바이낸스 63억 달러 도난, 동결 버튼이 절반 가까이 지켰다

2026년 10월 29일 UTC 20시 20분 59초, 이더리움 네트워크에 수수료 14.46달러짜리 트랜잭션이 하나 올라왔다. 돈은 전혀 움직이지 않았다. 금액 칸은 0이다. 같은 날 앞서 공격자는 자기 지갑으로 26달러씩 옮기며 수법을 연습해 두었다. 3분 30초 뒤, 분석가들이 Binance 14라고 부르는 바이낸스 핫월렛에서 이더 16만 7,464개와 USDT 스테이블코인 16억 달러가 빠져나갔다. 아침이 되자 거래소는 피해액을 약 63억 달러로 잡았다. 외부 분석가들의 집계는 아직 이보다 적은 53억59억 달러다. 직전 기록인 2025년 2월 바이비트 거래소 해킹은 약 15억 달러였다.

그런데 규모가 가장 이상한 대목은 아니다. 훔친 돈의 거의 절반, 약 30억 달러가 몇 시간 안에 묶였다. 경찰도, ‘블록체인 자체’도 아니었다. 동결 버튼을 쥔 몇몇 회사였다. 암호화폐는 애초에 아무도 그런 버튼을 갖지 못하게 하려고 만들어졌는데 말이다.

14달러짜리 위임장

거래소는 고객 돈을 두 종류의 지갑에 나눠 보관한다. 콜드월렛은 인터넷에 연결되지 않은 채 주요 준비금을 담고 있다. 핫월렛은 늘 연결되어 있다. 매일의 출금이 여기를 거치므로 항상 운용 잔액이 들어 있다. 세계 최대 거래소라면 그 잔액이 수십억 달러에 이른다.

공격의 열쇠는 EIP-7702라는 기능이었다. 2025년 펙트라 업그레이드와 함께 5월 7일 이더리움에 들어왔다. 쉽게 말해 위임장이다. 일반 지갑이 외부 프로그램에 자기 대신 행동할 권한을 주는 것이다. 여러 동작을 클릭 한 번으로 묶거나 다른 사람이 수수료를 대신 내게 하려는 편의 기능으로 설계됐다. 이런 위임에는 지갑 본인만 서명할 수 있다. 소유자가 철회하기 전까지는 효력이 유지된다.

14.46달러짜리 트랜잭션이 바로 그런 위임이었다. 위임이 50건 들어 있었고, 각각 Binance 14를 공격자가 네 시간 전에 배포한 ‘스위퍼’ 프로그램에 넘기는 내용이었다. 50건 중 하나가 통했다. 수표장을 떠올려 보자. 위임은 특정 번호가 적힌 수표 한 장에만 유효하다. 핫월렛은 그런 ‘수표’를 쉴 새 없이 끊으니 다음 번호를 맞히기 어렵다. 서명 50개를 줄줄이 보낸 것은 그중 하나는 맞아떨어지게 하려는 수로 보인다.

스위퍼는 이더 1개만 남기고 한 번의 작업으로 Binance 14를 비웠다. 이후 12분 동안 거래소의 다른 핫월렛 열 개에서 네 개 네트워크를 거쳐 같은 주소로 돈이 흘러들었다. 블록체인 보안 기업 블록에이드(Blockaid)가 공격을 이렇게 재구성했다.

공격자가 지갑의 서명을 어떻게 손에 넣었는지는 아직 불분명하다. 바이낸스의 예비 설명에 따르면 출발점은 서버와 소프트웨어 배포를 맡는 데브옵스 엔지니어의 침해된 노트북이었다. 침입자는 그 노트북을 통해 서비스 컨테이너에 접근했고, 거기서 무단 출금을 요청했다. 거래소는 지갑 개인키가 유출된 증거는 찾지 못했다고 밝혔다. 이 말이 맞다면 도둑은 키를 훔칠 필요가 없었다. 거래소 시스템이 직접 위임장에 서명하게 만들었을 뿐이다.

비트코인에는 없는 버튼

USDT와 USDC는 스테이블코인이다. 테더와 서클이라는 두 민간 기업이 발행하는 디지털 달러로, 각 회사는 자기 토큰을 1달러로 바꿔 주겠다고 약속한다. 잘 거론되지 않는 특징이 하나 있다. 발행사가 네트워크상의 어떤 주소든 막을 수 있다는 점이다. USDC 약관에서 서클은 특정 주소로 오가는 전송을 차단할 권리를 명시적으로 보유한다. 테더도 같은 능력을 갖고 있다.

