이 글을 끝까지 읽으면 10월 29일 밤 단 20분 동안 바이낸스에서 무슨 일이 벌어졌는지 분 단위로 설명할 수 있고, 우리 조직의 핫월렛과 내 거래소 계정에서 오늘 바로 점검해야 할 항목까지 손에 쥐게 됩니다.
⚡ 핵심 답변 요약
2026년 10월 29일 20:05 UTC(한국시간 30일 새벽 5시 5분)부터 약 20분 동안, 공격자는 바이낸스의 핫월렛 서명 인프라를 악용해 10개 블록체인에서 약 63억 달러를 빼냈습니다. 출발점은 DevOps 엔지니어 노트북 침해였고, 사전 자금 준비 → 내부 침투 → 리허설 → 10개 체인 동시 탈취 → 세탁·동결 경쟁의 5단계로 진행됐습니다. 약 30억 달러가 동결됐으며, 바이낸스는 SAFU 기금과 회사 자금으로 손실 전액 보전을 약속했습니다.
🔑 핵심 키워드 : 바이낸스 해킹 · 핫월렛 서명 인프라 · EIP-7702 위임
금요일 아침, 휴대폰을 켜자마자 "바이낸스 입출금 일시 중단" 알림을 보고 가슴이 철렁하신 분들 많으셨을 겁니다. 뉴스마다 63억 달러, 북한, 노트북 해킹 같은 단어가 쏟아지는데 정작 "그래서 정확히 어떻게 뚫렸다는 건데?"라는 질문에 답해주는 글은 찾기 어렵습니다. 속보는 빠르지만 구조는 설명해주지 않으니까요.
저는 2018년 국내 한 가상자산 거래소의 핫월렛 키 관리 체계를 진단한 적이 있습니다. 당시 HSM(하드웨어 보안 모듈)에 키를 넣어 두었으니 안전하다는 게 운영팀의 설명이었는데, 막상 들여다보니 출금 서명 API를 호출할 수 있는 내부 서버가 일곱 대였고 그중 두 대는 개발자 노트북에서 SSH로 바로 붙을 수 있었습니다. "키는 금고 안에 있는데, 금고 직원에게 서명을 시킬 수 있는 사람이 너무 많다"는 게 그때 보고서의 결론이었죠. 이번 바이낸스 해킹 분석을 읽으면서 8년 전 그 보고서가 그대로 떠올랐습니다.
이 글은 공개된 온체인 분석과 바이낸스 공식 발표를 근거로 공격 흐름을 시간순으로 재구성하고, 거래소·기업 보안팀과 개인 투자자가 각각 무엇을 점검해야 하는지 정리합니다. 다만 코인 가격 전망이나 투자 조언, 그리고 공격 재현 방법은 다루지 않습니다. 사건 발생 하루 만에 쓰는 글인 만큼, 원인 조사 결과는 앞으로 바뀔 수 있다는 점도 미리 말씀드립니다.
📌 바로가기 목차
1. 바이낸스 해킹 63억 달러, 그날 밤 무슨 일이 있었나
결론부터 말하면, 이번 바이낸스 해킹은 스마트 컨트랙트 버그가 아니라 거래소 내부의 출금 서명 체계 자체가 공격자 손에 넘어간 사건입니다. 블록체인 분석 기업 TRM Labs의 추적에 따르면 공격자는 2026년 10월 29일 20:05 UTC부터 이더리움, 비트코인, 트론, XRP 레저, 솔라나, 아비트럼, 아발란체, 옵티미즘, 베이스, 폴리곤까지 10개 체인의 바이낸스 지갑에서 약 63.6억 달러를 빼냈고, 그 대부분이 약 20분 안에 이동했습니다.
규모가 어느 정도인지 감이 잘 안 오실 수 있습니다. 그전까지 역대 최대였던 2025년 2월 바이비트(Bybit) 해킹이 약 15억 달러였으니, 그 네 배가 넘습니다. 바이낸스 스스로 추산한 피해액도 약 63억 달러이고, 체이널리시스는 59억~64억 달러 범위로 보고 있습니다. 기관마다 숫자가 조금씩 다른 건 가격 기준 시점과 집계 범위가 다르기 때문이니, 이 글에서는 "약 63억 달러"로 통일하겠습니다.
