바이낸스는 2026년 10월 29일, 해커들이 가짜 채용 면접과 내부 AI 도구 탈취를 이용해 63억 4천만 달러(USD) 상당의 디지털 자산을 훔친 경위를 공개했다. 이 사건이 중요한 이유는, 美 은행 규제당국이 암호화폐 보안 위험이 전통 금융권으로 번질 것을 우려해 전통 은행들의 유사한 취약점을 긴급 점검하고 나섰기 때문이다.
실제로 무슨 일이 있었나
WuBlockchain이 보도한 바이낸스의 예비 조사 결과에 따르면, 공격자들은 2026년 9월 악성코드가 담긴 가짜 채용 면접을 통해 한 지갑 엔지니어의 노트북을 먼저 침해했다. 이후 10월 20일, 이들은 탈취한 내부 AI 도구를 이용해 다른 엔지니어들의 시스템에까지 접근했다. 10월 29일에는 악성 컨테이너를 배포하고 서명 자격증명을 훔친 뒤, 이더리움의 EIP-7702 권한 부여 메커니즘을 악용해 스마트 컨트랙트에 대한 실행 권한을 스스로에게 부여했다. 피해 규모는 63억 4천만 달러(USD)에 달했다. 바이낸스는 이 중 28억 5천만 달러(USD)를 동결하거나 회수했으며, 10월 31일까지 피해를 입은 토큰 자산의 98%를 보충했다고 밝혔다. 바이낸스 공동 CEO 허이(He Yi)는 2026년 이후 북한 연계로 의심되는 공격 57건을 차단했지만, 이번에는 공격이 성공했다고 말했다.
배경
암호화폐 거래소들은 스마트 컨트랙트 버그보다는 사회공학적 기법을 통한 국가 배후 해킹 시도 증가에 수년간 시달려왔다. 이더리움 공동 창립자 비탈릭 부테린(Vitalik Buterin)은 지난 18개월간의 보안 사고들이 스마트 컨트랙트가 아닌 사용자 인터페이스와 중앙화된 구성 요소에 집중되어 있다고 지적했다. 그는 향후 2년간 업계 최우선 과제는 경쟁이 아닌 생존이라며, 거래소와 커스터디 업체들에 '요새 모드(fortress mode)' 방어 체계 도입을 촉구했다. 이번 침해 사건 이후 WuBlockchain은 연방준비제도(Fed)와 통화감독청(OCC)이 주요 미국 은행들에 연락해 유사한 취약점이 있는지 확인했다고 보도했다. 암호화폐 보안 위험이 전통 금융권으로 번질 수 있다는 우려에서다.
왜 중요한가
암호화폐 이용자들에게 이번 사건은 자산 보충이 이뤄진 후에도 거래소 보안이 커스터디 리스크만큼 중요한 우려사항이 됐음을 보여준다. 개발자들에게 비탈릭의 경고는 신규 기능 개발보다 견고한 인프라, 공식 검증(formal verification), AI 저항성 인증 체계로 우선순위를 옮겨야 한다는 신호다. 기관과 은행 입장에서는 연준과 OCC의 점검이 암호화폐 레일과 연결된 모든 시스템에 대한 감시가 강화된다는 의미이며, 이는 은행의 암호화폐 파트너십을 늦출 수 있다. 보유자들은 공격이 계속될 경우 비탈릭이 경고한 대로 규제당국이 더 엄격한 의무 보안 감사나 책임 규정을 도입할지 지켜봐야 한다.
더 큰 질문
가짜 채용 면접을 통해 직원을 침해하는 방식으로 스마트 컨트랙트 자체를 완전히 우회할 수 있다면, 어떤 기술적 보안 체계도 진정한 보호를 보장할 수 있을까? 규제당국이 거래소에 대한 더 엄격한 책임 규정을 검토하는 가운데, 이용자 보호와 암호화폐를 전통 은행과 차별화하는 개방적이고 허가 없는(permissionless) 특성 보존 사이에 선은 어디에 그어져야 할까? 이 질문은 향후 거래소, 규제당국, 이용자가 손실 책임을 어떻게 나눌지를 결정짓게 될 것이다.
앞으로 지켜볼 점
바이낸스의 독립적인 기술 조사는 아직 진행 중이며, 완료 시점은 확정되지 않았다. 홍콩의 새로운 암호화폐 세금 보고 규정은 2027년부터 시행되며, 국제 간 암호화폐 세금 정보 자동 교환은 2028년부터 시작된다. 미국 은행 규제당국은 바이낸스 침해 사건 이후에도 계속 시스템을 점검하고 있다. 영지식증명과 공식 검증을 기반으로 한 비탈릭의 '린 이더리움(Lean Ethereum)' 로드맵은 아직 확정된 일정이 없다.
