바이낸스에서 빠져나간 돈은 57억달러가 넘는다. 발행사 두 곳이 동결한 돈은 17억9천만달러다. 그리고 이 사건의 손실액은 아직 아무도 모른다. 세 숫자는 각각 다른 질문에 답한다.
확인된 사실
온체인 기록은 10월 29일 20시 24분부터 21시 4분(UTC)까지, 약 40분을 가리킨다. 이 시간 동안 바이낸스 핫월렛으로 표시된 지갑들에서 이더리움 35억1,000만달러, 비트코인 1만8,270개(약 14억4,000만달러), 트론 6억3,000만달러가 빠져나갔다. 아비트럼과 옵티미즘, 베이스에서도 소액이 함께 나갔다. 합계 추정치는 55억7,000만달러에서 58억달러 사이다.
아캄 데이터 기준으로 공격자 지갑이 보유한 자산은 57억달러를 넘는다. 구성은 비트코인 약 15억달러, 이더 약 9억달러, 스테이블코인 약 14억달러다.
회사의 공식 확인은 아직 없다. 바이낸스는 "보안 이슈 가능성에 대한 보고를 인지하고 조사 중"이라며 "사용자 자금은 완전히 안전하다"고 밝혔고, 대변인은 다중 네트워크에서 출금을 일시 중단했다고 설명했다. 침해 사실도, 손실 규모도 공식 발표에는 없다. 창업자 자오창펑은 같은 날 밤 "바이낸스 해킹으로 보인다. 테더 약 9억7,100만달러와 서클 약 8억2,300만달러 동결에 감사한다. 나는 더 이상 바이낸스닷컴을 운영하지 않지만, 주주로서 모든 사용자 자금이 완전히 보전될 것으로 예상한다"고 썼다. 이어 손실이 그보다 조금 더 클 수 있다면서도 회사가 부담한다고 덧붙였다.
동결은 회수가 아니다
발행사 두 곳의 발표는 명확하다. 테더의 파올로 아르도이노는 15억6,700만달러가 넘는 USDT를 동결했다고 밝혔고, 서클의 제레미 알레어는 수사기관과 협력해 8억달러 이상의 USDC를 동결했다고 밝혔다. 자오창펑이 인용한 숫자(9억7,100만달러와 8억2,300만달러)를 더하면 약 17억9,000만달러다. 코인데스크는 두 발행사의 동결 합계를 23억달러 이상으로 전했다.
여기서 갈린다. 테더와 서클은 자기 토큰의 스마트 컨트랙트를 통제하고 주소를 블랙리스트에 넣을 수 있다. 달러에 묶인 코인은 발행사가 버튼을 누르면 멈춘다. 비트코인과 이더리움은 멈추지 않는다. 공격자는 이미 탈중앙 거래소 유니스왑과 대출 프로토콜 에이브를 통해 자금을 움직였고, 훔친 스테이블코인을 담보로 2만 WETH(약 4,400만달러)를 빌렸다. 자금 조달 경로로 토네이도 캐시가 지목됐다.
회수 가능한 부분은 결국 중앙화된 부분이다. 자기 지갑에 보관한 비트코인은 이번 사건에 노출이 0이었다. 거래소에 맡긴 자산만 노출됐다.
손실은 아직 숫자가 아니다
나간 금액과 손실은 다르다. 손실은 회수액과 보험 재원, 거래소의 흡수 결정이 정한다. 바이낸스는 2018년에 조성한 SAFU라는 사용자 보호 기금을 갖고 있는데, 그 규모는 비트코인 약 10억달러어치다. 예상 탈취액보다 작다. 감사된 잔액은 공개되지 않았다.
보증 문장의 주체도 눈여겨볼 부분이다. 보증을 말한 사람은 회사를 운영하지 않는다고 스스로 밝혔다. 그는 주주다. 주주의 예상은 약속이지만 재무제표는 아니다.
공격 벡터로는 EIP-7702 위임 악용이 지목된다. 이더리움에 지난해 들어온 계정 위임 기능인데, 온체인 분석가들은 바이낸스 14로 표시된 지갑에 위임이 설정된 뒤 자산이 쓸려 나갔다고 본다. 한 트랜잭션에 위임 50개가 바이낸스 14의 키로 서명됐고, 위임된 코드가 지갑에 남아 추가 서명 없이 전송이 가능했다는 분석이다. 편의를 위해 만든 기능이 서명 한 번 없이 지갑을 털 수 있는 통로가 된 셈이다. 다만 이 부분은 분석가들의 온체인 관찰이며, 바이낸스는 원인을 공식 확인하지 않았다.
시장이 재는 것
가격은 즉시 반응했다. 비트코인은 3~4% 내린 7만7,800달러에서 7만9,000달러 사이로 밀렸고, 이더는 4%, BNB는 6.7%, 에이브는 8% 하락했다. 반대로 하이퍼리퀴드(HYPE)는 11%, 트론은 7.6% 올랐다.
규모를 감으로 잡으려면 두 숫자가 있다. 디파이라마 기준 바이낸스 플랫폼 자산은 약 1,440억달러였고, 탈취 추정액은 그 4%다. 그리고 2025년 2월 바이비트에서 15억달러가 빠져나갔다. FBI가 확인한 당시 최대 기록이다. 이번 건이 높은 추정치로 확정되면 그 기록을 넘는다.
시장이 먼저 재는 것은 지급능력이 아니라 인출 가능성이다. 자금이 충분한지보다 지금 내 돈을 뺄 수 있는지가 먼저 문제가 된다. 마켓메이커 윈터뮤트의 대표는 바이낸스가 현재 충격의 3~4배를 견딜 수 있다고 평가했지만, 그 평가가 출금 재개 시점을 앞당기지는 않는다.
무엇을 보면 되는가
첫째, SAFU 잔액 공시다. 보호 기금이 이번 손실을 덮는지, 덮는다면 얼마인지가 숫자로 나와야 한다. 둘째, 동결된 자금의 향방이다. 발행사가 원소유자에게 실제로 돌려주는지, 아니면 묶어 두는 데서 끝나는지다. 셋째, 출금 재개 조건이다. 한도와 추가 신원 확인이 붙으면 그 비용은 사용자가 낸다.
이 글이 틀리는 조건도 분명하다. 바이낸스가 전액 무손실로 보전하고, 조건 없이 출금을 재개하고, 동결 자금이 원소유자에게 반환되면, 이번 사건은 모델의 실패가 아니라 스트레스 테스트 통과가 된다.
남는 것
거래소에 맡긴 코인은 내 자산이 아니라 거래소에 대한 청구권이다. 평소에는 그 차이가 보이지 않는다. 출금이 멈추는 순간에만 보인다. 이번 손실액을 최종적으로 정하는 주체는 해커가 아니다. 동결 버튼을 쥔 발행사 두 곳과, 보전 여부를 결정할 거래소의 재무다.
💡 코인 해킹 뉴스에서 가장 먼저 확인할 숫자는 탈취액이 아니라 회수액이다. 회수 가능한 자산은 발행사가 멈출 수 있는 자산뿐이다.
By KK · Chief of KKandFriends
필자는 디지털 자산 관련 상장사에 재직 중입니다.
본 자료는 정보 제공 목적이며 특정 자산의 매수·매도 권유가 아닙니다. 모든 투자 판단과 책임은 투자자 본인에게 있습니다.