63억 달러 규모, 타임라인부터 북한 연계설과 현재 상황까지

성님들 이번 바이낸스 해킹 사건은 그냥 “거래소 핫월렛 하나 털렸다” 정도로 보기에는 규모도 크고, 공격 방식도 꽤 복잡함.

현재 바이낸스가 밝힌 전체 영향 규모는 약 63억 달러 수준이고, 이 가운데 약 30억 달러 상당의 자산은 이미 동결된 것으로 알려져 있음.

처음 사건 터졌을 때는 바이낸스 핫월렛 개인키가 털린 거 아니냐는 이야기가 제일 많았는데, 지금까지 나온 내용을 보면 그렇게 단순한 사건은 아닌 것 같음.

Ethereum뿐 아니라 Bitcoin, Tron, XRP, Solana, Arbitrum, Avalanche, Base, Polygon 등 여러 체인에서 거의 같은 시간대에 대규모 자금이 이동했고, 바이낸스 역시 단순 개인키 유출보다는 내부 출금·서명 인프라가 침해됐을 가능성을 조사하고 있음.

그리고 당연히 북한 이야기도 나옴.

“이번에도 라자루스 아니냐?”

이게 처음에는 그냥 커뮤니티 찌라시에 가까웠는데, 현재는 TRM Labs가 북한의 TraderTraitor 조직을 높은 확신으로 지목한 상태임.

다만 바이비트 사건 때처럼 FBI가 공식적으로 북한 소행이라고 발표한 단계는 아직 아님.

그래서 이번 글은 바이낸스 해킹이 실제로 어떤 순서로 진행됐는지, 피해액이 왜 63억 달러까지 나오는지, 북한 연계설은 어디까지 확인됐는지 순서대로 정리해봄.

이번 바이낸스 해킹은 어떻게 시작됐나

이번 사건은 당일 갑자기 시작된 공격이 아니라는 정황이 꽤 강함.

온체인 분석을 보면 공격자는 실제 바이낸스 자산을 빼내기 하루 이상 전부터 공격을 준비한 것으로 보임.

10월 28일 전후부터 공격자 관련 주소에 Tornado Cash를 통해 ETH가 들어왔고, 이 ETH는 이후 공격용 트랜잭션의 가스비나 컨트랙트 실행 등에 사용된 것으로 분석됨.

Tornado Cash는 자금의 출처를 섞어서 추적을 어렵게 만드는 믹싱 프로토콜인데, 대형 해킹 사건에서 종종 공격 준비 단계나 자금세탁 과정에 등장함.

즉 공격자 입장에서는 먼저 사용할 주소를 만들고, 해당 주소에 가스비를 넣고, 공격용 컨트랙트를 준비하고, 실제 공격이 제대로 동작하는지 테스트한 뒤 바이낸스를 건드린 것으로 보임.

이런 부분만 봐도 단순 실수나 즉흥적인 공격보다는 상당히 계획적으로 준비된 공격에 가까움.

10월 29일, 실제 공격 전에 리허설까지 진행

공격자는 실제 바이낸스 지갑을 공격하기 전에 자신이 관리하는 테스트 지갑에서 비슷한 구조를 반복적으로 시험한 정황도 확인됨.

쉽게 말하면 실제 공격에서 사용할 방식이 제대로 작동하는지 미리 연습해본 것임.

소액을 넣어둔 지갑에서 특정 권한을 부여하고, 공격용 컨트랙트를 실행한 뒤 지갑 안의 자산을 다른 주소로 이동시키는 방식이 반복적으로 테스트된 것으로 분석됨.

그리고 이후 실제 공격에서 사용될 sweeper 컨트랙트가 배포됨.

Sweeper라는 이름 그대로 지갑 안에 있는 여러 자산을 한 번에 쓸어가는 역할을 하는 코드라고 생각하면 됨.

즉 공격 준비 과정을 보면,

공격자 주소 준비 → 가스비 준비 → 공격용 컨트랙트 배포 → 테스트 지갑에서 리허설 → 실제 바이낸스 공격

이 흐름으로 보는 게 자연스러움.