바이낸스의 대응은 이렇게 흘러갔습니다. 21:29 UTC에 "보안 이슈를 조사 중"이라는 첫 공지가 나갔고, 이후 모든 입출금을 중단했습니다. 다음 날 02:25 UTC에는 1차 조사 결과로 DevOps 엔지니어의 노트북이 침해돼 공격자가 내부 서비스 컨테이너에 접근, 무단 출금 트랜잭션을 제출했다고 밝혔습니다. 그리고 08:47 UTC 업데이트에서 노트북 외에 추가 침해 지점이 확인됐다고 정정했죠.
시장 충격도 컸습니다. BNB는 약 8% 하락했고 비트코인은 7만 7천 달러 아래로 밀렸습니다. 다만 바이낸스가 해킹 전 플랫폼에 보유한 자산이 약 1,440억 달러 수준이었던 만큼, 다수 애널리스트는 지급불능 위험으로 번질 가능성은 낮다고 보고 있습니다. 미국 법인인 Binance.US는 이번 사건의 영향을 받지 않은 것으로 알려졌습니다.
솔직히 말하면, 제가 이 소식에서 가장 먼저 확인한 건 피해액이 아니라 "체인이 몇 개냐"였습니다. 2021년 한 핀테크 기업의 침해사고 대응을 지원할 때, 공격자가 AWS 계정 3개를 2시간 안에 동시에 장악한 걸 보고 원인을 키 유출이 아니라 중앙 IAM 자동화 파이프라인에서 찾았고, 실제로 그게 맞았습니다. 서로 다른 키 체계를 쓰는 10개 체인이 30분 안에 동시에 뚫렸다면, 이건 개별 지갑 문제가 아니라 그 위에 있는 공통 계층의 문제라는 신호입니다.
그렇다면 공격자는 그 20분을 위해 얼마나 오래 준비했을까요? 다음 섹션에서 분 단위 타임라인으로 확인해 보겠습니다.
2. 분 단위 타임라인 비교: 36시간 준비, 20분 탈취
이번 바이낸스 해킹 타임라인의 핵심은 준비는 최소 36시간, 실행은 20분이라는 극단적인 비대칭입니다. 공격자는 하루 반 동안 조용히 자금을 마련하고 공격 코드를 시험했고, 실행 단계에서는 방어 측이 상황을 파악하기도 전에 끝냈습니다. 아래 표는 TRM Labs의 온체인 분석과 바이낸스 공지를 시간순으로 합친 것입니다.
| 시각 (UTC) | 한국시간 | 이벤트 |
|---|---|---|
| 10/28 오전 | 10/28 오후 | 공격자 운영 지갑에 토네이도캐시(믹서) 소액 출금 3회 유입 — 자금 출처 은닉 |
| 10/29 새벽~낮 | 10/29 오전~밤 | 공격용 코드 1차 배포 후 지갑 2개로 시험, 최종 버전을 세 번째 지갑에서 리허설 |
| 20:05~20:09 | 10/30 05:05~05:09 | XRP 레저 바이낸스 지갑 5개에서 약 2억 3,346만 XRP 유출 (첫 탈취) |
| 20:10 직후 | 05:10 직후 | 솔라나·옵티미즘 지갑 유출 |
| 20:20 | 05:20 | BTC 핫월렛에서 18,270 BTC 유출 / ETH 핫월렛에 EIP-7702 위임 서명 50건 일괄 제출 |
| 약 20:22 | 약 05:22 | 트론 핫월렛에서 USDT 약 6.13억 개 + TRX 4,640만 개 유출 |
| 위임 후 3분 24초 | 약 05:23 | ETH 핫월렛 잔액 일괄 스윕 — 167,464 ETH와 토큰 63종(USDT 약 16억 개 포함) |
| 21:01 / 21:04 | 06:01 / 06:04 | 테더 USDT 약 9.7억 개 동결(메인 스윕 37분 뒤), 서클 USDC 약 8.2억 개 동결 |
| 21:29 | 06:29 | 바이낸스 첫 공지 "보안 이슈 조사 중" |
| 22:01~22:10 | 07:01~07:10 | 리플 RLUSD, 월드리버티파이낸셜 USD1 동결 |
| 23:05 | 08:05 | 2차 웨이브 — 아발란체·폴리곤 지갑 유출 |
| 10/30 00:08 | 09:08 | 아비트럼 보안위원회가 공격자 지갑에서 8,426 ETH와 7,460만 ARB 강제 이전 |
| 10/30 02:25 | 11:25 | 바이낸스, DevOps 엔지니어 노트북 침해를 1차 원인으로 발표 (피해 약 63억 달러) |
| 10/30 08:47 | 17:47 | 추가 침해 지점 확인 발표, 출금은 약 45시간 뒤 재개 예정 |
표를 보면서 한 가지 눈에 띄는 점, 혹시 발견하셨나요? 첫 탈취(20:05)부터 바이낸스의 첫 공지(21:29)까지 1시간 24분이 걸렸는데, 그 사이에 테더와 서클은 이미 동결을 끝냈습니다. 피해 당사자보다 스테이블코인 발행사가 먼저 움직인 셈입니다. 또 하나, 공격자는 ETH 핫월렛에 위임을 걸어둔 뒤 20:41, 20:59, 21:04, 21:44, 22:39, 23:56 UTC에 새로 들어온 입금까지 반복해서 쓸어갔습니다. 입출금 중단이 늦어질수록 피해가 계속 쌓이는 구조였던 거죠.
