바이낸스 해킹 Update #2: 손실 보전 약속과 출금 재개 계획

내 잔고에서 손실을 나눠 부담하게 되나?

공식 #2의 입장은 이용자가 아니라 바이낸스가 이번 탈취의 재정적 손실을 부담한다는 것이다. 회사는 이용자 보호기금인 SAFU와 회사 재무자금을 사용해 사건 관련 탈취 자산을 모두 보전하겠다고 밝혔다.[1]

공식 #2에 따르면 핫월렛 침해는 10월 29일 20시 05분 UTC 전후, 한국 시각으로 10월 30일 오전 5시 05분 전후에 발생했다. 공지에 적힌 손실은 약 63억 달러다. 회사는 63억4000만 달러를 초과하는 자금을 별도로 확보했고, 이 중 50억 달러는 USDC·USDT·BTC·ETH·BNB 등 실제 영향을 받은 동일 종목으로 보유하고 있다고 설명했다. 회사 설명상 영향액의 약 80%에 해당하며, 나머지 약 20%에 해당하는 종목은 시장과 장외거래인 OTC를 통해 매수 중이다.[1]

여기서 ‘손실을 보전하겠다’는 약속과 ‘필요한 종목을 모두 확보했다’는 완료 상태는 다르다. 확보 자금의 총액뿐 아니라 동일 종목 확보가 어떻게 진행되는지도 후속 공지에서 확인할 부분이다. Bitcoin.com 보도도 #2의 손실 보전과 출금 복구 계획을 다루지만, 이를 보전 절차 전체의 완료 확인으로 읽어서는 안 된다.[1][5]

확인한 #1·#2에는 이용자별 보상 신청이나 개인 계좌 입금 일정이 제시돼 있지 않다. 따라서 별도 신청 링크를 찾아야 보전받는다고 해석할 근거도 없다. 이번 공지는 고객 잔고를 일괄 삭감한다는 발표나 개인정보 유출 발표가 아니다.[1][2]

30억 달러 동결은 이미 돌려받았다는 뜻인가?

아니다. 온체인에서 자산을 동결했다는 설명과 해당 자산을 회수했다는 확인은 구분해야 한다. 바이낸스는 법집행기관, 블록체인 분석업체, 자산 발행사, 업계 파트너와 협력해 약 30억 달러를 동결했으며, 추가 회수 작업을 이어가겠다고 밝혔다.[1]

손실액, 회사가 확보한 보전 재원, 동결 자산은 서로 다른 범주다. 동결액을 손실에서 바로 빼서 ‘실제 피해는 이만큼’이라고 계산하거나, 회사 자금과 동결액을 합쳐 ‘보전이 넘치게 끝났다’고 판단하면 현재 상태를 왜곡하게 된다.

표의 금액은 모두 공식 #2의 설명이며, 서로 합산하거나 차감할 항목이 아니다.[1]

출금은 정확히 언제 다시 가능한가?

공식 #2가 제시한 것은 보안 점검 완료를 조건으로 약 34시간 안에 단계적 재개를 시작하겠다는 목표다. #2 게시 시각은 10월 30일 19시 33분 34초 UTC, 한국 시각으로 10월 31일 오전 4시 33분이다. 이를 기준으로 한 목표 시점은 약 11월 1일 오후 2시 33분 KST다.[1]

이 시각을 ‘모든 코인의 출금이 한꺼번에 정상화되는 시간’으로 받아들이면 안 된다. 보안 점검이 조건이고, 재개 방식도 단계적이다. 자산과 네트워크에 따라 실제 이용 가능 상태를 따로 확인해야 한다. 공지에 목표 시간이 있다는 이유만으로 출금 예약이나 자산 이동이 보장되는 것도 아니다.[1]

10월 31일 오후 6시 10분 KST까지 공식 최신 뉴스 목록을 다시 확인했을 때 최신 사고 공지는 #2였다. 공식 뉴스·유지보수 공지 목록과 검색에서 새로운 Update #3이나 이번 사고에 따른 출금 재개 완료 공지는 확인하지 못했다. 확인 범위에 한계가 있으므로, 출금 직전에는 새 공지가 올라왔는지 다시 살펴봐야 한다.[6][7]

출금을 기다린다면 공식 앱이나 직접 접속한 공식 홈페이지에서 해당 자산·네트워크의 출금 화면과 관련 공지를 함께 확인하는 편이 낫다. 다른 자산의 출금이 열렸다는 게시물만으로 내 자산도 출금 가능하다고 판단하지 않는 것이 중요하다.

PoR가 나오면 무엇을 확인할 수 있나?

PoR는 플랫폼이 보유한 자산과 이용자 잔고를 대조하는 자료다. 다만 특정 시점의 자산 보유 내역만으로 거래소의 모든 부채나 지급능력을 보장하지는 않는다. 이번 공지도 PoR 검증이 완료됐다는 발표는 아니다. 바이낸스는 초기 PoR 스냅샷을 12시간 안에 실행하고, 결과를 11월 2일 월요일까지 준비할 계획이라고 밝혔다.[1]

스냅샷은 특정 시점의 상태를 잡는 절차이고, 결과 준비와 공개는 별도 단계다. ‘12시간’이라는 문구만으로 결과까지 공개됐다고 보거나, 11월 2일이라는 날짜만으로 모든 검증의 완료를 보장한다고 해석하면 안 된다. 실제 자료가 나오면 기준 시점, 포함 자산, 잔고를 확인하는 방법부터 살펴볼 필요가 있다.