10월 30일 새벽, 본격적인 자금 유출 시작

본격적인 자금 이동은 한국시간으로 10월 30일 새벽부터 시작됨.

처음부터 Ethereum에서만 대형 이동이 발생한 것도 아님.

XRP Ledger에서 바이낸스 관련 여러 지갑의 XRP가 공격자 주소로 이동하기 시작했고, 이후 Solana와 Optimism 등에서도 비슷한 비정상 자금 이동이 확인됨.

이게 이번 사건에서 상당히 중요한 부분임.

만약 Ethereum 지갑 하나의 개인키만 유출된 사건이라면 XRP, Bitcoin, Tron, Solana 등 서로 다른 구조를 가진 블록체인에서 동시에 정상 서명된 트랜잭션이 만들어지는 상황을 설명하기 어려움.

그래서 사건 초반부터 단순 지갑 하나의 문제보다 바이낸스 내부의 출금 또는 서명 인프라 자체가 침해됐을 가능성이 거론되기 시작함.

오전 5시 20분경, 비트코인 18,270 BTC 이동

그리고 Bitcoin 쪽에서도 엄청난 규모의 이동이 발생함.

바이낸스 관련 핫월렛에서 약 18,270 BTC가 공격자 주소로 이동함.

당시 기준으로 14억 달러가 넘는 규모임.

공격자는 이 BTC를 한 주소에 그대로 놔두지 않고 여러 주소로 쪼개기 시작함.

1,000 BTC 단위, 100 BTC 단위 등으로 계속 나누면서 자금을 분산시키는 방식임.

이런 식의 자금 이동은 대규모 탈취 사건에서 추적을 어렵게 만들기 위해 자주 사용됨.

큰 금액을 한 번에 움직이면 분석업체나 거래소가 추적하기 쉽기 때문에 여러 주소로 쪼개고, 다시 체인 간 이동이나 OTC, 믹서 등을 이용하는 방식으로 점점 복잡하게 만드는 것임.

같은 시간, Binance 14에서 EIP-7702 등장

Ethereum 쪽에서는 이번 사건에서 가장 많이 언급되는 EIP-7702가 등장함.

EIP-7702를 아주 쉽게 설명하면 일반적인 이더리움 지갑이 특정 스마트컨트랙트 기능을 자기 지갑처럼 사용할 수 있도록 권한을 줄 수 있는 기능임.

정상적으로 사용하면 여러 트랜잭션을 한 번에 처리하거나, 가스비를 대신 내주는 기능 등을 만들 수 있어서 편리함.

문제는 공격자가 유효한 authorization, 즉 권한 위임 서명을 확보했을 때임.

공격자는 Binance 14라는 대형 Ethereum 핫월렛에 자신이 만든 sweeper 컨트랙트를 연결할 수 있는 권한을 적용한 것으로 분석됨.

특히 여러 nonce에 맞춘 authorization을 미리 준비한 정황도 확인됐는데, 결국 현재 Binance 14 상태와 맞는 authorization이 실행되면서 공격용 컨트랙트가 지갑의 자산을 이동시킬 수 있게 된 것으로 보임.

여기서 중요한 건 EIP-7702 자체가 해킹당했다는 의미는 아니라는 점임.

공격자가 어떻게 유효한 authorization을 확보했느냐가 핵심임.

오전 5시 24분, 약 25억 달러 규모가 한 번에 이동

EIP-7702 권한이 적용된 이후 몇 분 뒤 Binance 14에서 엄청난 규모의 자금이 빠져나감.

약 167,000 ETH,

약 16억 달러 규모의 USDT,

그리고 60종이 넘는 여러 토큰이 공격자 주소로 이동함.

당시 가치 기준 약 25억 달러 수준임.

단일 트랜잭션으로 수조 원 규모의 자산이 이동한 셈임.

근데 문제는 이게 끝이 아니었다는 것.