실무에서는 이 표에서 "탐지 시점"과 "차단 시점"의 간격을 가장 먼저 봅니다. 2020년 한 결제대행사 사고 대응 때, 이상 출금 경보는 7분 만에 울렸는데 출금 차단 권한자가 휴가 중이라 실제 차단까지 52분이 걸렸고, 그 45분 동안 피해액이 세 배로 늘었습니다. 이후 그 회사는 차단 권한을 당직자 2인 승인으로 바꿨고, 다음 모의훈련에서 차단 시간이 9분으로 줄었습니다.
🏗️ 바이낸스 해킹 공격 처리 흐름 (공개 분석 기준 재구성)
① 믹서 경유 자금 준비 ▶ ② DevOps 노트북 침해 ▶ ③ 내부 서비스 컨테이너 접근 ▶ ④ 핫월렛 서명 시스템 악용 ▶ ⑤ 10개 체인 동시 탈취·세탁
↳ 개인키를 빼낸 것이 아니라, 정상 출금 경로(서명 시스템)에 "공격자가 원하는 트랜잭션"을 밀어 넣은 구조로 분석됩니다. 바이낸스는 아직 최종 근본 원인을 공개하지 않았습니다.
3. 5단계 공격 흐름의 원리: 서명 인프라는 어떻게 넘어갔나
바이낸스 해킹 5단계 공격 흐름을 한 문장으로 요약하면 "사람의 단말을 통해 기계의 서명 권한을 빌렸다"입니다. 각 단계는 그 자체로는 새로운 기법이 아닙니다. 무서운 건 이 평범한 단계들이 하나의 시나리오로 정교하게 맞물렸다는 점입니다. 공격 재현이 아니라 방어 관점에서, 단계별로 무엇이 어긋났는지 짚어보겠습니다.
- 1단계 · 사전 자금 준비: 공격 트랜잭션 수수료(가스비)를 낼 운영 지갑을 토네이도캐시 경유 소액으로 채웠습니다. 출처 추적을 끊으려는 목적으로, 바이비트 해킹과 2026년 4월 KelpDAO 해킹에서도 같은 패턴이 관찰됐습니다.
- 2단계 · 단말 침투와 내부 접근: 바이낸스 발표에 따르면 DevOps 엔지니어 노트북이 침해됐고, 이를 발판으로 내부 서비스 컨테이너에 접근했습니다. 다만 공동 CEO 리처드 텅은 한 사람의 권한으로 끝난 단순한 공격이 아니라 더 복잡한 과정이었다고 설명했습니다.
- 3단계 · 리허설: 공격자는 실전 투입 전에 자기 지갑 3개로 코드를 시험하고, 테스트 자금을 다시 회수했습니다. 이 단계의 온체인 흔적은 사후에야 의미가 드러나지만, 위협 인텔리전스 공유망이 촘촘했다면 조기 경보의 단서가 될 수도 있었습니다.
- 4단계 · 서명 시스템 악용과 동시 탈취: 이더리움에서는 EIP-7702 위임 기능이 쓰였습니다. 일반 지갑(EOA)이 서명 하나로 스마트 컨트랙트 코드를 실행하도록 위임하는 기능인데, 공격자는 핫월렛 서명이 들어간 위임 승인 50건을 미리 받아 두었습니다. 출금이 계속 일어나 지갑의 트랜잭션 순번(nonce)이 움직여도 그중 하나는 맞아떨어지게 만든 겁니다. 나머지 9개 체인은 평범한 서명 송금으로 빠져나갔습니다.
- 5단계 · 세탁과 동결 경쟁: 공격자는 동결 가능한 스테이블코인을 동결 불가능한 ETH로 서둘러 바꿨습니다. 약 3.25억 USDT를 마켓메이커에게 넘기며 약 12만 2,300 ETH를 받았는데, 시세보다 10% 넘게 손해를 보는 가격이었습니다. 비트코인은 1,000 BTC·100 BTC 단위로 쪼개는 필 체인(peel chain) 기법으로 분산했습니다.
