바이낸스가 2026년 10월 29일 약 63억 달러 규모의 해킹을 당했습니다. 사상 최대 암호화폐 탈취 사건의 경위, 바이낸스 입장, 이용자 대응법을 정리했습니다.
2026년 10월 29일(목), 세계 최대 암호화폐 거래소 바이낸스가 기록상 최대 규모의 암호화폐 탈취 피해를 입었습니다. 블록체인 분석업체 TRM Labs에 따르면 20:05 UTC부터 바이낸스 핫월렛에서 자금이 빠져나가기 시작했고, 탈취의 대부분은 약 20분 안에 끝났습니다. 23:05 UTC 무렵 두 번째 공격이 이어졌습니다.
처음 이상 징후를 알린 것은 바이낸스 지갑에서 자금이 유출되는 것을 목격한 이용자와 온체인 분석가들이었습니다. 바이낸스는 TechCrunch에 잠재적 보안 문제에 대한 보고를 인지하고 있으며, 보안 사고에 따른 예방 조치로 여러 네트워크의 출금을 일시 중단했다고 밝혔습니다. 이후 조사가 진행되는 동안 플랫폼 전체의 입출금이 중단됐습니다.
AP통신 보도에 따르면 FBI는 10월 31일(토) 이번 공격을 북한 해커의 소행으로 규정하고, 2025년 2월 15억 달러 규모 바이빗 해킹의 배후인 TraderTraitor 조직과 연관 지었습니다. TRM Labs와 Chainalysis는 이미 TraderTraitor를 배후로 지목했으며, TRM은 '높은 확신'을 갖고 있다고 밝혔습니다.
바이낸스는 전체 피해 규모를 약 63억 달러로 추산합니다. 독립 추정치는 비슷하지만 똑같지는 않습니다. CNBC 보도에 따르면 TRM Labs는 약 63억 6천만 달러(각 전송 시점 가치 기준), Chainalysis는 약 64억 달러로 봤습니다.
TRM의 체인별 집계는 다음과 같습니다.
탈취 자산의 상당 부분이 스테이블코인이었기 때문에 발행사들이 신속히 대응할 수 있었습니다. 바이낸스는 약 30억 달러가 온체인에서 동결됐다고 밝혔습니다. TRM은 10월 30일 00:30 UTC 기준 약 27억 달러가 동결된 것으로 집계했는데, 대부분 테더(약 17억 7천만 USDT)와 서클(약 8억 2,500만 USDC)이 동결했고 리플, 월드리버티파이낸셜, 아비트럼 시큐리티 카운슬도 일부를 동결했습니다. 비트코인과 이더는 동결할 수 있는 발행 주체가 없어 공격자 손에 남았습니다. 동결이 곧 회수는 아닙니다. TRM의 아리 레드보드는 CNBC에 동결 자금을 돌려받으려면 별도의 법적 절차가 필요하다고 말했습니다.
바이낸스는 아직 근본 원인을 공개하지 않았으며, 아래 내용은 공식 발표 이후 달라질 수 있습니다.
Decrypt 보도에 따르면 바이낸스는 첫 업데이트에서 한 데브옵스 엔지니어의 노트북이 해킹돼 공격자가 출금 요청을 제출하는 서비스 컨테이너에 접근했을 가능성이 있으며, "지갑 개인키가 유출됐다는 증거는 발견하지 못했다"고 밝혔습니다. 하루 뒤 바이낸스는 "후속 조사에서 추가 침해 지점이 드러났다"고 했습니다. 리처드 텅 공동 CEO는 공격자가 "한 엔지니어의 권한만 쓴 것이 아니며", "클릭 한 번으로 끝난 일도 아니었다"고 덧붙였습니다.
조사관들에 따르면 공격자는 이더리움에서 EIP-7702를 이용했습니다. EIP-7702는 펙트라(Pectra) 업그레이드로 도입된 기능으로, 일반 지갑이 일시적으로 스마트 컨트랙트 코드를 실행할 수 있게 해 줍니다. Hypernative에 따르면 공격자는 20:20 UTC에 '바이낸스 14'로 알려진 주요 핫월렛을 자신이 통제하는 스위퍼 컨트랙트에 위임하는 유효한 승인을 확보했고, 한 번의 호출로 약 167,464 ETH와 63종의 토큰을 빼냈습니다. 바이낸스는 10월 30일 00:10 UTC에 이 위임을 철회했습니다. 나머지 9개 체인에서는 일반적인 서명 전송으로 자금이 빠져나갔는데, TRM은 이것이 스마트 컨트랙트 버그가 아니라 바이낸스 핫월렛 서명 인프라가 뚫렸다는 것을 시사한다고 분석했습니다.
TRM은 또 준비가 최소 36시간 전부터 시작됐다고 밝혔습니다. 공격자의 운영 지갑은 10월 28일 토네이도 캐시를 통해 자금을 받았고, 스위퍼 코드는 바이낸스를 공격하기 전에 다른 지갑에서 시험과 리허설을 거쳤습니다.
바이낸스의 메시지는 한 가지 점에서 일관됩니다. 손실을 고객이 떠안지 않는다는 것입니다.
