오늘(30일) 새벽 5시쯤, 대부분이 잠들어 있던 시간에 세계 최대 가상자산 거래소 바이낸스(Binance)의 지갑에서 돈이 빠져나가기 시작했어요. 블록체인 분석 회사 TRM랩스 추산으로 약 63억 6천만 달러(약 8조 5천억 원), 그것도 대부분이 약 20분 사이에요. 지난해 2월 바이비트 해킹(약 15억 달러)의 4배가 넘는, 기록상 역대 최대 가상자산 탈취입니다.
“코인 안 하는데 나랑 무슨 상관이야?” 싶으실 수 있어요. 그런데 이번 사건의 출발점은 놀랍게도 직원 한 명의 노트북이었어요. 회사 컴퓨터 한 대가 어떻게 8조 원짜리 금고 문이 됐는지, ‘핫월렛’이 뭔지, 그리고 코인을 하든 안 하든 오늘 밤 챙길 것까지 차근차근 풀어 볼게요.
한눈에 보는 사건 요약
| 항목 | 지금까지 알려진 내용 |
|---|---|
| 언제 | 미국 시각 10월 29일 20시 05분(UTC) 무렵, 한국 시각 10월 30일 오전 5시 5분쯤부터 |
| 어디서 | 바이낸스가 출금 처리에 쓰는 ‘핫월렛’, 10개 블록체인 |
| 얼마나 | TRM랩스 약 63억 6천만 달러, 바이낸스 자체 추산 약 63억 달러, 체이널리시스 약 64억 달러 |
| 얼마나 빨리 | 대부분 약 20분 안에 빠져나감 |
| 누가(추정) | TRM랩스·체이널리시스: 북한 해킹 조직 ‘트레이더트레이터(TraderTraitor)’, 업계에서는 라자루스 그룹으로도 불림 |
| 어떻게(초기 조사) | 개발·운영(DevOps) 엔지니어 노트북 침해 → 내부 서비스 컨테이너 접근 → 승인되지 않은 출금 요청 |
| 고객 돈은? | 바이낸스는 이용자 보호기금 SAFU와 회사 자금으로 손실을 전액 보전하겠다고 발표 |
| 지금 상황 | 입출금 일시 중단 후 점검, 약 27억~30억 달러 동결, 나머지는 추적 중 |
숫자가 기관마다 조금씩 다른 건 어느 시점의 시세로 계산했느냐 차이예요. 핵심은 “수십억 달러가, 20분 만에”라는 점이에요.
‘핫월렛’이 뭐길래 한 번에 털렸을까
거래소는 고객의 코인을 한곳에 몰아 두지 않고 보통 두 가지 지갑에 나눠 둬요. 우리 생활로 비유하면 지갑 속 현금과 은행 금고예요.
| 구분 | 핫월렛(Hot wallet) | 콜드월렛(Cold wallet) |
|---|---|---|
| 인터넷 연결 | 항상 연결 | 평소에는 분리 |
| 생활 속 비유 | 지갑에 넣고 다니는 현금 | 은행 대여금고 |
| 장점 | 출금 요청을 몇 분 안에 처리 | 원격 해킹이 훨씬 어려움 |
| 단점 | 해커의 1순위 표적 | 꺼내 쓰는 데 시간이 걸림 |
| 보통 보관 비율 | 당장 출금에 필요한 일부 | 나머지 대부분 |
이번에 털린 건 바로 핫월렛이에요. 고객이 “출금” 버튼을 누르면 바로 돈이 나가야 하니까 인터넷에 붙어 있고, 거래를 승인하는 ‘서명 시스템’도 자동으로 돌아가요. 세계 최대 거래소이다 보니 핫월렛에 담긴 금액 자체도 어마어마했던 거죠.
노트북 한 대에서 8조 원까지: 지금까지 알려진 순서
바이낸스 공동 CEO 리처드 텅은 초기 조사 결과를 이렇게 설명했어요. 엔지니어 노트북이 침해됐고, 그 접근으로 공격자가 서비스 컨테이너(서버 안에서 특정 프로그램이 돌아가는 작은 방이라고 생각하면 돼요)에 들어가 승인되지 않은 출금 거래를 제출했다는 거예요.