4단계가 이번 사건의 핵심입니다. 서로 다른 체인, 서로 다른 키 형식, 서로 다른 서명 방식을 쓰는 지갑들이 30분 안에 모두 공격자에게 유효한 서명을 내줬다는 건, 개별 키가 아니라 그 키들을 호출하는 공통 서명 시스템이 장악됐다는 뜻입니다. 50건을 한꺼번에 받아둔 정황은 공격자의 접근 시간이 제한적이었거나, 서명을 요청하려면 특정 시스템을 거쳐야 했을 가능성을 시사합니다.
그래서 방어의 초점도 "키를 얼마나 깊이 숨겼나"에서 "서명 시스템이 무엇을 거부하도록 설계됐나"로 옮겨가야 합니다. 2022년 한 커스터디 스타트업의 서명 정책을 설계할 때, 저는 허용 목록보다 거부 규칙을 먼저 정의했습니다. 처음엔 운영팀이 반발했지만, 6개월 운영 결과 거부 규칙 12개가 걸러낸 요청 중 진짜 사고 징후가 2건 있었습니다. 아래는 이번 사건을 반영해 서명 정책에 넣어야 할 거부 규칙을 개념적으로 정리한 예시입니다.
💡 실전 팁: 서명 정책은 "서명기(Signer) 안쪽"에서 강제돼야 의미가 있습니다. 출금 API 서버나 백오피스에만 한도를 걸어두면, 이번처럼 내부 서비스 계층이 장악됐을 때 그대로 우회됩니다. HSM·MPC 서명 노드 자체의 정책 엔진에서 거부되는지 반드시 확인하세요.
4. 흔한 오해 3가지와 실패 사례: 개인키 유출? 노트북 한 대?
사건 직후 SNS에 퍼진 설명 중 상당수는 절반만 맞습니다. 결론부터 말하면 "개인키가 털렸다", "노트북 한 대 때문이다", "피싱 서명 한 번에 당했다"는 세 가지 해석 모두 이번 사건을 온전히 설명하지 못합니다. 잘못된 원인 진단은 잘못된 대책으로 이어지기 때문에, 하나씩 정리해 둘 필요가 있습니다.
첫 번째 오해는 개인키 유출입니다. 리처드 텅 공동 CEO는 현재까지 지갑 개인키가 유출된 증거는 없다고 밝혔습니다. TRM의 분석도 키 탈취보다는 서명 시스템이 공격자가 원하는 트랜잭션에 서명하도록 만든 쪽에 무게를 둡니다. 비유하자면 금고 열쇠를 훔친 게 아니라, 금고 담당 직원에게 가짜 결재 서류를 올려 도장을 받아낸 것에 가깝습니다.
두 번째는 "노트북 한 대"라는 단순화입니다. 바이낸스는 30일 08:47 UTC 업데이트에서 노트북 외 추가 침해 지점이 있다고 밝혔습니다. 단말 하나가 시작점이었을 수는 있지만, 그 단말에서 서명 시스템까지 가는 길에 여러 겹의 통제가 뚫렸다는 뜻입니다. 세 번째는 피싱 서명설입니다. 이더리움 쪽 위임 서명만 보면 피싱처럼 보이지만, 키 형식이 전혀 다른 비트코인·트론·XRP·솔라나 지갑이 같은 시간대에 함께 뚫린 이유를 설명하지 못합니다.
실패 사례로는 2025년 2월 바이비트 해킹을 함께 봐야 합니다. 당시에도 개발자 단말이 침해됐고, 멀티시그 지갑 서비스의 프런트엔드 코드가 조작돼 서명자들이 정상 거래로 보이는 화면에서 악성 트랜잭션에 서명했습니다. FBI는 이 사건을 이번과 같은 북한 TraderTraitor 소행으로 지목했습니다. 1년 8개월 만에 "개발·운영 인력의 단말 → 서명 경로"라는 같은 축이 다시 공략당한 겁니다.
이런 경험, 혹시 있으신가요? 침해사고 보고서 결론에 "직원 PC 악성코드 감염"이라고 쓰고 백신 교체로 마무리했는데, 6개월 뒤 비슷한 사고가 반복되는 경우요. 2019년 제가 자문했던 한 증권사가 정확히 그랬습니다. 두 번째 사고 후에야 개발자 PC에서 운영망으로 가는 접근 경로 41개를 전수 조사했고, 그중 29개를 막고 나머지를 PAW(특권 접근 전용 단말) 경유로 바꾼 뒤에야 재발이 멈췄습니다. 원인을 "단말"에서 멈추지 말고 "단말에서 권한까지의 경로"로 끝까지 추적해야 하는 이유입니다.
