 순서와 원인을 조사하고 있다는 입장이다.
개인키 유출 증거가 없다는 설명과 출금 승인 체계가 안전했다는 판단은 다르다. 이번 공격에서는 거래소 지갑의 유효한 서명이 실제 자산 반출에 사용됐다.
확인한 공식 공지에는 추가 침해 지점이 구체적으로 어떤 시스템인지, 서명 권한과 어떻게 연결됐는지에 대한 설명은 나오지 않은 상태다. 바이낸스는 조사가 끝나면 상세 사고 보고서를 공개하겠다고 밝혔다.
미 연방수사국(FBI)은 지난달 31일 이번 탈취를 북한의 소행으로 지목하고 관련 활동을 '트레이더트레이터'로 명명했다. 그러나 공격 주체를 특정하는 것과 거래소 내부의 통제 실패를 규명하는 것은 별개의 작업이다.
자산 채우고 출금 재개 안내...보안 검증은 어디까지
바이낸스는 이용자 보호 기금인 SAFU와 회사 재원으로 손실을 부담하겠다고 밝혔다. 지난 1일 공지에서는 피해 자산의 약 95%를 충당했다고 설명했다. 나머지 5%는 유동성이 낮은 토큰으로, 필요한 물량을 매입하는 데 시간이 걸린다는 입장이다.
이는 도난당한 자산의 95%를 되찾았다는 뜻이 아니다. 회사가 자금을 투입해 부족한 자산을 채우는 작업이다. 발행사 등이 동결한 자산 역시 거래소로 반환되기 전까지는 회수 완료액으로 볼 수 없다.
회사는 같은 공지에서 15개 네트워크를 대상으로 단계적 출금 재개를 안내했다. 피해 서비스에 대한 보안 검토와 출금 인프라의 운영 준비 상태 점검을 진행했으며, 잔여 위험을 감시하고 있다고 설명했다.
다만 해당 공지에는 출금 재개 전 보안 검증을 수행한 외부 기관의 이름이나 구체적인 검증 범위·결과가 제시돼 있지 않다. 보안 검토를 했다는 회사 설명은 있지만, 이용자가 그 결과를 확인할 자료는 제한적이다.
준비금 증명도 보안 검사 결과를 대신하지는 않는다. 고객 잔액에 대응하는 자산을 보유했는지 확인하는 것과 공격자가 출금 승인 과정에 다시 접근하지 못하도록 했는지 확인하는 것은 다른 문제다.
바이낸스는 지난달 31일 공지에서 고객이 주요 10개 토큰의 자산 뒷받침 여부를 직접 검증할 수 있는 전체 영지식 증명 생성을 11월 3일(UTC 기준)까지 마칠 것으로 예상했다. 반면 지난 1일 공지에서 상세 사고 보고서의 공개 시점은 '조사 완료 후'로 제시했다.