바이낸스 63억 달러 해킹의 기록

가짜 면접

11월 3일 바이낸스 글은 초기 보고입니다. 수사는 계속되고, 외부 회사가 검토하며, 다음 공격자가 그대로 베끼지 못하게 일부 기술 세부는 비공개로 남긴다고 했습니다. 끝난 사건 기록이 아니라 거래소가 지금 재구성한 이야기입니다.

바이낸스 공동 CEO 리처드 텡은 11월 3일 CNBC에 공격자들이 몇 달에 걸쳐 들어왔다고 말했습니다. 노트북 한 대가 전부라는 설명은 거부했습니다. 6월에는 개발 도구의 가짜 버전을 만들어 엔지니어에게 설치하게 했다고 했습니다. 9월에는 채용 담당자를 가장해 다른 엔지니어와 여러 차례 면접을 했고, 마지막은 보안을 피하도록 숨긴 악성코드가 든 코딩 과제였다고 했습니다. 그다음 내부 AI 도구를 거쳐 월렛 거래를 승인하는 시스템까지 갔다고 텡은 말했습니다.

블로그는 10월 단계를 이름 대신 역할로 적습니다. 10월 20일 공격자는 바이낸스가 B라고 부른 엔지니어의 컴퓨터와 내부 AI 도구를 썼습니다. 그 손이 월렛 데브옵스 엔지니어 A와 또 다른 월렛 소프트웨어 엔지니어 C에게 닿았습니다. A의 컴퓨터에는 회사 시스템 안에 소프트웨어를 띄울 수 있는 컨테이너 배포 권한이 있었습니다.

10월 29일 17:15부터 19:56 UTC까지, 바이낸스 설명으로는 공격자가 C의 컴퓨터에 로그인하고 A에게서 가져온 자격 증명으로 컨테이너를 배포한 뒤 악성 스크립트를 실행했습니다. 표적은 내부 월렛 서명 서비스입니다. 서명 서비스는 승인된 출금을 블록체인이 받아들이는 서명으로 바꾸는 창구입니다. 키를 훔치지 않아도, 그 창구가 주문을 진짜라고 믿게 하면 됩니다.

텡 본인은 10월 29일 사건을 북한 소행이라고 단정하지 않았습니다. FBI가 그렇게 했다고 말했습니다. 10월 30일 공지는 데브옵스 노트북 한 대를 이야기했고, 당시에는 개인키 유출을 찾지 못했다고 적었습니다. 11월 3일 글은 아직 초기 보고라는 딱지가 붙어 있지만, 경로는 더 길어졌습니다. 채용, 악성코드, 내부 AI 도구입니다.

FBI 경보는 10월 31일자입니다. 북한이 10월 29일께 바이낸스에서 60억 달러가 넘는 가상자산을 훔쳤다고 했습니다. 이 활동을 트레이더트레이터라고 부릅니다. 경보에 함께 이름이 오른 곳은 미국 비밀경호국과 국세청 범죄수사국입니다. 이들은 훔친 자산이 주로 이더리움(ETH)으로 바뀌는 것을 봤고, 이후 디파이와 즉시 스왑 서비스로 세탁이 이어질 것으로 봤습니다. 경보는 주소 목록을 공개하고, 거래소와 디파이 서비스, 노드 운영자, 분석 회사에 그 주소와 엮인 거래를 막으라고 요청합니다.

트레이더트레이터는 이번이 처음 붙은 이름이 아닙니다. FBI는 2025년 2월 바이비트 도난에도 같은 이름을 썼고, 그때 규모는 약 15억 달러라고 했습니다. 엘리프틱은 FBI 발표 전에 이미 바이낸스 공격을 트레이더트레이터로 봤고, 이번 사건이 바이비트에서 빠져나간 14억 6,000만 달러의 네 배가 넘는다고 했습니다. 체이널리시스는 10월 1일, 비트겟 사건만으로도 2026년 북한 연계로 본 암호화폐 도난이 10억 달러를 넘었다고 했습니다. 바이낸스는 그 해의 위에 얹힌 사건입니다. 그 해를 지우는 사건이 아닙니다.

