바이낸스서 63억 달러 탈취…FBI, 북한 해킹 조직 TraderTraitor 지목

세계 최대 가상자산 거래소 바이낸스가 29일(현지시간) 해킹으로 약 63억 달러 상당의 자산을 빼앗겼다. 블록체인 분석업체 TRM Labs는 피해액을 63억 6천만 달러로 집계하고 “기록상 최대 규모의 가상자산 탈취”라고 밝혔다. 이전 최대였던 2025년 2월 바이비트 사건(15억 달러)의 약 4배다. 미국 연방수사국(FBI)은 31일 북한 책임을 발표한 것으로 보도됐다. 바이낸스는 피해를 자사가 부담하겠다며 11월 1일부터 일부 인출을 재개했다.

약 20분 만에 10개 블록체인에서

TRM에 따르면 대부분의 이체는 29일 협정세계시(UTC) 20시 5분부터 약 20분 사이에 이뤄졌다. 23시 5분 무렵에는 아발란체와 폴리곤의 바이낸스 지갑에서 두 번째 유출이 있었다. 피해는 엑스알피 레저, 이더리움, 비트코인, 트론, 솔라나, 아비트럼, 옵티미즘, 베이스, 아발란체, 폴리곤 등 10개 체인에 걸쳤다.

체인별로는 이더리움이 약 37억 9천만 달러로 가장 컸다. 여기에는 이더(ETH) 20만 630개와 토큰 185종이 포함되고, 테더(USDT) 18억 7,500만 개와 USDC 8억 2,300만 개도 들어 있다. 비트코인은 1만 8,270개(약 14억 7천만 달러), 트론은 약 6억 2,800만 달러, 엑스알피 레저는 약 2억 3,346만 XRP(약 2억 9,600만 달러), 솔라나는 약 9,600만 달러였다.

수법: 핫월렛을 ’자동 인출기’로

TRM은 이더리움에서 공격자가 이더리움 개선안 EIP-7702를 이용해 바이낸스 핫월렛이 공격자만 통제할 수 있는 스윕(sweeper) 계약을 실행하도록 만들었다고 분석했다. 한 거래에 서명이 미리 만들어진 승인 50개가 들어 있었고, 각각 다른 거래 순번(nonce)에 묶여 그중 하나가 유효하도록 했다. 위임 약 3분 뒤인 20시 20분 지갑 잔액 전체가 빠져나갔고, 이후 20시 41분·20시 59분 등 여섯 차례 추가 인출이 있었다. 다른 체인에서는 위임 없이 일반 서명 이체가 쓰였다.

공격 준비는 이전부터 시작됐다. 작전용 지갑은 28일부터, 즉 탈취 최소 36시간 전부터 토네이도캐시에서 소액을 받았고, 코드는 다른 지갑에서 시험한 뒤 바이낸스 핫월렛에 설치됐다. 바이낸스는 최초 대응에서 직원 노트북이 감염됐을 가능성을 언급했고 이후 추가 침해 지점이 확인됐다고 밝혔다. 다만 바이낸스는 아직 원인을 공식 발표하지 않았다. TRM은 핫월렛 서명 인프라가 침해됐다는 판단이 평가일 뿐 확정된 사실은 아니라고 선을 그었다.

북한 지목

TRM은 온체인·오프체인 정보를 근거로 “높은 확신”으로 북한 해킹 조직 TraderTraitor를 지목했다. 토네이도캐시 자금 지원, 탈취 훨씬 전부터의 준비, 미리 모은 서명을 한꺼번에 실행하는 방식이 바이비트와 올해 4월 켈프DAO 사건과 같다는 설명이다. 실리콘리포트는 FBI가 31일 북한 책임을 공식 발표했으며, 이것이 미국 정부가 이번 탈취를 평양과 처음 공식 연결한 것이라고 전했다. FBI는 탈취 자산이 주로 이더로 바뀌고 있다고 했고, 이더리움·비트코인·솔라나 지갑 주소를 공개해 거래소에 차단을 요청했으며, 앞으로 탈분산금융(DeFi)과 즉시 환전 서비스를 통한 세탁이 이어질 것으로 예상했다고 한다. 이 기사에서는 FBI 원문을 열람하지 못해 실리콘리포트 보도에 기댔다.

동결과 세탁 현황

TRM은 30일 UTC 0시 30분 기준 약 27억 달러가 동결됐다고 집계했다. 테더가 약 17억 7천만 USDT, 서클이 약 8억 2,500만 USDC를 막았고, 리플이 RLUSD 4,050만 개, 월드리버티파이낸셜이 USD1 2,780만 달러어치를 동결했다. 아비트럼 보안위원회는 ETH 8,426개와 ARB 7,460만 개를 막았다.

TRM은 공격자가 여전히 ETH 42만 개 넘게와 비트코인 1만 8,270개, 약 24억 달러어치를 쥐고 있어 발행사가 막을 수 없다고 봤다. 이미 USDT 약 3억 2,500만 개를 UniswapX 등으로 시세보다 약 10% 낮게 팔아 ETH 약 12만 2,300개를 얻었고, 약 6천만 USDT를 에이브에 맡겨 ETH를 빌렸다. 비트코인은 1,000개와 100개 단위로 쪼개 옮기는 중이다. 체이널리시스는 자동화된 고빈도 이체로 지갑 사이를 오가는 “전례 없는 세탁 패턴”을 확인했다고 밝혔다고 실리콘리포트는 전했다. 체이널리시스는 앞선 비트겟 해킹 수익과 실시간으로 섞인 것을 가장 강한 신호로 꼽았다.

바이낸스의 대응

바이낸스는 이용자에게 손실을 넘기지 않고 자사가 흡수하겠다고 밝혔다. 실리콘리포트에 따르면 31일 성명에서 손실의 약 90%를 보전했고 나머지 10%는 유동성이 낮은 토큰을 시장·장외 거래로 사들여 채우고 있다고 했다. 이후 보도(알자지라 인용)에서는 보전 비율이 약 95%로 올라갔다. 인출은 비트코인·이더와 일부 스테이블코인부터 단계적으로 열렸고, 수요가 몰려 지연될 수 있다고 경고했다. 바이낸스는 조사가 끝나면 상세 보고서를 내겠다고 했다.

바이낸스가 밝힌 동결액(약 25억 4천만 달러)과 리플이 주장한 약 2억 달러 차단은 TRM이 전부 검증하지 못했다. 위 수치는 30일 기준 온체인 자료이고 사건은 진행 중이다.