"결론적으로 여러분의 자금은 안전하며, 모든 손실을 저희가 보전합니다." — 리처드 텅 바이낸스 공동 CEO, X
바이낸스는 손실을 SAFU 비상기금과 회사 자금으로 보전하겠다고 밝혔고, 10월 30일에는 이를 위해 63억 4천만 달러를 마련했다고 발표했습니다. 텅 CEO는 10월 31일 탈취 자산의 90%를 채웠다고 말했습니다. CNBC에 따르면 바이낸스는 11월 1일 기준 약 95%를 보전했으며, 나머지 5%는 확보에 시간이 더 걸리는 유동성 낮은 토큰이라고 밝혔습니다.
텅 CEO는 또 조사 결과 "특정 개인에게 책임을 돌리지 않았다"고 했으며, "조사가 끝나고 모든 사실이 확인되면 상세한 기술 사후 보고서를 공개하겠다"고 약속했습니다.
자산을 맡기지 않고 거래하세요
바이낸스는 11월 1일(일) 06:00 UTC부터 출금을 단계적으로 재개했습니다. 12:36 UTC 기준 15개 네트워크·자산으로 구성된 1단계가 가동됐고, 나머지는 테스트가 이어졌습니다. The Block은 당시 아직 테스트 중이던 네트워크에 카르다노, 체인링크, 하이퍼리퀴드, 라이트코인, NEAR가 포함돼 있었다고 보도했습니다.
바이낸스는 재개 후 첫 9시간 30분 동안 출금 46억 5천만 달러, 입금 10억 1천만 달러를 처리했다고 밝혔습니다. 순유출은 약 36억 4천만 달러로, 10월 28일 준비금 증명 기준 자산 1,710억 달러의 2.1%입니다. 바이낸스는 초기 급증 이후 출금량이 "예상대로 안정되고 있다"고 했습니다. 제3자 데이터는 차이가 있습니다. 디파이라마(DefiLlama) 대시보드는 더 큰 순유출을 보여 줬지만 바이낸스는 이 수치에 이의를 제기했습니다.
바이낸스는 10월 31일 스냅샷을 기반으로 영지식 증명을 활용해 산출한 준비금 증명을 공개하겠다고 밝혔습니다. 이 기사 작성 시점까지 보고서는 공개되지 않았으며, 해킹 이후 거래소의 재무 상태를 판단하는 데 가장 중요한 미결 사항입니다.
지금까지 나온 정보로 보면 바이낸스는 손실을 감당할 수 있는 것으로 보입니다. 펀드스트랫의 숀 패럴은 CNBC에 이번 공격이 의미 있는 지급 능력 위험을 초래하지는 않는 것으로 보인다고 말했고, 출금 재개 후 보고된 순유출은 자산의 약 2% 수준이었습니다. 이용자에게 손실 분담을 요구하지도 않았습니다.
남은 질문은 지급 능력이 아니라 보안입니다. 근본 원인은 공개되지 않았고, 초기 설명은 이미 수정됐으며, TRM의 10월 30일 집계 기준 약 24억 달러 상당의 ETH와 BTC가 여전히 공격자 지갑에 남아 있었습니다. 바이낸스가 '안전한지'는 사후 보고서의 내용과 보완 조치의 실효성에 달려 있습니다.
이번 해킹은 암호화폐 자체의 실패가 아니며, 누구도 이를 반길 일이 아닙니다. 국가 배후의 조직이 업계에서 가장 많은 자원을 갖춘 보안 조직 중 하나를 상대로 며칠간 공격을 준비했고, 바이낸스의 대응은 지금까지 이용자를 보호했습니다. 이 점은 인정해야 합니다.
그럼에도 구조적인 사실 하나가 드러납니다. 중앙화 거래소에 자산을 맡기면 코인 자체가 아니라 거래소에 대한 청구권을 갖게 됩니다. 내 자산의 안전은 거래소의 핫월렛, 서명 시스템, 직원의 기기, 그리고 재무 상태에 달려 있습니다. 이번에는 재무 여력이 63억 달러를 메울 만큼 컸습니다. 2025년에는 바이빗이 15억 달러 손실을 메웠습니다. 두 경우 모두 거래소가 사고를 수습하는 동안 고객은 자금을 옮길 수 없었습니다.
셀프 커스터디는 이 단계를 없앱니다. 비수탁형 지갑을 쓰면 거래소 핫월렛이 내 자금을 보관하지 않고, 한 번의 공격으로 털릴 수 있는 공용 풀도 없습니다. 위험이 없는 것은 아닙니다. 키와 기기를 스스로 관리해야 하고, 거래소 직원을 노리는 피싱 수법은 개인도 노리며, 온체인 플랫폼에는 스마트 컨트랙트와 브리지 고유의 위험이 있습니다. 하지만 어떤 거래소도 내 출금을 멈출 수 없고, 거래소 서명 시스템이 뚫려도 나만 가진 키에는 닿지 않습니다.
Dexly는 하이퍼리퀴드 기반의 비수탁형 트레이딩 앱입니다. 직접 통제하는 지갑으로 무기한 선물과 현물을 거래하며, Dexly는 이용자의 자금을 보관하지 않습니다. dexly.trade에서 시작해 보세요.
위험 경고: 무기한 선물 거래는 상당한 손실 위험을 수반합니다. 잃어도 감당할 수 있는 자본으로만 거래하세요. Dexly는 비수탁형 인터페이스이며, 자금 및 거래 결정에 대한 책임은 본인에게 있습니다.
자산을 맡기지 않고 거래하세요