삼십 분

바이낸스의 시계와 엘리프틱의 시계는 같은 저녁을 다른 자리에서 봅니다. 숫자가 어긋나면 둘 다 남깁니다.

1. 10월 29일 17:15–19:56 UTC 바이낸스는 공격자가 C의 컴퓨터에서 A의 자격 증명으로 컨테이너를 배포하고, 서명 서비스를 겨냥한 스크립트를 시작했다고 합니다.
2. 20:05–20:09 UTC XRP 원장의 바이낸스 핫월렛 다섯 개가 공격자 주소 하나로 2억 3,346만 XRP를 보냈습니다. 바이낸스는 이어 솔라나에서 약 97만 500 SOL, 옵티미즘에서 4,420만 OP가 나갔다고 합니다. 대규모 이체 경보가 울렸고 조사가 시작됐다고 합니다.
3. 약 20:20–20:24 UTC 엘리프틱은 바이낸스 14 핫월렛 키로 서명된 승인 50건이 트랜잭션 하나에 실렸다고 합니다. 논스(그 지갑의 거래 카운터)를 서로 다르게 넣어, 그중 하나가 맞도록 한 방식입니다. 지갑의 행동이 공격자 계약으로 위임됐고, 약 3분 30초 뒤 16만 7,464 ETH와 다른 토큰 63종이 쓸렸습니다. 그중 USDT가 16억 개입니다. 바이낸스는 같은 구간에 핫월렛에서 1만 8,270 BTC가 나갔고, 서명 50건은 그 위임을 세우기 위한 것이었다고 합니다.
4. 23:56 UTC 바이낸스는 마지막 무단 이체 2,961.9 ETH가 체인 위에서 확정됐다고 합니다. 그보다 앞서 방송된 거래가 대기 상태로 남아 있었습니다. 엘리프틱은 23:00 UTC가 조금 지난 뒤 아발란체와 폴리곤에서 두 번째 파동을 봤고, 23:56에 바이낸스 14로 들어온 새 입금이 다시 쓸렸다고 합니다.
5. 10월 30일 00:10 UTC 바이낸스는 바이낸스 14에서 영주소로 새 승인을 보냈다고 합니다. 위임 코드가 지워졌습니다. 23:56 ETH 이후 무단 이체는 더 관찰되지 않았다고 합니다.

엘리프틱이 본 체인 목록은 바이낸스 첫 문장보다 깁니다. XRP 다음에 솔라나, NEAR, 베이스, 옵티미즘, 비트코인, 트론, 이더리움, 아비트럼, 아발란체입니다. 열한 개 체인입니다. 가장 큰 조각은 이더리움으로, 도난 시점 가격 기준 186개 토큰에 걸쳐 38억 달러였고 그중 25억 3,000만 달러가 20:24 UTC 트랜잭션 하나로 나갔습니다. 1만 8,270 BTC는 그때 14억 8,000만 달러였습니다. 엘리프틱은 출금 중단 뒤에 움직인 1억 6,900만 달러를 총액에서 뺐습니다. 오래된 주소로 갔고, 바이낸스가 자기 돈을 옮긴 것으로 읽었기 때문입니다. 63억 4,000만 달러와 64억 3,000만 달러가 둘 다 진지할 수 있는 이유 중 하나입니다. 체이널리시스의 시작 시각은 동부시간 오후 4시 20분, 곧 20:20 UTC입니다. XRP가 나간 20:05가 아니라 이더리움 위임 시각입니다.