5. 체인별 피해·동결 비교: 왜 비트코인은 못 막았나
바이낸스 해킹 피해의 절반 가까이가 동결됐지만, 동결 여부를 가른 건 대응 속도가 아니라 "그 자산에 동결 버튼을 가진 주체가 있느냐"였습니다. 발행사가 있는 스테이블코인은 빠르게 묶였고, 비트코인이나 ETH 같은 네이티브 자산은 손쓸 방법이 없었습니다. TRM 집계(30일 00:30 UTC 기준)를 체인별로 정리하면 다음과 같습니다.
| 체인 | 유출 규모(약) | 동결·회수 상황 |
|---|---|---|
| 이더리움 | 37.9억 달러 (200,630 ETH + 토큰 185종) | USDT·USDC·RLUSD·USD1 상당량 동결, ETH는 동결 불가 |
| 비트코인 | 14.7억 달러 (18,270 BTC) | 동결 불가 — 19개 지갑으로 분산 후 대기 중 |
| 트론 | 6.28억 달러 (USDT·TRX) | 테더가 공격자 지갑 2곳의 USDT 약 3.8억 개 동결 |
| XRP 레저 | 2.96억 달러 (약 2.33억 XRP) | 동결 수단 없음 — 분석 시점까지 이동 없이 보관 |
| 솔라나 | 0.96억 달러 (약 97만 SOL) | 네이티브 자산이라 동결 불가 |
| 아비트럼·옵티미즘·베이스 | 0.39억 달러 | 아비트럼 보안위원회가 약 3천만 달러 상당 강제 이전 |
| 아발란체·폴리곤 | 0.38억 달러 | 일부 USDt·USDT0 동결, 에이브(Aave) 관련 마켓 동결 |
TRM 기준 동결액은 약 27억 달러, 바이낸스 발표 기준은 약 30억 달러입니다. 반대로 공격자가 여전히 쥐고 있는 동결 불가 자산은 42만 ETH 이상과 18,270 BTC, 합쳐서 약 24억 달러로 추산됩니다. 공격자가 3.25억 USDT를 10% 넘게 손해 보면서까지 ETH로 바꾼 것도, 에이브에 USDT 6천만 개를 담보로 넣고 ETH 약 1만 9,760개를 빌린 것도 모두 "동결되기 전에 동결 불가 자산으로 갈아타기"였습니다.
결론적으로, 사고 이후 회수 가능성은 사고 대응팀의 실력보다 자산 구성과 사전 연락망이 먼저 결정합니다. 2023년 한 거래소의 사고 대응 플레이북을 검토하면서 스테이블코인 발행사 긴급 연락처를 확인해 보니, 등록된 담당자 3명 중 2명이 이미 퇴사한 상태였습니다. 테더가 메인 스윕 37분 만에 동결한 이번 사례를 보면, 이 연락망 하나가 수억 달러를 가를 수 있습니다.
6. 거래소·기업 보안팀 실전 대응 체크리스트
바이낸스 해킹에서 거래소·기업 보안팀이 가져가야 할 교훈은 "서명 시스템을 신뢰 경계 안쪽으로 두지 말고, 서명 시스템 자체를 감시 대상으로 삼으라"는 것입니다. 디지털 자산을 직접 보관하지 않더라도, 결제·정산 키나 클라우드 KMS를 쓰는 조직이라면 구조는 똑같습니다. 아래 체크리스트를 이번 주 안에 한 번 대조해 보시길 권합니다.