다른 바이낸스 지갑에서도 계속 자금이 빠져나감

Binance 14에서 대규모 자금 이동이 나온 뒤 다른 Ethereum 지갑에서도 약 28,000 ETH와 여러 스테이블코인이 추가로 빠져나감.

Tron에서는 대규모 USDT와 TRX가 이동했고, Bitcoin과 XRP, Solana, Arbitrum, Optimism, Avalanche, Base, Polygon 등에서도 추가 자금 이동이 확인됨.

결국 여러 블록체인에서 매우 짧은 시간 안에 바이낸스 관련 지갑 자산이 공격자 주소로 이동한 것.

이게 단순 스마트컨트랙트 취약점 하나로 설명하기 어려운 이유임.

Bitcoin과 Ethereum, Tron, XRP는 전부 서명 방식과 구조가 다름.

그런데 여러 체인에서 공격자가 원하는 트랜잭션이 정상적으로 승인됐다는 건 공격자가 바이낸스 내부의 더 상위 수준 권한이나 출금 시스템을 건드렸을 가능성을 생각하게 만듦.

공격자 권한이 바로 차단되지 않으면서 추가 유출

Binance 14에 적용된 공격자의 권한은 최초 대규모 자금 이동 이후 바로 사라진 게 아니었던 것으로 보임.

그래서 해당 지갑이나 연관 계정으로 새로운 자금이 들어오면 다시 공격자가 자산을 가져가는 추가 sweep도 발생함.

연관된 스마트 계정에서는 수억 달러 규모의 USDC가 추가로 빠져나간 것으로 분석됨.

쉽게 말하면 지갑을 한 번 비우고 끝난 게 아니라 공격자 권한을 완전히 차단하기 전까지 계속 위험한 상태였다는 것임.

대형 거래소에서 이런 상황이 발생하면 사건 초반 몇 분, 몇십 분이 정말 중요함.

얼마나 빨리 권한을 폐기하고 출금을 멈추느냐에 따라 피해 규모가 크게 달라질 수 있기 때문임.

그래서 바이낸스 개인키가 털린 거냐

사건 초반에는 이 이야기가 제일 많이 돌았음.

“바이낸스 핫월렛 개인키 털림.”

근데 현재 바이낸스가 밝힌 초기 조사 결과는 조금 다름.

바이낸스는 현재까지 지갑 개인키 자체가 직접 유출됐다는 증거는 발견하지 못했다고 설명함.

대신 DevOps 엔지니어의 노트북이 침해됐을 가능성을 조사하고 있음.

공격자가 해당 장비를 통해 바이낸스 내부의 서비스 컨테이너나 출금 관련 시스템에 접근했고, 이후 승인되지 않은 트랜잭션을 생성했을 가능성이 있다는 것임.

현재 나온 내용을 단순하게 정리하면,

DevOps 엔지니어 PC 침해 → 내부 서비스 접근 → 출금·서명 인프라 악용 → 여러 체인의 지갑에서 정상적인 형태의 트랜잭션 생성 → 대규모 자산 유출

이 흐름이 가장 유력하게 거론되고 있음.

물론 아직 초기 조사 단계라 정확한 공격 경로는 최종 포스트모템이 나와야 알 수 있음.

그래서 지금 “개인키가 털렸다” 혹은 “EIP-7702 버그 때문에 털렸다”라고 확정해서 말하는 건 조금 빠름.

피해 규모는 왜 63억 달러까지 나오는가

현재 바이낸스가 공식적으로 밝힌 전체 예상 영향 규모는 약 63억 달러 수준임.

온체인 분석업체들도 비슷하게 약 60억 달러 이상 규모의 자금 이동을 추적하고 있음.

단순 숫자만 보면 역대 크립토 해킹 사건 중에서도 압도적으로 큰 규모임.

2025년 바이비트 해킹이 약 15억 달러였는데, 이번 바이낸스 사건은 전체 영향 규모 기준 약 4배 이상임.

다만 여기서 꼭 구분해야 할 게 있음.

63억 달러가 그대로 공격자의 최종 수익은 아님.