이더리움 쪽 도구 이름은 건조합니다. EIP-7702는 2025년 펙트라 업그레이드에 들어왔고, 보통 계정이 자기 행동의 일부를 스마트 계약에 넘기게 합니다. 계정은 “이 코드가 나를 대신해도 된다”는 승인에 서명합니다. 개인키를 공개하지는 않습니다. 바이낸스는 공격자가 서명 서비스로 그 승인을 만들었고, 핫월렛은 다자간 계산(MPC)으로 서명을 나눈다고 합니다. 파일 하나에 키가 없습니다. 그래서 당연한 수선이 막혔습니다. 위임을 지울 절차를 따로 만들어야 했습니다. 출금을 멈춰도 부족했다고 회사는 말합니다. 승인이 이미 체인 위에 있었고, 정상 출금 경로를 타지 않았기 때문입니다. 엘리프틱 추적도 그 모양입니다. 위임은 남아 있었고 이후 수거에는 새 서명이 필요 없었으며, 바이낸스 14가 다른 바이낸스 지갑에 가진 권한으로 USDC 8억 2,300만 개가 빠져나갔습니다. 다른 핫월렛 바이낸스 16은 2만 8,006 ETH와 그밖에 1억 7,400만 달러어치 토큰을 보통 서명 거래로 보냈습니다. 체인이 보여주는 그림은, 누군가 서명 인프라에 명령을 넣을 수 있었다는 쪽입니다.

스크립트는 미리 와 있었습니다. 엘리프틱은 10월 28일과 29일 새 지갑이 토네이도 캐시에서 0.1 ETH를 세 번 꺼냈고, 10월 29일 15:59 UTC에 수거 계약을 배포했으며, 바이낸스에 쓰기 약 네 시간 전에 다른 지갑에서 리허설했다고 합니다. 체이널리시스도 토네이도 캐시로 자금을 댄 작업 지갑을 적습니다. 도난이 진행되는 동안 즉석에서 쓴 스크립트가 아닙니다.

동결

스테이블코인에는 발행사가 있습니다. 비트코인에는 없습니다. 동결은 그 문장입니다. USDT, USDC와 몇몇 토큰은 상환하는 회사가 블랙리스트에 올릴 수 있습니다. ETH, BTC, XRP, SOL, NEAR는 그럴 주체가 없습니다. 돈을 지키려면 얼 수 있는 더미를 얼 수 없는 자산으로 바꿔야 했습니다. 업계가 할 일은 그보다 먼저 얼리는 것이었습니다.

엘리프틱의 시계는 촘촘합니다. 훔친 USDT가 20:24 UTC에 공격자의 이더리움 지갑에 닿았습니다. 테더는 37분 뒤 그 지갑을 얼려 USDT 11억 8,000만 개를 가뒀고, 17분 안에 공격자 주소 네 곳을 더 얼렸습니다. 서클은 그 3분 뒤 같은 지갑의 USDC 8억 2,300만 개를 얼렸습니다. 리플, 월드 리버티 파이낸셜, 팍소스, 퍼스트 디지털도 다른 스테이블코인을 얼렸습니다. 테더는 토큰화 금도 얼렸습니다. 바이낸스는 자기가 발행하는 WBETH를 얼렸습니다. 아비트럼 보안 이사회는 공격자 손이 닿지 않게 자산을 옮겼습니다. 10월 31일 옵티미즘 거버넌스는 OP 4,400만 개, 약 500만 달러를 공격자 주소 밖으로 옮겼습니다. 엘리프틱이 11월 1일 약 05:50 UTC, 당시 가격으로 확인한 동결·압수 총액은 28억 5,000만 달러입니다. 그중 94퍼센트가 스테이블코인이었습니다. 훔친 것 전부가 확보된 체인은 아비트럼과 옵티미즘뿐이었고, 둘 다 그 네트워크 거버넌스가 했습니다. 비트코인, XRP, SOL, NEAR로 나간 원자산은 얼지 않았습니다. 부를 발행사가 없기 때문입니다. 리플은 RLUSD는 얼릴 수 있습니다. XRP는 얼릴 수 없습니다.

