핵심 요약
AI 요약
기사 목차 펼치기 / 접기
바이낸스(Binance)가 해킹 피해액의 98%를 메웠다고 밝혔다. 해커에게서 되찾은 돈은 아직 없으니, 98%는 회수율이 아니다. 거래소 한 곳이 63억달러를 제 돈으로 낼 수 있다는 증거다.
바이낸스는 지난 4일 공지 #7을 통해 피해액의 약 98%를 보전했다고 밝혔다. 5일 낮 12시 현재 100% 보전 완료 발표는 나오지 않았다. 리처드 텅(Richard Teng) 공동 CEO는 폭스비즈니스 인터뷰에서 남은 2%가 유동성이 낮은 토큰이라며, 시장 충격을 줄이기 위해 시간을 두고 분할 매입하는 중이라고 설명했다.
본지는 바이낸스 준비금 증명(PoR) 사이트에 남은 장부 세 개를 내려받아 대조했다. 해킹 전인 10월 1일과 해킹 이틀 뒤인 10월 31일 그리고 출금이 다시 열린 뒤인 11월 4일 장부다. 이 장부는 고객이 맡긴 코인과 바이낸스가 실제로 금고에 들고 있는 코인을 종목별로 나란히 기록한다.
98%는 회수율이 아니다
바이낸스가 3일 공개한 초기 사고 보고서에 따르면 해킹 피해액은 약 63억4000만달러(약 8조5000억원)에 달한다. 블록체인 보안 파트너 및 발행사와 공조해 동결하거나 차단한 자산은 약 28억5000만달러(약 3조8000억원)로, 초기 집계치인 약 30억달러에서 소폭 조정됐다. 98%는 이 두 수치와 계산법이 다르며, 바이낸스가 공식 발표에 명시한 단어도 ‘보전(replenish)’이다. 탈취당한 코인을 거래소 자체 자금으로 다시 채워 넣는 과정을 가리킨다. 바이낸스는 공식 X 성명을 통해 98% 보전 수치에 동결·보호 자산은 일절 포함되지 않았다고 못 박았다.
| 날짜 | 충당률 | 무엇으로 채웠나 | 출처 |
|---|---|---|---|
| 10월 30일 | 약 80% | 이미 들고 있던 동일 종목 코인 50억달러 | 공지 #2 |
| 10월 31일 | 90% | 회사 자금, 사용자 보호 기금(SAFU) 일부, 선물 보험기금 초과분 | 공지 #3 |
| 11월 1일 | 약 95% | 시장 장내 및 장외(OTC) 매입 | 공지 #4 |
| 11월 4일 | 약 98% | 시장 장내 및 장외 매입 지속 | 공지 #7 |
해커 손에서 돌아온 코인은 이 표 어디에도 없다.
해커가 탈취한 비트코인 1만8270개는 19개 지갑에 분산 보관된 상태다. 본지가 3일 19개 지갑을 전수 추적했을 때 외부 유출은 확인되지 않았으며, 5일 낮 그중 대표 지갑(437.7BTC)을 재확인했을 때도 출금 기록은 0건으로 묶여 있었다.
준비금 장부로 본 63억달러의 출처
바이낸스 준비금 증명 웹사이트의 10월 1일 장부에는 55종의 자산이 등재돼 있다. 당시 고객 예치 잔고는 약 1636억달러, 바이낸스 실보유 자산은 약 1661억달러였다. 초과 준비금 여유분은 약 24억8000만달러(약 3조3000억원) 수준으로, 해킹 피해액 63억4000만달러는 전체 고객 잔고의 3.9%에 해당하는 규모였다.
바이낸스는 공지 #2에서 탈취당한 것과 동일한 종목의 코인 50억달러를 사전에 이미 보유하고 있었다고 설명했다. 장부상 여유분은 그 절반에 미치지 못한다. 해킹 직전 4주 동안 여유분이 늘어났을 수 있고, 바이낸스 역시 장부 하단에 공시 주소의 초과분이 거래소 전체 보유 자산을 의미하지는 않는다고 단서를 달았다.
그래도 숫자는 한쪽을 가리킨다. 50억달러 가운데 절반가량은 증명 주소 밖 회사 금고에서 들어왔다고 보는 편이 장부와 맞는다. 본지 계산이고, 바이낸스는 출처를 나눠 밝히지 않았다.
해킹 이틀 뒤인 10월 31일 장부에서 테더(USDT) 보유 비율은 소수점 넷째 자리까지 100%였다. 고객 잔고 294억8306만개에 보유량이 딱 6개 더 많았다. 10월 1일 12억4000만개였던 테더 여유분이 6개로 줄었고, 이더리움과 솔라나 여유분은 각각 2.7개였다.
| 종목 | 10월 1일 | 10월 31일 | 11월 4일 |
|---|---|---|---|
| 비트코인 | 100.35% | 100.04% | 100.03% |
| 이더리움 | 100.0001% | 100.0001% | 100.02% |
| 테더 | 103.88% | 100%(차이 6개) | 101.55% |
| USDC | 108.26% | 106.08% | 103.12% |
| BNB | 100.47% | 101.3% | 101.49% |
| 10종 여유분 | 23억1000만달러 | 8억7000만달러 | 11억3000만달러 |
금고 바닥을 긁어 줄에 딱 맞춰 채운 장부다.
