바이낸스 55억달러 유출: 사상 최대 해킹, 실제 구멍은 얼마인가

한국 시간 30일 새벽, 세계 최대 거래소 바이낸스의 지갑에서 최소 55억 달러가 넘는 코인이 빠져나갔습니다. 2025년 2월 바이비트 해킹(약 15억 달러)의 세 배가 넘는, 코인 역사상 가장 큰 규모입니다. 바이낸스는 아직 해킹을 공식 확인하지 않았습니다.

1. 실제 구멍은 헤드라인보다 작을 수 있습니다. 빠져나간 돈 가운데 18억 달러 안팎의 스테이블코인이 한 시간도 안 돼 동결됐습니다.
2. 뚫린 건 코드가 아니라 ‘서명’입니다. 지갑에 한 번 준 권한이 계속 살아 있는 새 기능(EIP-7702)이 통로가 됐습니다. 다른 거래소도 남의 일이 아닙니다.
3. 지금은 가격보다 ‘출금’을 보셔야 합니다. 바이낸스가 손실을 메우고 출금을 평소처럼 유지하면 충격은 짧게 끝납니다. 출금이 막히는 순간부터는 전혀 다른 이야기가 됩니다.

① 사상 최대 유출, 그러나 진짜 손실은 따로 계산해야 합니다

‘55억 달러’는 빠져나간 총액이지, 바이낸스가 최종적으로 잃을 돈이 아닙니다. 이 둘을 구분하는 게 이번 사건을 읽는 출발점입니다.

Decrypt의 집계로는 이더리움에서 35억 1천만 달러, 비트코인 1만 8,270개(약 14억 4천만 달러), 트론에서 6억 3천만 달러가 빠져나갔습니다. 코인베이스 쪽 분석가는 전체가 최대 58억 달러일 수 있다고 봤습니다.

그런데 해커가 가져간 돈의 상당 부분이 USDT와 USDC 같은 스테이블코인이었습니다. 스테이블코인은 발행사가 특정 주소의 돈을 묶을 수 있습니다. 테더와 서클은 사건 발생 40분 안팎 만에 받는 주소를 동결했습니다.

* 자료: Decrypt, The Block, Unchained(10월 29일, 미국 시간). 사건 직후 집계라 수치가 계속 바뀌고 있습니다.

보수적으로 동결액을 18억 달러로만 잡아도, 해커 손에 실제로 남은 돈은 37억~40억 달러 수준으로 줄어듭니다(단순 계산). 묶인 돈은 수사와 절차를 거쳐 원래 주인에게 돌아갈 길이 열려 있습니다.

여기에 시장이 잘 짚지 않는 역설이 하나 있습니다. ‘탈중앙’을 내건 시장에서 가장 큰 구조대는 두 중앙화 기업, 테더와 서클이었습니다. 반대로 이더리움과 비트코인으로 빠져나간 돈은 누구도 묶을 수 없습니다. 해커가 동결 전에 7억 USDT를 다른 지갑으로 옮겨 상당 부분을 이더리움으로 바꾼 것도 그래서입니다.

② 뚫린 건 코드가 아니라 ‘서명 한 번’입니다

이번 사건의 핵심 통로는 이더리움의 새 기능 EIP-7702입니다. 한 번 허락한 권한이 계속 살아 있다는 점이 약점이 됐습니다.

EIP-7702는 평범한 지갑이 다른 프로그램의 코드를 대신 실행할 수 있게 해 주는 기능입니다. 편리하지만, 지갑 주인이 한 번 서명해 연결해 두면 그 프로그램이 이후 송금을 서명 없이 계속 승인할 수 있습니다.

온체인 기록을 보면 순서가 분명합니다. 미국 동부 시간 오후 4시 20분, ‘바이낸스 14’라는 지갑이 그날 만들어진 프로그램에 연결됐습니다. 연결을 건 주소는 자금 세탁 서비스 토네이도캐시를 거쳐 돈을 받은 곳이었습니다. 4분 뒤 지갑이 통째로 비워졌습니다.