체이널리시스는 첫 동결을 동부시간 오후 5시 14분, 21:14 UTC로 봅니다. 그전에 공격자가 스테이블코인 5억 달러를 스왑용 지갑 쪽으로 옮겼고, 약 20분 동안 3억 2,500만 달러가 ETH 2억 8,500만 달러가 됐으며, 남은 1억 7,500만 달러는 경유 지갑으로 갔다고 합니다. 엘리프틱의 스왑 숫자는 다른 자릅니다. USDT 4억 3,400만 개가 ETH 16만 451개로 바뀌었고, 시장 가격보다 12퍼센트에서 26퍼센트 나빴습니다. 발행사가 아직 막을 수 있는 토큰을 벗어나려고 스프레드를 낸 것입니다. 두 집계를 더하면 안 됩니다. 엘리프틱 추적의 두 번째 지갑은 에이브에 USDT 5,990만 개를 넣고 ETH 1만 9,762개를 빌렸습니다. 에이브는 그 시장을 얼렸습니다. 대출은 열려 있었고 청산에 가까웠습니다. 그 동결은 새 차입을 막았습니다. 담보를 압수한 것은 아닙니다.

동결 총액은 블랙리스트와 가격을 따라 움직였습니다. 바이낸스는 10월 30일에 약 30억 달러, 11월 3일에 약 28억 5,000만 달러가 동결되거나 차단됐다고 했고, 대사와 시세 변동에 따라 달라진다고 달았습니다. 체이널리시스는 11월 3일 동부시간 오전 11시 30분 기준 약 28억 달러라고 했습니다. 시각 없는 동결 숫자는 테이프를 매끈하게 만든 숫자입니다.

얼지 않은 쪽이 아직 움직입니다. 엘리프틱은 당시 가격으로, 발행사가 얼릴 수 없는 약 32억 5,000만 달러가 800개가 넘는 주소에 있다고 했습니다. ETH 약 58만 4,000개(13억 2,000만 달러), BTC 1만 8,327개(14억 2,000만 달러), XRP 2억 3,300만 개입니다. 비트코인은 19개 주소로 벗겨졌고 대부분 1,000 BTC였으며 서비스로는 아직 가지 않았습니다. 트론에서는 세탁 지갑 하나가 11월 1일까지 1,113번 보냈고 간격의 중앙값은 90초였습니다. 평양 시각의 밤도 포함됩니다. 체이널리시스는 새 주소가 정확히 1 TRX를 받은 뒤 추가 자금을 받고 다시 넘기는 패턴을 스크립트로 읽었습니다. 엘리프틱은 그 트론 흐름 일부가 9월 비트겟 수익과 함께 움직였다고 합니다. 체이널리시스는 그 혼합을 실시간으로 봤고, 그래서 10월 30일 동부시간 0시 30분에, FBI 공개 경보보다 앞서 트레이더트레이터라고 발표했다고 합니다. 두 회사 모두 코인을 세탁한 주체를 AI 에이전트라고 하지는 않습니다. 바이낸스의 AI 도구 이야기는 침입 경로에 대한 말입니다.

비트겟, 다섯 주 전

비트겟 도난은 2026년 9월 24일입니다. 바이낸스의 각주가 아닙니다. 추적 회사들이 10월 귀속을 잇는 다리로 쓰는, 앞선 거래소 사고입니다. “북한이 올해 10억 달러를 가져갔다”는 문장은 바이낸스 14가 열리기 전에 이미 2026년의 문장이었습니다.

비트겟의 9월 25일 업데이트는 손실을 처음 3억 5,160만 달러에서 약 3억 8,750만 달러로 올렸습니다. 두 번째 습격이 아닙니다. 처음 집계에 빠졌던 지캐시와 트론 이체를 넣은 것입니다. 회사는 사고가 봉쇄됐고 추가 무단 이체는 불가능하다고 했습니다. 적은 자산에는 XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX, TRX가 있습니다. EVM 체인, XRP 원장, 지캐시, 트론의 수신 주소를 공개했고, 출금 재개 시각은 나중에 알리겠다고 했습니다.