해킹으로 이동한 자산 중 상당 부분은 USDT와 USDC 같은 중앙화 스테이블코인이었고, Tether와 Circle 등이 공격자 관련 주소의 자산을 빠르게 동결함.

현재 약 30억 달러 상당이 동결된 것으로 알려짐.

그래서 앞으로는 단순히 “63억 달러 털림”만 볼 게 아니라,

전체 영향 규모가 얼마인지,

그중 몇 억 또는 몇십 억 달러가 동결됐는지,

실제로 회수되는 자산이 얼마나 되는지,

공격자가 ETH와 BTC 등으로 변환해 세탁에 성공한 금액이 얼마나 되는지,

최종적으로 바이낸스가 실제 손실로 부담해야 하는 금액이 얼마인지

이걸 따로 봐야 함.

공격자는 왜 USDT와 USDC를 ETH로 바꾸려고 했나

이번 사건에서 흥미로운 부분 중 하나임.

공격자는 USDT와 USDC를 그대로 가지고 있으면 발행사가 자산을 동결할 수 있다는 걸 알고 있었던 것으로 보임.

그래서 일부 스테이블코인을 빠르게 ETH 등으로 바꾸기 시작함.

일부 USDT는 DEX를 통해 ETH로 교환됐고, DeFi 프로토콜을 이용해 다른 자산을 확보하는 움직임도 포착됨.

공격자 입장에서는 최대한 빨리

동결 가능한 자산 → 동결이 어려운 자산

으로 바꾸는 게 중요함.

USDT나 USDC는 발행사가 특정 주소를 블랙리스트 처리할 수 있지만, BTC나 ETH는 특정 회사가

“저 주소 해커니까 동결.”

이라고 해서 강제로 멈출 수 없음.

그래서 사건 직후 자산 변환 속도가 공격자 입장에서는 생존과도 비슷한 문제임.

스테이블코인의 중앙화가 오히려 도움이 된 사건

평소 크립토에서는 USDT나 USDC가 중앙화돼 있다는 점이 단점으로 자주 이야기됨.

발행사가 특정 주소를 동결할 수 있고, 사실상 검열이 가능하기 때문임.

근데 이번 사건에서는 그 중앙화 권한이 오히려 강력한 보안 기능처럼 작동함.

공격자가 가져간 수십억 달러 상당의 자산 중 큰 금액을 빠르게 동결할 수 있었음.

반대로 BTC와 ETH는 검열 저항성이 높지만 해킹당했을 때 누군가 중앙에서 자산을 멈출 방법도 없음.

결국 이번 사건은

탈중앙화 자산의 검열 저항성

과

중앙화 자산의 사고 대응 능력

사이의 장단점을 동시에 보여주는 사례라고 봄.

사용자 자금은 안전한가

바이낸스는 사용자 자금은 안전하다는 입장을 밝히고 있음.

이번 사고로 발생하는 손실은 SAFU 기금과 회사 자금을 통해 부담하겠다는 방침임.

즉 해킹으로 발생한 손실을 사용자 잔고에 나눠서 반영하는 방식은 아니라는 것.

다만 이런 사건에서는 단순 발표보다 실제 출금 정상화와 준비금 복구가 더 중요함.

거래소가 아무리

“자금 안전함.”

이라고 말해도 사용자가 실제로 돈을 꺼낼 수 없다면 시장의 불안은 계속될 수밖에 없음.

그래서 단기적으로는 바이낸스 출금이 얼마나 빠르게 정상화되는지가 상당히 중요한 포인트라고 봄.

북한 소행이라는 이야기는 어디까지 사실인가

사건 터지고 가장 빨리 나온 이야기가 이거였음.

“또 북한 아니냐?”

“라자루스가 바이낸스까지 턴 거 아니냐?”

처음에는 그냥 과거 사례를 기반으로 한 추측에 가까웠음.

근데 이후 TRM Labs가 이번 공격을 북한의 TraderTraitor 조직이 수행한 것으로 높은 확신을 가지고 평가한다고 밝히면서 상황이 조금 달라짐.