그날 밤 두 회사는 실제로 그렇게 했다. 테더 CEO 파올로 아르도이노는 USDT 15억 6,700만 달러 이상을 동결했다고 썼다. 서클 CEO 제러미 알레어는 법 집행 기관과 협조해 USDC 8억 달러 이상을 막았다고 밝혔다. 리플은 자사 스테이블코인 약 2억 달러를, 월드 리버티 파이낸셜은 약 2,700만 달러를 멈춰 세웠다. 보통 탈중앙화 네트워크로 설명되는 아비트럼마저 보안위원회의 결정으로 ARB 토큰 7,456만 개를 동결했다.

이더와 비트코인은 사정이 달랐다. 발행사도, 버튼도 없다. 분석 업체 글래스노드는 도난 자산에 비트코인 1만 7,985개, 약 14억 5,000만 달러어치가 포함됐다고 집계했다. 첫 번째 인출에서 나간 이더도 공격자 손에 남았다. 올바른 키로 서명한 전송은 지구상 누구도 되돌릴 수 없다. 도둑에게는 그것이 비트코인의 가장 큰 장점이다. 공격자가 거래소의 별도 비트코인 지갑에 어떻게 접근했는지는 바이낸스가 아직 밝히지 않았다. 시스템이 직접 출금에 서명했다는 서비스 컨테이너 가설이라면 설명이 된다.

거부권을 쥔 구원자

따지고 보면 터무니없는 일이다. 암호화폐 역사상 최대 규모의 도난 사건에서 돈의 거의 절반을 막은 것은 ‘진짜’ 암호화폐에는 있어서는 안 된다던 도구였다. 비트코인은 창시자가 의도한 대로 움직였다. 서명한 전송은 되돌릴 수 없다. 디지털 달러는 은행처럼 움직였다.

도둑에게서 15억 달러를 거둬 간 그 버튼은 누구에게나 통한다. 누르는 쪽은 법원이 아니라 기업이다. 걸리는 시간은 몇 분이다. USDT를 가진 사람이 소유한 것은 계좌 속 1달러가 아니라 토큰을 상환해 주겠다는 테더의 약속이며, 이 약속에는 단서가 붙는다. 이 거래가 합리적이라고 보는 사람도 많을 것이다. 은행도 의심스러운 이체를 막으니까. 다만 스테이블코인은 주머니 속 현금보다 은행 계좌에 가깝고, 이날 밤은 그 차이를 어떤 강의보다 잘 보여 주었다.

바이낸스 고객에게 이것이 뜻하는 것

거래소 자체 발표로 바이낸스의 가입자는 3억 3,500만 명이 넘는다. 해킹이 터진 밤 거래소는 입출금을 중단했고, 10월 30일 아침까지 재개 시점을 밝히지 않았다. 바이낸스 공동 창업자 허이(Yi He)는 거래소가 SAFU 보험 기금과 자기 돈으로 “해킹 손실을 모두 메우겠다"고 약속했다. 창업자 창펑 자오(CZ)는 도난 사건을 거의 관전자처럼 지켜봤다. 그는 X에 “바이낸스에 대한 해킹처럼 보인다"고 썼고, 같은 글에서 자신은 더 이상 거래소를 운영하지 않지만 이용자 자금이 전액 보전되리라 기대한다고 덧붙였다.

SAFU 기금은 2026년 2월부터 비트코인 1만 5,000개로 보유되고 있다. 10월 30일 시세로 약 12억 달러다. 거래소의 추산이 맞다면 동결되지 않은 손실 약 33억 달러는 그 세 배 가까이 된다. 그러니 구멍의 대부분은 거래소 자기 돈으로 메워야 할 것이다. 덧붙이면, 기금이 가진 비트코인은 공격자가 가져간 것보다 적다.

시장은 즉각 반응했다. 다만 기술주의 부진한 실적도 시장을 짓누르고 있었다. 비트코인은 6주 만의 최저인 7만 7,000달러 아래로 떨어졌다. 거래소 자체 토큰인 BNB는 하루 새 8% 넘게 빠졌다.

범인은 알려지지 않았다. 블록체인 추적자 잭XBT(ZachXBT)와 블록에이드는 북한을 유력한 배후로 지목했지만 공식적으로 공격의 주체를 밝힌 곳은 아직 없다. 바이비트 해킹은 FBI가 북한 소행으로 규정했다. 블록에이드에 따르면 공격자는 송금 흔적을 흐리는 믹서인 토네이도 캐시를 통해 첫 작업 자금을 마련했다. 바이낸스는 사실 관계가 확인되는 대로 상세한 기술 사후 분석을 내놓겠다고 약속했다.

수년간 암호화폐 커뮤니티는 돈에 정지 버튼이 필요한지를 두고 논쟁해 왔다. 하룻밤 사이에 그 버튼 하나가 약 30억 달러를 지켰다. 이제 논쟁의 초점은 아마 이렇게 옮겨 갈 것이다. 언제, 어떤 규칙으로 누를지를 누가 정하는가?