들어간 경로는, 적어도 조사자들이 적은 경로로는, 가짜 면접이 아니었습니다. 구글 클라우드의 맨디언트와 슬로미스트가 검토했습니다. CNBC가 10월 2일 전한 그 보고서는, 공격자가 제3자 보안 제품의 이전에 알려지지 않은 결함을 썼다고 합니다. 로그에서 가장 이른 악성 활동은 8월 31일입니다. 그다음 내부 권한을 얻어 거래 데이터를 위조했고, 비트겟의 승인 절차가 핫월렛과 웜월렛에서 돈을 내보냈습니다. 개인키는 도난되지 않았습니다. 콜드월렛이 표적은 아니었습니다. CEO 그레이시 첸은 CNBC에, 약 3억 8,800만 달러 중 약 110만 달러가 동결됐고 동결이 반환을 뜻하지는 않는다고 했습니다. 이용자 보호 기금은 회사 적립금으로 3억 달러까지 다시 채웠다고 했습니다. 다음 공격자에게 지도를 주지 않으려고 제품 이름은 밝히지 않았습니다. CNBC가 전한 맨디언트와 슬로미스트 보고서 자체는 북한을 지목하지 않았습니다. 첸은 그보다 앞서 기술 징후가 알려진 북한 그룹과 맞는다 했고, 확정은 기다려야 한다고 했습니다.

체이널리시스는 그 문장만큼 기다리지 않았습니다. 10월 1일 비트겟 도난을 북한 연계 행위자로 봤습니다. 처음 세 시간 동안 3억 8,700만 달러가 23번 이체됐습니다. 이더리움 49.7퍼센트, XRP 40.8퍼센트, 지캐시 7.6퍼센트, 트론 1.8퍼센트입니다. 이 도난으로 2026년 북한 연계 암호화폐 도난이 10억 달러를 넘었다고 했습니다. 엘리프틱은 나중에 바이낸스 코인과 비트겟 코인이 트론 쪽 여러 지갑에서 합쳐졌다고 했고, 그 연결을 먼저 알린 사람은 조사자 잭XBT(ZachXBT)이며 자기 추적으로 확인했다고 합니다. 체이널리시스는 이 혼합을 바이낸스 귀속의 가장 강한 근거로 봅니다. 몇 달 뒤 재구성이 아니라, 당시 관찰입니다.

닮은 곳은 복장이 아니라 서명 창구입니다. 비트겟은 업체 결함, 위조된 승인, 건물 안에 남은 키, 3억 8,750만 달러 중 약 110만 달러 동결입니다. 바이낸스는 채용과 내부 AI 도구, 그다음 서명 서비스, 새지 않았다고 설명된 키, 약 63억 달러 구멍에 약 28억 달러 동결입니다. 한쪽 동결은 경제를 바꿨습니다. 다른 쪽은 거의 바꾸지 못했습니다.

메르카도 비트코인

11월 2일, 브라질의 큰 거래소 메르카도 비트코인은 새벽에 보안 사고를 발견해 봉쇄했고 입출금을 멈췄다고 고객에게 알렸습니다. 그날 21:00 업데이트가 첫 헤드라인보다 우선입니다. 거래소는 고객 자산을 잃지 않게 하겠다고 했습니다. 설명은 창구 이야기와 같습니다. 일부는 온라인 핫월렛, 가게 계산대처럼 입출금에 쓰는 돈입니다. 대부분은 오프라인 콜드월렛, 금고입니다. 사고는 계산대를 쳤습니다. 금고는 치지 않았습니다.

테더, 서클, BRL1, 팍소스, 체이널리시스의 도움을 받아 약 1,100만 달러가 막혔고 약 3,800만 달러는 아직 막히지 않았다고 거래소는 적었습니다. 총액 하나는 공개하지 않았습니다. 보안 회사들은 그날 앞서 4,000만 달러가 넘는다고 추정했습니다. 코인데스크는 그 흐름을 바이낸스와 잇는 공개 증거가 없다고 했습니다. 이 데스크도 찾지 못했습니다. 어느 기관도 공격자를 지명하지 않았습니다. 메르카도 비트코인은 가짜 면접, 서명 서비스 침해, EIP-7702 위임을 설명하지 않았고, FBI 주소 목록과의 겹침도 공개하지 않았습니다. 복장은 비슷합니다. 저자는 알려져 있지 않습니다.

거래소는 비밀번호, 인증 코드, 복구 구문을 묻지 않으며 링크나 전화로 환불을 주지 않는다고도 알렸습니다. 이 규모로 이름이 난 도난 뒤에는, 그 경고도 이야기의 일부입니다. 고객에게 글을 보내는 사람들은 국가의 후원이 없어도 돈을 가져갑니다.