TraderTraitor는 처음 등장하는 이름이 아님.

2025년 바이비트 해킹 사건에서도 FBI가 북한의 TraderTraitor를 공격 주체로 공식 발표했음.

그래서 지금은 단순 커뮤니티 찌라시만 있는 상태는 아님.

그렇다고 북한 소행이 공식 확정된 건 아님

이건 꼭 구분해야 함.

현재 상태는,

TRM Labs는 북한 TraderTraitor를 높은 확신으로 지목함.

바이낸스는 법 집행기관과 공격자 신원을 조사하고 있음.

하지만 FBI나 미국 정부는 아직 이번 바이낸스 사건에 대해 북한 소행이라고 공식 발표하지 않음.

즉

“북한 가능성이 있음”

단계보다는 훨씬 강해졌지만,

“북한 소행 공식 확정”

단계는 아직 아님.

개인적으로 현재 표현은

“북한 연계 가능성이 상당히 강하게 제기되고 있으며, 민간 블록체인 분석업체는 높은 확신으로 북한을 지목하고 있지만 정부 차원의 공식 확인은 아직 없다.”

정도가 제일 정확해 보임.

과거 바이비트 해킹하고 비교하면

2025년 바이비트 해킹 당시 약 15억 달러 상당의 ETH 관련 자산이 탈취됐음.

당시에는 Safe 멀티시그 서명 환경이 침해된 것이 핵심이었음.

바이비트 담당자들은 정상적인 자산 이동에 서명한다고 생각했는데 실제로는 공격자가 만든 악성 거래를 승인함.

결국 콜드월렛 통제권이 공격자에게 넘어갔고, 약 15억 달러 규모의 자산이 빠져나감.

이후 FBI가 북한 TraderTraitor가 해당 사건에 책임이 있다고 공식 발표함.

이번 바이낸스와 공통점이 있음.

둘 다 Bitcoin이나 Ethereum의 암호 자체를 깨버린 공격은 아님.

바이비트에서는 사람이 보는 서명 환경을 속였고,

바이낸스에서는 현재 조사 기준 내부 출금·서명 인프라가 공격받았을 가능성이 제기되고 있음.

결국 블록체인 자체보다

“정상적인 서명을 만들어낼 수 있는 시스템”

을 노렸다는 점에서는 비슷한 느낌이 있음.

개인적으로 이번 사건에서 제일 중요한 부분

개인적으로는 63억 달러라는 숫자보다 공격 방식이 더 중요하다고 봄.

이번에도 Bitcoin이 해킹된 게 아님.

Ethereum의 암호가 깨진 것도 아님.

블록체인은 정상적으로 작동함.

공격자가 정상적인 권한을 가진 시스템처럼 트랜잭션을 만들었고, 블록체인은 그 명령을 정상적인 거래로 처리함.

결국 요즘 대형 해킹은

“블록체인을 직접 뚫는다.”

보다

“블록체인에 명령을 내릴 수 있는 사람이나 시스템을 뚫는다.”

에 가까워지는 것 같음.

콜드월렛을 쓰든, 멀티시그를 쓰든, HSM을 쓰든 결국 마지막에는 누군가가 트랜잭션을 승인하고 서명을 만들어야 함.

그리고 그 승인 과정이나 서명 요청 시스템 자체가 공격자에게 장악되면 블록체인은 그 거래가 해커가 만든 건지 정상 거래인지 구분하지 못함.

유효한 서명이 붙었으면 정상 거래니까.

그래서 바이비트 사건도 그렇고 이번 바이낸스 사건도 그렇고, 앞으로 거래소 보안에서 단순히

“콜드월렛 비율이 몇 퍼센트다.”

보다

“누가 출금을 승인할 수 있는지.”

“서명 시스템이 어떻게 격리돼 있는지.”

“개발자 PC가 침해됐을 때 지갑까지 접근할 수 있는지.”

같은 부분이 더 중요해질 것 같음.

현재 상황을 정리하면

현재까지 알려진 내용을 기준으로 보면,

바이낸스 전체 영향 규모는 약 63억 달러 수준.