더 섬뜩한 장면은 그 뒤에 나옵니다. 1시간 20분 뒤 이 지갑에 2억 USDT가 다시 들어오자, 연결된 프로그램이 곧바로 또 빼갔습니다. 다행히 받는 주소가 이미 동결돼 막혔습니다. 권한이 끊기지 않으면 돈을 넣는 족족 빠져나간다는 뜻입니다.

* 자료: Decrypt, CNBC, Crowdfund Insider, 한국경제, ZDNet Korea, Unchained.

표를 보면 흐름이 보입니다. 큰 사고일수록 프로그램 버그보다 ‘누가, 무엇에 서명했는가’가 뚫렸습니다. 바이비트도 서명 과정이 공격받았습니다.

공격자가 서명을 어떻게 얻었는지는 아직 모릅니다. 내부 키 관리가 뚫린 것인지, 직원이 속은 것인지에 따라 다른 거래소에 미칠 파장이 달라집니다. 필자는 원인이 밝혀지는 시점에 업계 전체의 보안 점검과 규제 논의가 한꺼번에 불붙을 것으로 봅니다.

③ 투자자가 볼 것: 가격이 아니라 ‘출금’입니다

이번 충격이 단기 악재로 끝날지, 신뢰 위기로 번질지는 바이낸스가 출금을 평소처럼 유지하느냐에 달려 있습니다.

시장 반응은 아직 차분한 편입니다. 비트코인은 7만 9천 달러 밑으로 내려갔지만 하루 낙폭은 2%대였고, 이마저 미국 금리 동결 때 인상을 주장한 반대표 2장과 알파벳 실적 부진이 겹친 영향이 컸습니다. 직격탄은 바이낸스 코인(BNB)이 맞았습니다. 약 7% 빠져 700달러 선 아래로 내려갔습니다.

낙관론의 근거는 바이비트 선례입니다. 바이비트는 15억 달러를 잃고도 대출과 매입으로 준비금을 빠르게 채웠고, 고객 출금을 막지 않았습니다. 바이낸스는 이후 “고객 자금은 완전히 안전하다”고 밝혔고, 창업자 자오창펑도 전액 보전을 기대한다고 했습니다.

신중론도 가볍지 않습니다. 이번 규모는 바이비트의 세 배가 넘고, 비상 기금인 SAFU는 올해 5월 기준 12억 달러 안팎으로 알려져 있습니다. 동결분을 빼더라도 기금만으로는 메울 수 없는 크기입니다. 결국 바이낸스 자체 자본이 얼마나 두꺼운지가 관건인데, 이는 공개 자료로 확인하기 어렵습니다.

* 자료: Decrypt, CoinDesk, The Block, Bitcoin Sistemi(10월 29~30일). 해커는 이미 유니스왑에서 UNI 약 5,300만 달러어치, PEPE 약 3,900만 달러어치를 판 것으로 집계됐습니다.

필자의 판단은 ‘출금이 버티면 단기 악재, 막히면 구조적 악재’입니다. 지금까지 나온 정보만 보면 앞쪽 가능성이 더 큽니다. 동결 규모가 크고, 바이낸스의 대응 여력도 바이비트보다 넉넉한 편이기 때문입니다.

다만 해커가 들고 있는 UNI, PEPE 같은 알트코인은 추가 매도 물량이 될 수 있어 당분간 조심하시는 편이 낫습니다. 그리고 이번 일의 가장 실용적인 교훈은 단순합니다. 한 거래소에 자산을 몰아 두지 말고, 오래 들고 갈 코인은 개인 지갑으로 나눠 두시길 권합니다.

⚠️ 본 콘텐츠는 정보 제공 목적이며, 투자 판단의 최종 책임은 투자자 본인에게 있습니다. 사건 직후 작성돼 수치와 사실관계가 바뀔 수 있습니다.