- ✅ 트레저리·핫월렛 EOA에 EIP-7702 위임 코드(0xef0100으로 시작)가 생기면 즉시 경보가 울리는가
- ✅ 서명 정책이 예정되지 않은 위임 서명과 연속 nonce 대상 다건 서명 요청을 서명기 내부에서 거부하는가
- ✅ 체인·지갑 등급(핫/웜/콜드)별로 서명 인프라와 승인 경로가 분리돼 있는가
- ✅ DevOps·개발자 단말에서 운영 서명 계층까지의 접근 경로를 전수 목록화했고, 특권 접근은 전용 단말(PAW)과 JIT(필요 시점 한정) 권한으로만 허용하는가
- ✅ 시간당 출금 한도와 "잔액 대비 비율" 기반 이상 출금 경보가 있고, 경보 후 10분 안에 출금을 멈출 수 있는가
- ✅ 위임 해제(revocation) 서명 절차를 사전 승인해 두고 분기마다 리허설하는가
- ✅ 스테이블코인 발행사·체인 보안위원회·분석 업체와의 긴급 연락망이 최신 상태인가
- ✅ 공지 문안·결정 권한자를 미리 정해 두었는가 (이번 사건 초기, 바이낸스 공지 문구가 짧은 시간에 여러 번 수정돼 혼선이 있었습니다)
첫 번째 항목은 생각보다 쉽게 구현할 수 있습니다. EIP-7702로 위임된 지갑은 원래 코드가 없어야 할 주소에 "0xef0100 + 위임 대상 컨트랙트 주소" 형태의 23바이트 코드가 생깁니다. 즉 감시 대상 주소의 코드를 주기적으로 조회해서, 비어 있지 않으면 경보를 띄우면 됩니다. 아래는 수동 점검과 자동 감시 예시입니다.
⚠️ 주의: 아래 점검·감시 코드는 반드시 본인 또는 소속 조직이 관리 권한을 보유한 지갑과 환경에서만 사용하세요. 예시의 주소와 RPC 도메인은 모두 마스킹된 가상의 값입니다.
⚖️ 관련 규제 · 표준 (국내 사업자 기준)
· 가상자산 이용자 보호 등에 관한 법률(2024.7.19 시행) : 이용자 가상자산의 상당 부분(경제적 가치 기준 80% 이상)을 인터넷과 분리된 콜드월렛에 보관하고, 해킹·전산장애 대비 보험 가입 또는 준비금 적립 의무
· 정보통신망법 : 침해사고 인지 시 과학기술정보통신부·KISA 신고 의무 (인지 후 24시간 이내)
· ISMS-P 인증기준 : 접근통제·암호키 관리·특권 계정 관리 항목에서 서명 경로와 관리자 단말 통제 증적 요구
· NIST SP 800-57 : 암호키 수명주기와 키 사용 권한 분리 원칙
여기서 한 가지 짚고 싶은 건, 위 규제를 모두 지켜도 이번 같은 공격은 막지 못할 수 있다는 점입니다. 콜드월렛 80% 규정은 "얼마를 밖에 두느냐"를 정할 뿐, 핫월렛 20%를 움직이는 서명 경로가 장악되는 상황은 별개 문제입니다. 2024년 법 시행 직후 한 원화마켓 거래소의 준비 상태를 점검했을 때도, 콜드월렛 비율은 87%로 여유 있었지만 핫월렛 출금 서버 관리자 계정이 개인 노트북 VPN으로 접속 가능한 상태였습니다. 규정 준수는 출발선이지 완성이 아닙니다.
7. 개인 투자자가 지금 확인해야 할 주의사항
개인 투자자 입장에서 지금 가장 큰 위험은 해킹 자체보다 해킹을 미끼로 한 2차 피싱입니다. 이번 사건은 거래소 내부 핫월렛이 털린 것이라 개인 계정 비밀번호와는 직접 관련이 없고, 바이낸스는 SAFU 기금과 회사 자금으로 손실 전액을 보전하겠다고 밝혔습니다. 오히려 "보상 신청", "긴급 자산 이전", "계정 재인증" 같은 문구를 단 가짜 메일과 문자가 쏟아질 시기입니다.
2022년 테라·루나 사태 직후, 제 유튜브 구독자 한 분이 "거래소 보상 접수"라는 문자 링크로 로그인했다가 API 키를 탈취당해 약 1,200만 원어치 자산을 잃은 일이 있었습니다. 그분이 당한 시점은 사고 발생 사흘째였습니다. 사람들의 불안이 가장 클 때가 공격자에게는 가장 좋은 타이밍입니다. 지금 이 글을 읽는 분들도 앞으로 1~2주는 특히 경계하셔야 합니다.
- ☑️ 공지는 바이낸스 공식 앱과 공식 X 계정에서만 확인 — 메일·문자 속 링크는 누르지 않기
- ☑️ 2FA를 SMS가 아닌 OTP 앱 또는 패스키(하드웨어 키)로 설정
- ☑️ API 키를 쓰고 있다면 출금 권한 해제, IP 제한 적용, 안 쓰는 키는 삭제
- ☑️ 출금 주소 화이트리스트 기능 활성화
- ☑️ 출금 재개 직후 몰리는 혼잡 시간대에 급하게 대량 이동하지 않기
"그래도 거래소에 두는 게 불안한데 전부 빼야 하나요?"라는 질문도 많이 받습니다. 장기 보관 자산이라면 하드웨어 지갑 같은 개인 보관이 원칙적으로 맞습니다. 다만 개인 보관은 시드 문구 분실·유출 위험을 본인이 전부 떠안는다는 뜻이기도 합니다. 거래 빈도와 금액, 본인의 키 관리 역량을 함께 따져서 나누어 보관하는 게 현실적인 답입니다.
