핵심 요약
AI 요약
기사 목차 펼치기 / 접기
바이낸스(Binance)의 피해 자산 보전 완료 발표는 도난금 전액 회수 발표가 아니며, 회사가 부족분을 채우는 일과 이용자가 출금하는 일, 준비금을 검증하고 도난 자산을 돌려받는 일은 각각 다른 증거를 요구한다.
바이낸스는 13일 공식 공지에서 피해 자산 보전을 마치고 새 준비금 스냅샷을 공개했다고 밝혔지만, 공지 당시 출금은 단계적으로 재개하는 중이었다. 같은 발표 안에 완료된 조치와 진행 중인 절차가 함께 들어 있는 만큼, 복구 현황을 따지려면 무엇이 끝났고 무엇이 남았는지부터 구분해야 한다.
회사가 손실을 채웠다는 말의 범위
회사는 손실 보전에 63억4000만달러(약 8조4749억원)가 넘는 자금을 배정해 시장과 장외거래(OTC)에서 피해 토큰을 조달했다고 설명했다. 재원에는 해킹 등 비상 상황에 대비해 적립한 이용자 보호기금인 ‘SAFU(Secure Asset Fund for Users)’ 일부와 위험관리 필요 수준을 초과하는 선물 보험기금 일부, 회사 자체 재원이 투입됐다. 더 이상 거래소가 지원하지 않는 극소수 상장폐지 토큰도 피해에 포함됐는데, 회사는 상장폐지 절차에 따라 처리하되 보유 이용자는 보전 대상에 포함한다고 밝혔다.
자금을 마련하는 일과 실제 토큰을 확보하는 일은 앞선 공지부터 시차가 있었다. 회사는 지난 4일 복구 공지에서 필요한 자금의 100%를 넘게 확보했다고 밝혔으나 당시 실제 피해 자산 보충률은 약 98%였고, 유동성이 낮은 잔여 토큰을 시장에서 구하는 데 시간이 더 걸렸다.
“손실을 회사 재원으로 대신 충당한 과정과 범죄로 탈취당한 자산을 추적해 돌려받는 과정은 전혀 다른 절차다.”
보전의 재원은 회사가 마련한 자산이지 탈취당한 코인이 되돌아온 결과가 아니다. 따라서 회사의 공식 발표 내용을 확인한 것과 모든 이용자 계좌의 실제 잔액을 외부에서 전수 대조한 것은 별개로 봐야 한다.
자산과 네트워크별로 나뉘는 출금 재개
바이낸스는 지난 6일 출금 재개 공지에서 자산과 네트워크 조합을 기준으로 재개 목록을 제시하고, 목록에 오른 자산도 동시에 열리지 않고 보안과 준비 상태 확인을 거쳐 순차적으로 열린다고 설명했다. 계정에 같은 코인 잔액이 표시되더라도 어느 블록체인 네트워크로 전송할지에 따라 실제 출금 가능 여부가 달라진다.
회사는 이용자가 선택한 자산과 네트워크의 출금 화면이나 공식 상태 페이지에서 이용 가능 여부를 확인하도록 안내하면서 재개 과정에 처리 지연이 생길 수 있다고 덧붙였다. 재개 예정 목록은 실제 출금 성공 기록이 아니며, 특정 경로의 제한을 거래소 전체의 출금 불능으로 확대해서도 안 된다. 이번 취재에서는 전체 자산의 실시간 출금 상태를 직접 확인하지 못해 단계별 공지를 전면 중단이나 전면 정상화로 단정하지 않는다.
준비금 증명은 무엇을 검증하고 무엇을 남기나
이번 준비금 증명(PoR) 스냅샷은 12일 오전 9시(한국시간)를 기준으로 198개 토큰을 포함하며, 공지는 영지식 증명 파일 생성에 약 40~50시간이 걸린다고 밝혔다. 스냅샷을 공개한 시점과 이용자가 실제 증명 파일로 자신의 잔액을 대조하는 시점 사이에 간격이 있으며, 후속 증명 파일의 최종 완성 여부는 이번 취재에서 확인하지 못했다.
바이낸스 준비금 증명 안내 페이지는 이용자가 선택한 검증일에 본인 잔액이 전체 계정 잔액 산정에 포함됐는지 확인하도록 ‘머클(Merkle) 구조’와 ‘영지식 증명(zk-SNARKs)’ 검증 방식을 제공한다. 머클 구조와 영지식 증명은 전체 이용자의 잔액을 나무줄기처럼 엮어 요약한 장부에서, 다른 사람의 계좌 내역을 드러내지 않고 내 잔액이 총액에 포함됐는지만 수학적으로 확인해 주는 봉인 검증표 역할을 한다. 예컨대 이용자가 12일 스냅샷에 담긴 198개 토큰 중 자신의 보유량이 전체 부채 합계에 최소 1대1로 반영됐는지 직접 대조하는 식이지만, 검증 대상 시점과 자산 범위를 빼고 결과를 읽으면 증명 범위를 넘는 결론에 이른다.
