63억 달러의 교훈: 바이낸스 해킹으로 드러난 핫월렛 보안의 취약점

디지털 자산 역사상 가장 거대한 구멍

지난 2026년 10월 29일, 암호화폐 거래소 바이낸스(Binance)에서 발생한 63억 달러 규모의 탈취 사건은 디지털 자산 보안 역사에 뼈아픈 기록을 남겼습니다 [1, 2]. 단 20분이라는 짧은 시간 동안 10개의 블록체인 네트워크에서 자금이 빠져나간 이 사건은, 세계 최대 규모의 거래소조차도 단 한 명의 엔지니어 기기 침해로 인해 시스템 전체가 흔들릴 수 있다는 냉혹한 현실을 보여주었습니다 [1, 2].

공격의 경로: 엔지니어의 노트북에서 핫월렛까지

바이낸스의 초기 조사 결과에 따르면, 이번 공격의 시발점은 데브옵스(DevOps) 엔지니어의 노트북이었습니다 [3]. 공격자는 이 기기를 통해 서비스 컨테이너에 접근 권한을 획득했고, 이를 기반으로 승인되지 않은 출금 트랜잭션을 제출했습니다 [1, 3]. 보안 업계에서 '트레이더 트레이터(TraderTraitor)'로 알려진 북한 연계 해킹 조직은 공격 36시간 전부터 토네이도 캐시(Tornado Cash)를 통해 자금을 세탁하고, 공격 코드를 테스트하는 등 치밀한 사전 준비 과정을 거쳤습니다 [2].

특히 주목할 점은 이더리움 네트워크에서의 공격 방식입니다. 공격자는 이더리움의 Pectra 업그레이드에 포함된 EIP-7702 표준을 악용했습니다 [2]. 이는 일반 지갑이 스마트 컨트랙트에 제어권을 위임할 수 있게 하는 기능인데, 공격자는 이를 이용해 바이낸스의 핫월렛을 자신들이 통제하는 '스위퍼(sweeper)' 계약으로 전환했습니다 [2]. 공격자는 50개의 사전 서명된 권한을 준비해 두었고, 핫월렛의 트랜잭션 카운트(nonce)가 진행됨에 따라 그중 하나가 유효하게 작동하도록 설계하는 정교함을 보였습니다 [2].

보안의 한계와 불확실성

바이낸스는 이번 사건 직후 자사 SAFU(Secure Asset Fund for Users) 펀드를 통해 모든 손실을 보전하겠다고 밝혔으며, 약 30억 달러 상당의 자산을 온체인상에서 동결하는 데 성공했습니다 [3]. 그러나 이러한 대응에도 불구하고, 왜 단일 직원의 기기가 수십억 달러의 자금을 제어할 수 있는 시스템에 접근할 수 있었는지에 대한 구조적 비판은 피하기 어렵습니다 [1].

현재까지 바이낸스는 개인 키(private key) 유출은 없었다고 발표했으나, 보안 감사 수행 여부나 엔지니어의 기기가 구체적으로 어떤 경로로 감염되었는지에 대해서는 명확한 답변을 내놓지 않고 있습니다 [1]. 일각에서는 오픈소스 소프트웨어 공급망 공격이나 악성코드가 포함된 앱을 통한 침해 가능성을 제기하고 있으나, 이는 어디까지나 일반적인 보안 사고의 패턴에 기반한 해석일 뿐, 이번 사건의 구체적인 침투 경로는 여전히 조사 중인 영역입니다 [1].

결론: 신뢰의 아키텍처를 재고하다

이번 사건은 단순히 특정 거래소의 보안 실패를 넘어, 중앙화된 핫월렛 관리 체계가 가진 태생적 위험을 드러냈습니다. 기술이 고도화될수록 공격자들 또한 EIP-7702와 같은 최신 프로토콜을 공격의 지렛대로 삼는 법을 빠르게 학습하고 있습니다. 결국, '사용자의 자산은 안전하다'는 기업의 선언보다 중요한 것은, 단일 실패 지점(Single Point of Failure)을 제거하는 견고한 다중 보안 아키텍처를 어떻게 구축할 것인가라는 질문으로 돌아갑니다. 기술적 진보가 보안의 방패가 아닌 공격의 칼날이 될 수 있다는 점을 우리는 이번 사태를 통해 다시금 확인하게 되었습니다.

검증에 사용한 자료

[1] North Korean hackers blamed for stealing record $6.3B in Binance breach | TechCrunch — TechCrunch · 원문
[2] North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History | TRM Labs — www.trmlabs.com · 독립 참고 자료
[3] Binance (@binance) on X — x.com · 독립 참고 자료
[4] ~this week in security~ — this.weekinsecurity.com · 독립 참고 자료

링크된 자료는 사실 확인에 사용했으며, 분석과 해석의 책임은 본 사이트에 있습니다.