8. 한계와 트레이드오프: 동결 권한과 핫월렛의 딜레마
이번 바이낸스 해킹에서 30억 달러를 지켜낸 건 탈중앙화가 아니라 중앙화된 동결 권한이었습니다. 이 사실은 불편한 질문을 남깁니다. 테더와 서클이 수억 달러를 수십 분 만에 묶을 수 있다는 건, 같은 권한이 오용되거나 외부 압력에 쓰일 수도 있다는 뜻입니다. 아비트럼 보안위원회가 공격자 지갑에서 자산을 강제로 옮긴 조치도, 위기 대응으로는 박수받지만 "누구도 내 자산을 건드릴 수 없다"는 블록체인의 약속과는 긴장 관계에 있습니다.
핫월렛도 마찬가지입니다. 하루 수십만 건의 출금을 처리하려면 온라인 서명은 피할 수 없습니다. 콜드월렛 비율을 높이고 모든 대량 출금에 사람 승인을 붙이면 안전해지지만, 출금 지연과 운영 비용이 늘어 사용자 경험이 나빠집니다. MPC(다자간 연산) 서명도 만능은 아닙니다. 키 조각을 아무리 잘 나눠도, 그 조각들에게 "서명하라"고 요청하는 상위 시스템이 장악되면 이번처럼 정상 서명이 나갑니다.
반대 의견도 짚어두겠습니다. 일부에서는 이번 사건을 근거로 탈중앙화 거래소(DEX)로의 이동이 가속될 거라고 봅니다. 하지만 DEX와 디파이 역시 올해 4월 KelpDAO에서 약 2.9억 달러가 빠져나가는 등 대형 사고가 이어졌고, 그쪽은 동결이나 보전 장치가 훨씬 약합니다. 어느 쪽이 절대적으로 안전하다기보다, 위험의 종류가 다를 뿐입니다. 마지막으로, 현재 원인 분석은 사건 하루 만의 잠정 결과입니다. 북한 소행이라는 판단도 민간 분석 기업들의 고신뢰 평가이지, 수사기관의 공식 발표는 아직 확인되지 않았다는 점을 감안하고 읽어주세요.
다음 FAQ에서 자주 헷갈리는 부분을 정리했습니다.
9. 자주 묻는 질문 (FAQ)
아니요, 현재까지 바이낸스는 이용자 자산은 안전하며 손실 전액을 SAFU 기금과 회사 자금으로 보전하겠다고 밝혔습니다. 이번 사건은 거래소가 운영하는 핫월렛이 털린 것이라 개인 계정이 직접 침해된 것과는 성격이 다릅니다. 다만 이를 미끼로 한 피싱이 늘어날 시기이니, 개인 투자자 주의사항을 꼭 확인해 주세요.
바이낸스는 10월 30일 08:47 UTC 업데이트에서 약 45시간 뒤 출금 재개를 목표로 한다고 밝혔습니다. 단순 계산하면 한국시간 11월 1일 오후 전후지만, 추가 침해 지점이 확인된 상황이라 일정은 바뀔 수 있습니다. 재개 직후에는 출금이 몰려 지연될 수 있으니 공식 공지를 확인한 뒤 여유 있게 움직이는 편이 안전합니다.
현재까지 공개된 정보로는 아닙니다. 바이낸스 공동 CEO는 개인키 유출 증거가 없다고 밝혔고, TRM Labs 분석도 키 탈취보다 서명 시스템이 공격자의 트랜잭션에 서명하도록 악용된 쪽에 무게를 둡니다. 왜 이런 해석이 나오는지는 흔한 오해 3가지에서 자세히 다뤘습니다.
아니요, EIP-7702는 2025년 5월 Pectra 업그레이드로 도입된 정상 표준 기능입니다. 일반 지갑이 서명 하나로 스마트 컨트랙트 기능을 쓰게 해주는 편의 기능인데, 이번에는 공격자가 장악한 서명 경로를 통해 악용됐을 뿐입니다. 위임 서명 원리와 방어용 서명 정책은 5단계 공격 흐름의 원리를 참고하세요.