미국 증권거래위원회(SEC) 직원들은 투자자 안내문에서 준비금 증명이 전체 재무제표나 기업의 모든 부채를 설명하지 않으며 재무제표 감사를 대신하지 않는다고 경고했다. 미국 상장기업회계감독위원회(PCAOB)의 투자자 안내문도 특정 시점의 자산 확인이 이후의 사용 가능성이나 내부통제까지 보증하지는 않는다고 설명했다. 두 안내는 이번 바이낸스 자료를 개별 심사한 판정이 아니라, 고객 잔액 집계와 기업 전체 부채 검증의 범위를 가르는 기준이다.
동결된 도난금은 돌아온 돈이 아니다
미 법무부는 지난 12일(현지시간) 발표에서 10월 29일경 북한 군부 연계 해킹 조직 ‘트레이더트레이터(TraderTraitor)’가 바이낸스에서 60억달러(약 8조204억원)가 넘는 가상자산을 탈취한 사건과 관련해, 이 중 27억달러(약 3조6092억원) 초과를 동결하고 12억달러(약 1조6041억원) 초과에 대해 법원의 압수 또는 처분 제한 승인을 받았다고 밝혔다. 뒤 금액은 동결된 27억달러 초과 자산의 일부이므로 두 수치를 합산하면 같은 자산을 중복 계산하게 된다.
법무부와 미 연방수사국(FBI), 비밀경호국(USSS), 국세청 범죄수사국(IRS-CI)은 탈취 자산이 가상자산 브리지와 믹서, 거래소를 거쳐 세탁되는 것을 막기 위해 사이버 경보를 발령하고 자산 추적·동결·압수·몰수 작업을 진행 중이다. 다만 자금 이동을 막았다는 동결 발표와 이용자에게 돌려줬다는 반환 완료는 다른 단계이며, 법무부 발표문에서는 최종 반환 금액과 일정, 회사의 선보전 이후 정산 방식을 확인할 수 없다.
| 확인 대상 | 독자가 확인할 것 | 다른 상태와의 차이 |
|---|---|---|
| 보전 | 누가 부족분을 채웠나 | 도난 코인 반환과 별개 |
| 출금 | 해당 자산·네트워크에서 보낼 수 있나 | 계정 잔액 표시와 별개 |
| 준비금 증명 | 어느 시점·범위의 잔액을 검증했나 | 기업 전체 재무감사와 별개 |
| 도난금 반환 | 누가 얼마를 실제 돌려받았나 | 동결·법원 승인과 별개 |
보전 완료 이후 남은 수탁 분산과 기금 복구 과제
보전과 출금 접근성 회복은 이용자에게 실제로 달라진 조건이며, 준비금 증명도 잔액을 확인할 수단을 더한다. 그러나 지금 자산을 꺼낼 수 있는지와 앞으로 한 거래소에 얼마나 맡길지는 다른 판단이다.
디파이 테크놀로지스(DeFi Technologies)는 12일자 SEC 공시에서 9월 30일 기준 회사와 자회사가 수탁기관·거래소에 예치한 디지털 자산의 약 38.9%를 바이낸스에 두고 있었으나 이번 사고 피해를 입지 않았고 전액 인출할 수 있다고 밝혔다. 그러면서도 수탁 집중 위험을 줄이기 위해 약 1억3800만달러(약 1845억원) 규모 자산을 다른 수탁기관으로 옮겼다고 설명했다. 출금이 막혀 자산이 묶인 사례와 달리, 정상 인출이 가능한 상태에서도 보관처를 나누는 선택은 가능했다.
이 공시는 특정 기업의 위험 관리 선택이므로 전체 이용자가 거래소를 이탈했다는 자료로 확대할 수 없으며, SEC가 회사 설명을 보증한 것도 아니다. 보전 완료를 인정하면서도 이후 수탁 위험을 어떻게 관리하는지 보여주는 사례로 읽어야 한다. 바이낸스 역시 이번 공지에서 SAFU를 약 10억달러(약 1조3367억원) 규모로 다시 채우겠다고 약속했지만, 그 복구를 마친 시점은 공지에 적혀 있지 않다.