10월 31일 오후 6시 10분 KST까지 PoR 페이지에 직접 접근을 시도했지만 응답 제한으로 최신 결과를 확인하지 못했다. 공식 후속 공지 목록과 관련 검색에서도 새 결과 게시를 찾지 못했다. 결과가 없다고 확정하는 것은 아니며, 현재 확인한 것은 #2의 계획까지다. 실제 결과 공개 여부는 공식 채널에서 다시 확인해야 한다.[6][8]

해킹 원인과 공격자는 확인됐나?

공식 조사는 진행 중이며, 초기 침입 설명을 최종 원인으로 확정할 단계는 아니다. #1은 DevOps 노트북 침해에서 서비스 컨테이너를 거쳐 무단 출금으로 이어졌을 가능성을 설명했고, #2는 후속 조사에서 추가 침해 지점이 발견됐다고 밝혔다.[1][2]

바이낸스는 현 단계에서 지갑 개인키가 유출됐다는 증거를 찾지 못했다고 설명했다. 이는 ‘개인키 유출은 절대 없었다’는 확정과 다르다. 회사는 검증과 진행 중인 조사에 지장을 주지 않는다는 조건 아래 약 48시간 안에 추가 기술 조사 내용을 공유할 것으로 기대하며, 상세 사고 보고서도 향후 제공하겠다고 밝혔다.[1]

제3자 분석은 이 공식 설명과 분리해서 읽어야 한다. TRM은 이더리움의 EIP-7702 위임 기능이 악용됐다고 분석했고, 핫월렛 서명 인프라 침해 가능성도 제시했다. TRM과 Chainalysis는 각각 TraderTraitor·북한 연계로 평가했다.[3][4]

그러나 바이낸스 공식 #1·#2에는 EIP-7702가 명시돼 있지 않고, 특정 국가나 공격 그룹에 대한 공식 귀속도 없다. 외부 분석업체의 평가를 바이낸스가 확정한 조사 결과처럼 전달해서는 안 된다. 이용자 입장에서는 현재 확인된 차단·복구 조치와 앞으로 나올 기술 보고서를 나눠 보는 것이 더 실용적이다.[1][2]

기다리는 동안 계정에서 무엇을 점검해야 하나?

공식 접속 경로를 지키면서 계정과 연동 권한을 점검하면 된다. 아래는 일반적인 계정보안 권고이며, 이번 사고가 이용자 개인 설정 때문에 발생했다는 뜻은 아니다.

출금 재개, 보상 접수, PoR 확인을 내세운 사칭 피싱을 경계해야 한다. DM·카카오톡 메시지·검색광고로 온 링크는 공식 공지처럼 보여도 그대로 따라가지 않는다. 공식 앱, 미리 저장한 북마크, 직접 주소를 입력한 공식 홈페이지와 그 안의 공식 지원만 확인한다. 바이낸스도 검증된 업데이트는 공식 채널과 공식 고객지원을 통해 확인하라고 안내했다.[1]

‘보상을 받으려면 먼저 입금하라’, ‘출금 잠금을 풀려면 지갑을 연결하라’는 요구에는 응하지 않는다. 메시지로 받은 신청 링크에 접속하거나 시드 문구·OTP·API 비밀키를 전달해서도 안 된다. PoR 결과를 확인한다는 명목 역시 이런 정보를 건넬 이유가 되지 않는다.

API 키는 사용하지 않는 키를 폐기하고, 남겨둘 키의 권한과 IP 제한을 확인한다. 실제로 사용하는 거래·자동화 연동은 어떤 기능에 영향을 받는지 먼저 살펴본다. 이름을 모르는 키나 필요 이상의 권한이 있다면 확인 대상으로 남겨두지 말고 정리해야 한다.

2FA 설정, 등록 기기, 계정 복구수단도 함께 확인한다. 출금 주소 화이트리스트에서는 모르는 주소가 있는지와 변경내역을 살펴본다. ‘복구를 돕겠다’며 화이트리스트를 해제하라는 요구는 거절한다. 이런 점검은 회사의 사고 조사나 자산 보전을 대신하지 않지만, 혼란을 틈탄 별도의 계정 탈취 시도를 줄이는 데 필요한 확인이다.

다음 공지에서는 무엇부터 확인하면 되나?

출금의 실제 재개 범위, 남은 동일 종목 확보 진행, PoR 결과 공개 여부를 먼저 확인하면 된다. 손실을 회사가 부담한다는 약속은 중요하지만, 그것만으로 출금 정상화나 자산 검증까지 완료된 것은 아니다.[1]

확인 기준을 나누면 불필요한 혼란도 줄어든다. 출금은 내 자산·네트워크 화면에서, 보전 진행은 공식 후속 공지에서, 준비금은 공개된 자료의 기준 시점과 범위에서 확인한다. 조사 결과는 회사 발표와 제3자 평가를 구분해 읽는다. 회사의 약속이 실제 출금과 공개 자료로 이어지는지 확인한 뒤 다음 조치를 정하면 된다.

출처