비트코인에는 동결 권한을 가진 발행 주체가 없기 때문입니다. USDT·USDC 같은 스테이블코인은 테더·서클이 컨트랙트 차원에서 특정 주소를 묶을 수 있지만, BTC·ETH·SOL 같은 네이티브 자산은 그런 장치가 없습니다. 체인별 상세 현황은 체인별 피해·동결 비교 표에 정리했습니다.
아직 확정은 아니고, 민간 분석 기업들의 고신뢰 평가 단계입니다. TRM Labs와 체이널리시스가 모두 북한 TraderTraitor 조직을 지목했는데, 믹서 경유 자금 준비, 장기간 사전 작업, 미리 받아둔 서명을 한꺼번에 실행하는 방식이 바이비트 해킹과 닮았다는 근거입니다. 수사기관의 공식 발표는 이 글 작성 시점까지 확인되지 않았습니다.
가장 먼저 코드가 없어야 할 지갑 주소에 코드가 생기는지 감시하는 것부터 시작하세요. EIP-7702 위임이 걸리면 해당 주소에 0xef0100으로 시작하는 코드가 나타나므로, 주기적 조회만으로도 탐지할 수 있습니다. 그다음 서명기 내부에서 다건 서명 요청을 거부하도록 정책을 걸면 됩니다. 점검 명령과 감시 스크립트는 실전 대응 체크리스트에 있습니다. 더 궁금한 점은 댓글로 남겨주세요!
10. 마무리 요약
✅ 바이낸스 해킹 63억 달러, 핵심만 다시 정리합니다
2026년 10월 29일 20:05 UTC부터 약 20분 동안, 공격자는 바이낸스 핫월렛 서명 인프라를 악용해 10개 체인에서 약 63억 달러를 빼냈습니다. 준비는 최소 36시간이었고, 믹서 경유 자금 준비와 지갑 3개를 이용한 리허설까지 거쳤습니다.
바이낸스가 밝힌 시작점은 DevOps 엔지니어 노트북 침해였지만 추가 침해 지점이 확인됐고, 개인키 유출 증거는 아직 없습니다. 스테이블코인 발행사와 아비트럼 보안위원회의 신속한 조치로 약 27억~30억 달러가 동결됐으나, 비트코인 18,270개와 ETH 42만 개 이상은 동결이 불가능한 상태입니다.
교훈은 분명합니다. 키를 숨기는 것만으로는 부족하고, 서명 시스템이 무엇을 거부하도록 설계됐는지, 그리고 사람의 단말에서 서명 권한까지 이어지는 경로가 어떻게 통제되는지가 승부를 가릅니다.
금고 열쇠가 아니라 금고 직원의 결재 도장이 털린 사건, 이번 바이낸스 해킹을 한 줄로 요약하면 이렇습니다.
보안 담당자라면 오늘 퇴근 전에 딱 한 가지만 해보세요. 우리 조직이 관리하는 지갑이나 서명 키 목록을 꺼내서, "이 키에 서명을 요청할 수 있는 시스템과 사람이 몇이나 되는가"를 세어 보는 겁니다. 숫자가 바로 나오지 않는다면 그게 첫 번째 과제입니다. 이더리움 지갑을 운영 중이라면 6번 섹션의 점검 명령으로 위임 코드 여부부터 확인하시고요. 개인 투자자라면 거래소 API 키의 출금 권한과 2FA 방식을 지금 바로 확인해 주세요.
여러분의 환경에서는 어떠셨나요? 서명 경로 점검이나 핫월렛 운영 경험이 있다면 댓글로 공유해주세요! 다음 포스팅에서는 이번 사건 이후 출금 재개 과정과 바이낸스가 발표할 최종 근본 원인 분석을 정리하고, 거래소 서명 인프라를 MPC·HSM·정책 엔진 관점에서 비교해 보겠습니다.
📚 참고자료
· TRM Labs — North Korea Steals USD 6.36 Billion From Binance (온체인 분석 보고서, 2026-10-29)
· Ethereum Foundation — EIP-7702: Set Code for EOAs (공식 표준 명세)
· CoinDesk — Binance hacker splits $1.4 billion of bitcoin into 19 wallets (BTC 이동 추적 보도)
· NBC News — Binance targeted in $6.3 billion crypto heist (바이낸스 공식 발표 보도)
· Cointelegraph — Live updates: Binance uncovers more breach points (추가 침해 지점·경영진 발언)
· 금융위원회 — 가상자산 이용자 보호 등에 관한 법률 및 시행령 (국내 법령)
· NIST — SP 800-57 Part 1 Rev. 5, Recommendation for Key Management (표준 권고)
