사진=게티이미지뱅크
사진=게티이미지뱅크
세계 최대 가상자산거래소 바이낸스에서 약 63억달러(약 8조4000억원) 규모의 가상자산이 탈취됐다. 해커들이 핵심 자산을 빼내는 데 걸린 시간은 약 20분에 불과했지만 범행 전 최소 36시간 동안 소액 송금과 공격 코드 시험까지 거친 것으로 나타났다.

30일(현지시간) 로이터와 블록체인 분석업체 TRM랩스 등에 따르면 공격자는 지난 29일 오후 4시5분(미국 동부시간)부터 바이낸스가 운용하는 10개 블록체인의 지갑에서 약 63억6000만달러 상당의 가상자산을 빼냈다. 단일 가상자산 해킹 사건으로는 역대 최대 규모다. 2025년 발생한 바이비트 해킹 피해액 15억달러의 네 배가 넘는다.

공격은 불과 20분 사이에 집중됐다. 해커들은 오후 4시5분부터 4분 동안 바이낸스 지갑 5곳에서 2억3346만리플(XRP)을 빼냈다. 이어 솔라나와 옵티미즘 지갑을 공격했고 오후 4시20분에는 비트코인 1만8270개를 한꺼번에 탈취했다. 2분 뒤에는 6억1270만테더와 4640만트론까지 공격자 지갑으로 넘어갔다.

공격 속도는 빨랐지만 범행은 즉흥적이지 않았다. TRM랩스 분석 결과 해커들은 최소 36시간 전부터 공격을 준비했다. 먼저 두 개 지갑에서 공격 코드를 시험한 뒤 세 번째 지갑에서 최종 공격을 예행연습했다. 소액을 먼저 보내 지갑이 정상적으로 작동하는지 확인하고 시험 자금을 회수하는 치밀함도 보였다.

이후 바이낸스의 인터넷 연결 지갑인 '핫월렛'에 공격 코드를 심었다. 이더리움 지갑을 공격할 때는 사전에 확보한 서명 권한 50개를 한꺼번에 제출했다. 계속해서 거래가 발생하는 지갑에서 서명 하나만 유효해도 통제권을 가져갈 수 있도록 설계한 것이다.

유효한 서명을 확보한 뒤 지갑을 비우는 데는 3분24초밖에 걸리지 않았다. 이 한 차례 거래로 이더리움 16만7464개와 16억1500만테더를 포함한 63종의 토큰이 공격자 지갑으로 넘어갔다. 이후 바이낸스 지갑에 새로운 자산이 들어올 때마다 다시 빼내는 방식으로 추가 탈취를 이어갔다.

해커들은 발행사가 거래를 막을 수 있는 스테이블코인이 동결되기 전에 비트코인과 이더리움 등 통제가 어려운 자산으로 바꾸는 속도전도 벌였다. 여러 지갑으로 자금을 쪼개 보내거나 반복적으로 옮기는 자동화 거래를 통해 추적을 방해했다. 비트코인 일부는 1000개와 100개 단위로 연속 분할하는 이른바 '필 체인' 방식으로 세탁을 시작했다.

가상자산 업체들의 대응으로 탈취 자금 가운데 약 30억달러는 동결된 것으로 파악됐다. 그러나 나머지 약 33억달러는 비트코인·이더리움·리플 등 발행사가 직접 멈출 수 없는 자산이 대부분이어서 회수에 어려움이 예상된다. 블록체인 분석업체 엘립틱은 동결된 자금이 전체 탈취액의 약 44%라고 분석했다.

북한 정예 해킹조직 '트레이더트레이터'가 배후로 지목됐다. TRM랩스는 온체인 거래와 외부 정보를 종합해 이 조직의 소행일 가능성이 높다고 판단했다. 신뢰 수준도 '높음'으로 제시했다. 체이널리시스는 바이낸스에서 훔친 자금이 최근 비트겟 해킹에서 탈취된 자금과 뒤섞인 정황을 포착했다. 비트겟 공격 역시 북한 연계 세력의 소행으로 지목된 사건이다.

다만 북한 배후설은 현재까지 블록체인 분석업체들의 판단이다. 바이낸스와 미국 수사당국은 공격 주체를 공식적으로 확정하지 않았다. 바이낸스는 초기 조사에서 개발·운영 엔지니어의 노트북이 해킹돼 비정상적인 출금 명령이 이뤄졌을 가능성을 제기했지만, 이후 추가 침투 지점도 발견했다고 밝혔다. 지갑의 개인키 자체가 유출됐다는 증거는 확인되지 않았다.

바이낸스는 고객 자산에는 손실을 전가하지 않겠다는 입장이다. 이용자자산보호기금(SAFU)과 회사 자금으로 피해액 전부를 충당하기로 했다. 회사 측은 피해 복구를 위해 63억4000만달러 이상의 자체 자금을 확보했으며 이 가운데 50억달러는 탈취된 것과 같은 종류의 가상자산으로 마련했다고 설명했다.

이송렬 한경닷컴 기자 yisr0203@hankyung.com