| 단계 | 무슨 일이 | 쉽게 말하면 |
|---|---|---|
| 1. 노트북 침해 | 개발·운영 담당 엔지니어의 노트북이 뚫림 | 건물 관리인의 열쇠 꾸러미를 누군가 몰래 복사 |
| 2. 내부 환경 진입 | 서비스 컨테이너에 접근 | 직원 전용 통로로 들어가 금고 옆 사무실까지 도착 |
| 3. 출금 요청 | 승인되지 않은 출금 거래 제출 | “이 돈 보내 주세요” 전표를 직접 작성 |
| 4. 유효한 서명 | 핫월렛 서명 시스템이 거래에 정상 서명 | 은행 직인이 그대로 찍혀 진짜 전표처럼 처리 |
| 5. 대량 이체 | 10개 블록체인에서 약 20분 만에 대부분 이동 | 여러 지점에서 동시에 현금 인출 |
다만 텅 CEO는 “한 엔지니어의 권한만 쓴 것도, 클릭 한 번으로 된 것도 아닌 더 복잡한 공격”이라며 특정 개인에게 책임을 돌리지 않는다고 강조했어요. 바이낸스는 이후 조사에서 추가 침해 지점도 찾았다고 했고, 아직 지갑 개인키(지갑의 진짜 열쇠)가 유출된 증거는 없다고 밝혔어요. 상세한 기술 분석은 조사가 끝나면 공개하겠다고 했으니, 위 순서는 어디까지나 “현재까지 공개된 내용”이에요.
이더리움에서 쓰인 ‘EIP-7702’는 뭔가요?
TRM랩스와 체이널리시스 분석에 따르면 이더리움 쪽에서는 EIP-7702라는 기능이 악용됐어요. 일반 지갑이 “내 동작 방식을 외부 프로그램에 맡긴다”고 위임할 수 있게 해 주는 기능인데, 공격자는 핫월렛이 공격자가 심은 코드를 실행하도록 유효한 서명을 붙인 위임을 걸었어요. 그러자 그 지갑은 있던 잔액은 물론 그 뒤에 들어온 돈까지 자동으로 쓸어 담기는 상태가 됐다고 해요.
| 비유 | 평소 | 이번 공격 |
|---|---|---|
| 통장 자동이체 | 내가 정한 곳으로만 정해진 금액 이체 | 도둑 계좌로 ‘들어오는 족족 전액 이체’를 등록당함 |
| 지갑 위임 기능 | 편의 기능(묶음 거래, 수수료 대납 등) | 공격 코드에 지갑 운영권을 넘겨 버림 |
범인은 왜 ‘북한 해킹 조직’으로 지목됐나
바이낸스 자체는 특정 조직을 지목하지 않았어요. 하지만 블록체인 분석 회사 두 곳이 높은 확신으로 트레이더트레이터를 지목했어요. 미국 연방수사국(FBI)이 지난해 바이비트 15억 달러 탈취 때 북한의 해킹 활동을 부른 이름이에요.
| 근거 | 내용 |
|---|---|
| 거래 패턴 | 여러 블록체인에서 짧은 시간에 유효한 서명이 붙은 이체가 동시다발로 발생 |
| 자금 섞임 | 체이널리시스는 훔친 돈이 지난달 북한 소행으로 지목된 비트겟(Bitget) 탈취 자금과 섞이는 장면을 실시간으로 확인했다고 밝힘 |
| 준비 자금 | 공격용 지갑의 초기 자금이 믹서 서비스 ‘토네이도 캐시’를 거쳐 들어옴 |
| 세탁 방식 | 짧은 시간에 수천 건, 주소끼리 돈을 돌리는 자동화된 패턴(정확히 1 TRX를 받은 뒤 다시 보내는 식) |
도둑과 ‘동결’의 20분 레이스
흥미로운 건 사건 직후 벌어진 시간 싸움이에요. 훔친 돈의 상당 부분이 스테이블코인(1개 = 약 1달러로 맞춰 둔 코인)이었는데, 테더·서클 같은 발행사는 문제가 된 주소의 스테이블코인을 얼려서 못 쓰게 할 수 있어요. 반대로 비트코인·이더리움은 누가 얼릴 수 없죠.
| 코인 종류 | 동결 가능? | 이번에 벌어진 일 |
|---|---|---|
| 스테이블코인(USDT, USDC 등) | 발행사가 동결 가능 | 테더·서클·리플·월드리버티파이낸셜이 약 26억 7천만 달러어치 동결 |
| 아비트럼 네트워크 자산 | 네트워크 보안위원회 결정으로 동결 | ETH 8,426개, ARB 7,460만 개 동결 |
| 이더리움·비트코인 | 사실상 불가 | 공격자가 ETH 42만 개 이상, BTC 1만 8,270개(약 24억 달러) 보유 중 |
공격자는 얼려지기 전에 스테이블코인을 이더리움으로 바꾸거나, 가상자산 대출 서비스(에이브)에 담보로 맡기고 이더리움을 빌리는 식으로 도망쳤어요. 체이널리시스 설명으로는 약 20분 동안 3억 2,500만 달러어치 스테이블코인을 2억 8,500만 달러어치 ETH로 바꿨고, 동결은 미국 동부 시각 오후 5시 14분쯤부터 시작됐대요. 결국 절반 가까이는 묶였지만, 절반 가까이는 손이 닿지 않는 곳으로 간 셈이에요.
