[허시원의 바이낸스 해킹사태 분석①] 바이낸스 해킹사태 경과와 전망

최근 역대 최대 규모로 가상자산 거래소 바이낸스(Binance) 해킹사고가 터지면서 해킹에 대한 우려가 커지고 있다. 이번 사건이 벌어진 배경과 원인, 디지털자산 보안과 수탁업계에 던지는 시사점은 무엇일까. 디지털자산 분석전문기업인 포필러스에서 보안 리서치를 담당하는 허시원(C4lvin) 리서처가 사건의 내부를 자세히 뜯어 봤다.


지난 10월 30일 새벽, 거래량 기준 세계 최대 가상자산 거래소 바이낸스(Binance)가 역대 최대 규모의 해킹을 당했다. 한국 시간 오전 5시 4분 첫 비정상 출금 시도를 시작으로 10개 블록체인에 걸친 바이낸스의 '핫월렛'에서 약 63억6천만달러어치 자산이 빠져나갔고, 대부분은 20분 사이에 사라졌다. 핫월렛은 고객 출금에 바로 응하려고 인터넷에 연결해 둔 지갑으로, 은행 창구에 두는 시재금에 해당한다. 미국 연방수사국(FBI)은 북한 해킹 조직 '트레이더트레이터(TraderTraitor)'를 배후로 지목했다.
바이낸스는 곧바로 출금을 멈췄고, 같은 날 오전 손실 전액 보전을 약속했다. 피해 확산을 막은 것은 업계의 신속한 공조였다. 가장 먼저 움직인 곳은 스테이블코인 발행사다. 테더(Tether)와 써클(Circle)처럼 발행사가 관리하는 달러 스테이블코인은 특정 주소(블록체인상의 계좌번호)에 있는 토큰을 묶을 수 있다. 테더는 사고 1시간이 채 안 돼 동결에 착수해 약 15억7천만달러어치 USDT를, 써클도 비슷한 시각 약 8억2천만달러어치 USDC를 묶었다. 그동안 해킹 자금 동결에 소극적이라는 비판을 받아 온 써클로서는 이례적으로 빠른 조치였다.

블록체인과 토큰 프로젝트도 나섰다. 아비트럼(Arbitrum)은 비상 권한을 가진 보안위원회를 통해 공격자 주소의 자산을 별도 보관 주소로 강제로 옮겼고, 여러 프로젝트가 관리자 권한으로 탈취된 토큰을 회수하거나 소각했다. 아베(Aave), 컴파운드(Compound) 등 탈중앙 대출 서비스는 공격자가 탈취 자산을 담보로 다른 자산을 빌려 가지 못하도록 시장을 멈췄다. 아베에는 이미 공격자가 약 6천만달러어치 USDT를 맡기고 이더리움을 빌려 간 뒤였다. 그 결과 탈취 자산 중 28억달러 이상이 동결되거나 회수됐다.

모든 자금을 묶을 수는 없었다. 공격자는 동결이 불가능한 이더리움, 비트코인 등으로 재빨리 바꾼 뒤 수많은 주소로 흩어 놓았다. 여러 경로 가운데 논란이 된 곳은 서로 다른 블록체인의 자산을 맞바꿔 주는 탈중앙 교환 서비스 토르체인(THORChain)이다. 토르체인은 탈중앙성을 이유로 개별 거래를 막을 수 없다는 입장을 고수했고, FBI의 w직접적인 협조 요청에도 별도의 조치는 이루어지지 않았다. 정작 지난 5월 자신들의 금고에서 약 1,070만달러가 탈취되었을 때는 곧바로 투표를 거쳐 네트워크 전체를 약 5주간 멈췄던 것과 대조적이다.

해킹 자금 동결은 오래된 논쟁거리다. 지난해 수이(Sui) 기반 탈중앙 대출 플랫폼 세투스(Cetus) 프로토콜이 해킹 자금을 동결했을 때만 해도 '중앙화된 체인'이라는 비판과 피해자 보호가 먼저라는 반론이 팽팽히 맞섰다. 이번에는 발행사, 블록체인, 프로젝트가 저마다 동결에 나섰지만, 이에 대한 비판은 거의 찾아보기 힘들다. 피해 확산을 막는 것이 먼저라는 공감대가 퍼지고 있는 것으로 보인다.

필자는 안도와 함께 막막함도 느낀다. 공격자들도 이번 사고를 지켜보며 무엇이 동결되고 무엇이 그렇지 않은지 배웠다. 다음 공격에서는 동결 가능한 자산을 더 빨리 처분하고, 토르체인처럼 개입이 일어나지 않는 경로로 자금을 몰 것이다. 대응에 주어지는 시간은 더 짧아지고, 자금 추적은 더 어려워질 것이다.
이번의 빠른 대응은 곳곳에 개입 권한이 있었기에 가능했다. 같은 사고가 작은 거래소나 프로젝트에서 일어났다면 이만한 공조가 이뤄졌을지 의문이다. 사고 신고 절차를 표준화하고, 검증된 공격자 주소를 거래소와 발행사, 블록체인 사이에 실시간으로 공유하는 체계가 필요한 이유다. 물론 잘못된 신고나 부당한 동결을 막는 검증 절차도 함께 갖춰야 한다. 다음 대응은 더 빨라야 하고, 피해자가 누구든 같은 속도여야 한다.



허시원 포필러스 보안 담당 리서처