청구서

바이낸스 10월 30일 공지는 손실을 SAFU 기금과 회사 자금으로 메우고, 이용자 자금은 안전하다고 합니다. SAFU는 긴급 자금입니다. 회사 FAQ가 2026년 2월 기준으로 적은 그 자금의 크기는 약 10억 달러이고, 일부는 아부다비 글로벌 마켓의 네스트 클리어링 앤드 커스터디에 있습니다. 2월은 10월이 아니고, 약 10억 달러는 63억 4,000만 달러 구멍보다 몇 배 작습니다. 손실을 실제로 지는 문장은 회사 자금 쪽입니다.

엘리프틱은 바이낸스가 보전용으로 63억 4,000만 달러가 넘는 돈을 잡아 두었고, 그중 약 50억 달러는 이미 도난된 것과 같은 토큰으로 들고 있으며 나머지는 시장과 장외에서 사고 있다고 전했습니다. 텡은 11월 3일 CNBC에, 영향을 받은 63억 4,000만 달러 자산의 98퍼센트를 다시 채웠고 나머지는 유동성이 낮은 토큰이라 아직 매수 중이라고 했습니다. 여기서 다시 채웠다는 말은 공격자가 돌려줬다는 뜻이 아닙니다. 회사가 빼앗긴 것을 메우려고 코인을 사거나 배정했다는 뜻입니다. 동결된 약 28억 달러는 발행사와 이사회와 법원이 아직 끼어 있는 회수 작업입니다. 얼지 않은 비트코인과 이더는 세탁 작업입니다. 고객 화면에 잔액이 그대로 보이는 동안 둘 다 사실일 수 있습니다.

출금은 그 문장의 스트레스 테스트입니다. 바이낸스는 10월 29일 점검 동안 출금을 멈췄습니다. 입금은 10월 30일 명확히 하며 계속 열려 있다고 했습니다. 엘리프틱의 11월 1일 업데이트는 출금이 비트코인부터 다시 열리기 시작했다고 합니다. BBC는 바이낸스 관계자를 인용해, 거래가 재개된 뒤 순유출이 47억 2,000만 달러라고 전했습니다. 이 숫자는 10월 30일 공지와 11월 3일 조사 글에는 없습니다. 뉴스룸이 전한 대변인 숫자입니다. 그래도 재무가 여백에 적어 둘 숫자입니다. 스프레드시트에서 지급 능력이 있어도 출금 창구에서는 현금이 부족할 수 있습니다. 이야기는 쌉니다. 빠져나갈 유동성은 그렇지 않습니다.

“이용자 자금은 안전하다”를 끝내는 문서는 도난 이후 시점의 준비금 증명 스냅샷입니다. 바이낸스는 복구가 끝나면 갱신본을 내겠다고 했고 날짜는 약속하지 않았습니다. 엘리프틱은 회사가 11월 2일 월요일을 목표로 했다고 전했습니다. 이 데스크는 11월 4일 공개 준비금 증명 페이지에서 비율을 가져오지 못했으므로, 비트코인 숫자를 지어내지 않습니다. 날짜 없는 비율은 포스터입니다. 비율이 보여주는 것과 깔끔한 PDF가 숨길 수 있는 것은 스테이블코인 준비금 증명서를 읽는 법에 적어 두었습니다.

9월에 이 데스크는 서클 서류에 나온 바이낸스 관련 주식 1억 달러를 다뤘습니다. 그 숫자는 주식 매수지, USDC 발행이 아니었습니다. 이번 주 숫자는 실제로 움직인 코인입니다. 텡은 CNBC에 월렛 시스템과 내부 AI 도구를 다시 만들고 관련 자격 증명을 폐기했다고 했습니다. 자물쇠를 바꾼 목록입니다. 준비금 비율은 아니고, 1만 8,270 BTC가 나간 뒤 고객 비트코인이 완전히 뒷받침되는지는 아직 이 데스크가 인쇄할 숫자가 없습니다.