[허시원의 바이낸스 해킹사태 분석③] 바이낸스 사태가 남긴 것

역대 최대 해킹에도 바이낸스는 뱅크런을 피했다. 사고 당일 손실 전액 보전을 약속하고, 외부 차입 없이 자체 자금 63억4천만달러를 마련했다. 지급 능력에 대한 의문에는 준비금 증명(Proof of Reserves)으로 답했다. 특정 시점에 거래소가 가진 자산과 고객 예치금 규모를 공개해, 고객 돈만큼 자산이 있는지 확인할 수 있게 하는 장치다.

11월 1일 오후 비트코인, 이더리움, 테더 등 주요 자산부터 출금을 단계적으로 재개한 뒤 약 9시간 반 동안 순유출은 36억4천만달러였다. 바이낸스 집계 기준 전체 자산 1,710억달러의 2.1% 수준이다. 디파이라마(DefiLlama) 기준 24시간 순유출도 한때 약 70억달러까지 늘었다가 절반 이하로 줄었다. 바이낸스가 2022년 FTX 붕괴 직후 도입한 준비금 증명은 부채 전체를 보여 주지 못한다는 비판을 받아 왔다. 그 한계는 여전하지만, 이번에는 신뢰를 지키는 역할을 해냈다.

다만 이 결과는 피해자가 바이낸스였기에 가능했던 것에 가깝다. 지난해 2월 약 14억달러를 해킹당한 바이비트(Bybit)는 손실을 메우려 다른 거래소와 기관에서 이더리움을 빌려야 했다. 같은 규모의 사고가 자금 여력이 부족한 거래소에서 났다면 뱅크런을 피하기 어려웠을 것이다. 공격 간격도 짧아지고 있다. 지난해 11월 업비트, 지난 9월 비트겟(Bitget), 이번 바이낸스까지 대형 거래소가 잇따라 표적이 됐다.
이용자들의 선택은 이미 나타나고 있다. 한 데이터 업체 집계에 따르면 출금 재개 후 24시간 동안 바이낸스에서 빠져나간 약 45억달러 중 다른 상위 10개 거래소로 간 돈은 약 3억7천만달러에 그쳤다. 90% 이상이 주요 거래소 밖으로 향했고, 상당 부분은 개인이 직접 관리하는 지갑으로 옮겨 간 것으로 보인다. 거래소에 맡기지 않고 스스로 보관하는 '자기 수탁(self-custody)' 수요가 커지고 있다.

문제는 개인 지갑도 안전지대가 아니라는 점이다. 지난 10월 동남아시아의 한 공인 판매점에서 팔린 렛저(Ledger) 하드웨어 지갑에서 정체불명의 부품이 발견됐다. 화면에 지갑 복구용 단어 24개가 표시되면 이를 읽어 외부로 몰래 전송하는 장치였고, 피해는 9천만달러 이상으로 추정된다. 같은 판매점에서는 트레저(Trezor) 기기도 변조된 채 팔린 것으로 알려졌다. 지난해 12월에는 트러스트 월렛(Trust Wallet)의 브라우저 확장 프로그램에 악성 업데이트가 배포돼 약 700만달러가 탈취됐다.

그래서 설계와 내부를 누구나 확인할 수 있는 오픈소스 지갑이 대안이 될 수 있다. 공교롭게도 사고 당일 공개된 앰바이어(Ambire)의 하드웨어 지갑 '아이스(Ice)'는 회로 설계와 펌웨어 등을 공개하고 외장까지 투명하게 만들었다. 오픈소스가 곧 안전을 뜻하지는 않는다. 그러나 사고가 잦아질수록 이용자들은 '믿어 달라'는 말보다 직접 확인할 수 있는 수단을 찾게 될 것이다.

혼란을 키운 것은 공격자만이 아니었다. 바이낸스의 자작극이라는 주장에 이어, 엔지니어가 북한 요원과 연인 관계였다는 근거 없는 '로맨스 스캠설'이 한 미디어 계정을 통해 재생산되며 국내 텔레그램 커뮤니티까지 퍼졌다. 대형 사고일수록 영향력 있는 매체의 정보 검증은 더 엄격해야 한다.

이번 사고에서 업계는 경쟁보다 수습을 우선했고, 그 대응은 모범 사례로 남을 만하다. 남은 과제는 이 속도와 신뢰를 바이낸스가 아닌 곳에서도 재현하는 것이다. 국내 거래소들은 이만한 사고를 버틸 재원과 대응 체계를 갖추고 있는가. 이용자들은 자산을 어디에, 어떻게 맡길 것인가. 이번 사고가 남긴 가장 큰 질문이다.


허시원 포필러스 보안 담당 리서처