사용자 보호 기금 SAFU(Secure Asset Fund for Users)도 이때 투입됐다. 바이낸스는 31일 공지 #3 문답에서 SAFU 일부를 “남은 10%의 자산을 사는 데(to acquire the remaining 10% of outstanding assets)” 투입한다고 밝혔다. 확보된 비트코인 7500개는 지난 3일 출금 지갑으로 이체됐다. 공개된 SAFU 온체인 주소에 남은 비트코인 7500개는 5일 낮 12시 시세(8만641달러) 기준 약 6억달러(약 8100억원) 규모다. 이는 바이낸스 자체 규정상 재충전 기준선인 8억달러 하한선을 밑도는 수준이다. 바이낸스는 기금 규모를 당초 10억달러 수준으로 원상 복구하겠다고 공언했으나 구체적인 기한은 명시하지 않았다.
사흘 동안 64억달러가 빠져도 버틴 이유
출금 창구는 1일 오후 3시 비트코인 네트워크부터 재개됐다. 바이낸스는 초기 출금 집계 현황에서 첫 9시간 반 동안 46억4900만달러의 인출 요청을 처리하고 10억1000만달러의 입금을 기록했다고 밝혔다. 순유출액은 약 36억4000만달러(약 4조9000억원)로 집계됐으며, 이는 전체 관리 자산 1710억달러의 2.1%에 해당하는 규모다.
장부로 보면 출금은 그 뒤에도 이어졌다. 10월 31일과 11월 4일 장부에 함께 있는 10종의 고객 잔고는 11월 4일 가격으로 약 64억6000만달러(약 8조7000억원) 줄었다. 테더 42억6000만개, 이더리움 20만9000개, 비트코인 6663개다. 같은 기간 바이낸스 보유량도 약 61억9000만달러 줄었다. 고객이 빼 간 만큼 금고에서 나갔고, 10종 모두 비율 100% 이상을 지켰다. 잔고 감소에는 다른 코인으로 바꾼 몫도 섞여 있어 순출금과 같은 숫자는 아니다.
이번 사태와 선명하게 대비되는 장면은 4년 전 FTX의 붕괴다. 2022년 11월 가상자산 거래소 FTX는 60억달러 뱅크런을 견디지 못하고 출금을 전면 중단한 뒤 당일 파산을 신청했다. 반면 바이낸스는 63억달러의 피해액을 회사 재원으로 메운 직후 거의 대등한 규모의 인출 압력을 장부상 손상 없이 소화해 냈다.
98%가 증명한 것은 이 체력이다.
풀리지 않은 침투 경로와 미회수 자산… 남겨진 보안의 과제
장부가 증명하는 범위는 제한적이다. 영지식 증명(zk-SNARKs)은 개별 고객 잔고를 외부에 노출하지 않고 합산 정합성을 검증하는 암호학적 기법으로, 정해진 스냅샷 시점에 등재된 종목의 고객 잔고만 다룬다. 바이낸스가 공지 #5를 통해 검증을 완료한 내역은 10월 31일 0시(UTC) 기준 핵심 10종 자산에 한정된다. 검증 대상을 44종으로 확대한 11월 4일 장부는 연산 부하로 인해 증명 생성에만 50~60시간이 소요되며, 5일 낮 기준 공식 사이트의 머클 트리 루트에는 여전히 ‘생성 중’ 표시가 유지되고 있었다. 무엇보다 준비금 증명은 회사의 숨은 부채나 전반적인 재무 건전성까지 보증하는 감사가 아니다.
발행사 동결 조치로 묶인 28억5000만달러 역시 온전히 회수된 자산이 아니다. 테더와 서클(Circle) 등 민간 발행사가 해커 주소의 이동을 정지시켰을 뿐, 동결 자산의 최종 귀속과 환수에는 각국 사법 당국의 몰수 및 반환 판결이라는 기나긴 법적 절차가 요구된다. 한편 북한은 지난 2일 김여정 당 부부장 명의 담화를 통해 해킹 연루 의혹을 전면 부인하며 미국 사법 당국의 가상자산 압수 조치를 비난했다.
침투의 전모도 아직 완전히 규명되지 않았다. 바이낸스가 공개한 사고 보고서는 가짜 채용 면접과 사내 AI 도구를 교두보로 삼은 다단계 침투 경로를 짚었으나, 구체적인 기술적 취약점과 권한 탈취 세부는 보안을 이유로 비공개에 부쳤다. 바이낸스는 현재 독립 외부 보안 전문 기업에 정밀 검증을 의뢰한 상태다.
금고가 깊다는 사실이 다음 침투를 막아 주지는 않는다. 해커 지갑에 묶인 비트코인 1만8270개는 여전히 단 한 개도 움직이지 않은 채 다음 표적을 겨누고 있다.