그중 약 30억 달러 상당의 자산은 현재 동결된 상태.

바이낸스는 개인키 자체가 직접 유출됐다는 증거는 아직 없다고 밝힘.

초기 침투 경로로 DevOps 엔지니어의 노트북 침해 가능성을 조사하고 있음.

사용자 자금 손실은 SAFU와 바이낸스 회사 자금을 이용해 부담한다는 방침.

공격자 신원과 관련해서는 TRM Labs가 북한 TraderTraitor를 높은 확신으로 지목한 상태.

다만 FBI 등 정부기관의 공식 발표는 아직 없음.

그리고 가장 중요한 최종 기술 포스트모템은 아직 나오지 않은 상태임.

앞으로 봐야 할 건 몇 개 안 됨

첫 번째는 출금 정상화임.

바이낸스가 실제로 얼마나 빠르게 정상 운영 상태로 돌아오는지가 시장 신뢰에 가장 중요함.

두 번째는 동결되지 않은 자산의 이동.

공격자가 아직 통제하고 있는 BTC와 ETH가 어디로 이동하는지 계속 추적될 가능성이 높음.

세 번째는 바이낸스 공식 포스트모템.

DevOps 노트북이 정확히 어떻게 뚫렸는지, 그 장비에서 왜 여러 체인의 출금 시스템까지 연결될 수 있었는지, 어떤 보안 장치가 실패했는지가 제일 중요함.

네 번째는 북한 관련 공식 발표.

TRM은 이미 높은 확신으로 북한 TraderTraitor를 지목했음.

만약 FBI나 미국 정부까지 동일한 발표를 한다면 이번 사건도 바이비트처럼 북한 국가 지원 해킹으로 사실상 공식화될 가능성이 높음.

코인그리 코멘트

이번 바이낸스 사건은 그냥

“세계 최대 거래소에서 돈 좀 털렸다.”

정도로 보기에는 꽤 중요한 사건 같음.

규모도 약 63억 달러로 엄청나지만, 개인적으로는 공격 방식이 더 중요하게 보임.

Bitcoin도 정상적으로 돌아갔고 Ethereum도 정상적으로 돌아감.

블록체인 자체는 문제없이 작동했음.

문제는 공격자가 정상적인 권한을 가진 사람이나 시스템처럼 행동할 수 있었다는 것임.

이게 앞으로 거래소 보안에서 제일 무서운 부분 아닐까 싶음.

블록체인이 아무리 안전해도 그 위에서 돈을 움직이는 거래소 내부 시스템이 뚫리면 결국 자산은 움직임.

바이비트 때도 서명 과정이 문제였고, 이번 바이낸스도 현재 조사대로라면 내부 출금·서명 인프라가 핵심일 가능성이 높음.

그리고 북한 관련해서도 이제는 단순 찌라시라고만 보기는 어려움.

TRM Labs가 TraderTraitor를 높은 확신으로 지목한 상태임.

다만 바이비트 사건처럼 FBI 공식 발표까지 나온 건 아니니까 아직은 확정이라고 쓰면 안 됨.

결국 앞으로 확인할 건 명확함.

바이낸스 출금이 언제 완전히 정상화되는지.

공격자가 가진 BTC와 ETH가 어디로 움직이는지.

바이낸스 포스트모템에서 실제 침투 경로가 어떻게 나오는지.

그리고 FBI가 북한을 공식적으로 지목하는지.

이 네 가지가 나오면 이번 바이낸스 해킹 사건의 전체 그림도 거의 완성될 것 같음.

본 콘텐츠는 공개된 바이낸스 발표와 온체인 분석 자료를 기준으로 정리한 내용입니다. 현재 조사가 진행 중인 사건이기 때문에 피해 규모, 공격 방식, 공격 주체에 대한 내용은 이후 조사 결과에 따라 달라질 수 있습니다.

본 콘텐츠는 정보 제공 목적이며 투자 조언이나 매수·매도 권유가 아닙니다.