숫자로 비교해 보는 역대 최대 규모
| 사건 | 시기 | 피해 규모 | 지목된 배후 |
|---|---|---|---|
| 바이비트 해킹 | 2025년 2월 | 약 15억 달러 | 트레이더트레이터(FBI) |
| 바이낸스 탈취 | 2026년 10월 29일(UTC) | 약 63억~64억 달러 | 트레이더트레이터(TRM·체이널리시스 추정) |
TRM랩스 표현을 빌리면 바이비트의 약 4배, 체이널리시스는 “역사상 가장 큰 단일 금융 범죄 중 하나”라고 했어요.
그래서 나는 뭘 해야 하나요? 상황별 정리
| 내 상황 | 알아둘 것 | 할 일 |
|---|---|---|
| 바이낸스 이용자 | 회사가 손실 전액 보전 발표, 출금은 하루이틀 안에 재개 예정(AP 보도) | 공식 앱·공식 X 계정 공지만 확인, ‘보상 신청’ 링크는 누르지 않기 |
| 국내 거래소 이용자 | 이번 사건과 직접 관련 없음 | OTP·출금 주소 등록 점검, 큰 사건 뒤 늘어나는 사칭 문자 주의 |
| 코인을 안 하는 사람 | “회사 노트북 한 대”가 출발점이었다는 교훈 | 업무용 PC에 개인 프로그램·출처 모를 파일 설치 자제 |
| 회사 IT·개발 담당 | 권한 많은 개발자 PC가 핵심 표적 | 관리자 PC 분리, 중요 작업은 여러 사람 승인, 이상 출금·배포 알림 |
오늘 밤 5분 점검 체크리스트
| 순서 | 점검 항목 | 왜 필요할까 |
|---|---|---|
| 1 | “바이낸스 보상”, “피해 확인”, “자산 이전 필요” 문자·메일 링크는 누르지 않기 | 큰 사고 직후엔 이를 미끼로 한 피싱이 늘어나요 |
| 2 | 공지는 거래소 공식 앱이나 직접 입력한 주소로만 확인 | 검색 광고나 메신저 링크가 가짜 사이트일 수 있어요 |
| 3 | 2단계 인증을 문자 대신 OTP 앱이나 패스키로 | 비밀번호가 새도 계정이 바로 털리지 않게 |
| 4 | 출금 주소 화이트리스트(미리 등록한 주소로만 출금) 켜기 | 계정에 누가 들어와도 다른 주소로 못 빼 가요 |
| 5 | 오래 묵힐 자산은 한 거래소에 몰지 말고 분산이나 개인 지갑 검토 | ‘거래소가 보전해 준다’는 약속은 회사 체력에 달려 있어요 |
한 가지 꼭 기억해 주세요. 진짜 거래소는 “지갑을 옮겨야 안전하다”며 주소나 복구 문구(시드 문구)를 묻지 않아요. 그런 요구가 오면 100% 의심하셔도 돼요.
자주 묻는 질문
| 질문 | 답 |
|---|---|
| 바이낸스에 넣어 둔 내 코인은 사라졌나요? | 바이낸스는 고객 자금은 안전하며 손실은 SAFU 기금과 회사 자금으로 전액 보전한다고 밝혔어요. 조치가 끝나면 갱신된 준비금 증명(Proof of Reserves)도 공개하겠다고 했어요. |
| 비트코인 자체가 해킹된 건가요? | 아니요. 블록체인이 뚫린 게 아니라, 거래소 내부 시스템이 침해돼 ‘정상 서명이 붙은’ 출금이 나간 사건이에요. |
| 훔친 돈은 돌려받을 수 있나요? | 동결된 약 27억~30억 달러는 공격자가 쓰기 어렵지만, 그렇다고 곧바로 반환되는 건 아니에요. 나머지는 추적 중이에요. |
| 왜 하필 노트북이었을까요? | 권한이 많은 개발·운영 담당자의 PC는 내부 시스템으로 들어가는 지름길이라 공격자들이 노리는 경우가 많아요. 자세한 침투 경로는 바이낸스가 추후 공개할 예정이에요. |
마무리: 결국 ‘사람의 컴퓨터’가 금고 문
이번 사건은 블록체인 기술이 아니라 회사 안 컴퓨터 한 대와 내부 승인 구조에서 시작됐어요. 아무리 비싼 금고도 열쇠를 가진 사람의 주머니가 털리면 소용없다는, 오래된 보안 교훈이 역대 최대 규모로 다시 확인된 셈이죠.
코인을 하신다면 오늘 밤 OTP와 출금 주소 등록부터, 코인을 안 하신다면 “급하다”며 링크를 누르게 하는 문자부터 한 번 더 의심해 보세요. 조사 결과가 더 나오면 무엇이 정확히 뚫렸는지도 쉽게 풀어 드릴게요. 😊