바이낸스 8.4조 해킹, 북한설 어디까지 사실

10월 29일 바이낸스에서 약 63억 달러, 원화 8조 4천억 원 상당이 빠져나가는 역대 최대 해킹이 일어났다. 분석업체들은 북한 라자루스 계열을 배후로 지목했지만 이는 온체인 분석에 근거한 추정일 뿐 공식 수사 결과는 아니다. 투자자는 배후 추측보다 입출금 공식 공지 확인과 피싱 경계 같은 자기 통제 영역에 집중해야 한다.

20분 만에 8.4조원, 무슨 일이 있었나

10월 29일 세계 최대 가상자산 거래소 바이낸스에서 약 63억 달러, 원화로 약 8조 4천억 원 상당의 자산이 빠져나갔다. 보도된 유출 시간은 20분 남짓으로, 역대 최대 규모의 거래소 해킹으로 기록됐다.

바이낸스의 초기 조사에 따르면 공격은 지갑의 개인키가 뚫린 게 아니라, 개발·운영을 맡은 엔지니어의 노트북이 악성코드에 감염되면서 내부망으로 침투하는 방식이었다. 바이낸스는 유출된 자산 가운데 약 30억 달러를 스테이블코인 발행사 등과 협력해 블록체인상에서 동결했고, 이용자 보호기금과 자체 자금으로 피해를 전액 보전하겠다고 밝혔다. 입출금은 일시 중단됐으며, 공동창업자 허이는 48시간 안에 재개될 것으로 본다고 했다.

'북한 배후'는 어떻게 나온 말인가

blockchain transaction tracking screen

Morthy Jameson

사건 직후 배후로 북한이 지목됐다. 근거는 수사 기관의 발표가 아니라 블록체인 분석에서 나왔다. 블록체인 분석업체 TRM은 북한의 정예 해킹 조직 '트레이더트레이터'가 공격을 주도했을 가능성이 높다고 평가했고, 온체인 분석가 잭XBT도 라자루스 그룹일 가능성이 높다고 봤다.

이런 지목은 세 가지에 기댄다. 빠져나간 자금이 블록체인 위에서 어디로 흘러가는지 추적한 결과, 과거 북한 연계로 분류된 해킹에 쓰였던 주소가 이번에도 다시 등장한 점, 그리고 수법의 패턴이다. 실제로 지난 4월 켈프다오 해킹 자금을 동결할 때 쓰인 주소가 이번 자금 이동에서도 확인됐다. 지난해 2월 라자루스 소행으로 지목된 바이비트 해킹(15억 달러)과 견주면 피해액이 네 배를 넘는다.

그 지목의 한계도 함께 봐야 한다

중요한 것은 이 모두가 '분석에 근거한 추정'이라는 점이다. 공식 수사가 북한을 배후로 확정한 단계가 아니다. 켈프다오 해킹과 주소가 겹친다는 사실도 '연관'을 보여줄 뿐, 동일 조직이라는 결론으로 이어지지는 않았다.

원화 환산액도 기사마다 조금씩 다르다. 달러 기준 피해 규모가 시세에 따라 바뀌기 때문이다. 북한이 가상자산을 노린다는 큰 흐름 자체는 근거가 있다. 미국 재무부는 10월 28일 러시아에서 활동한 북한 IT 인력 등 개인 10명과 기관 한 곳을 제재했고, 유엔 전문가 패널은 북한 IT 인력이 연간 2억 5천만~6억 달러를 벌어들이는 것으로 추정한다. 다만 '북한이 이런 일을 해 왔다'는 배경과 '이번 건의 범인이 북한이다'라는 단정은 구분해야 한다.

국내 투자자에게 '출금 주의'란 무엇인가

해외 거래소를 쓰는 국내 투자자에게 이번 사건이 주는 실질적 영향은 두 갈래다.

첫째는 돈의 흐름이 막히는 문제다. 바이낸스가 입출금을 일시 중단하면 그 기간에는 해당 거래소에서 자산을 뺄 수 없다. 재개 시점은 공식 공지로만 확인해야 한다.

둘째는 탈취 자금이 다른 거래소로 흘러드는 문제다. 거래소가 해킹당하면 범인은 훔친 코인을 여러 거래소로 쪼개 세탁하려 하고, 이를 받은 거래소는 자금세탁 방지 차원에서 입출금을 조이게 된다. 지난해 11월 업비트에서 445억 원 규모 해킹이 났을 때, 빗썸·코인원·코빗·고팍스가 업비트로의 출금을 차단한 것이 그런 사례다. 국내 거래소는 100만 원 이상 전송에 트래블룰을 적용하는데, 큰 사고가 터지면 이 심사가 더 깐깐해질 수 있다.

해외 거래소, 이럴 때 확인할 것

결국 투자자가 통제할 수 있는 건 배후가 누구냐가 아니라 자기 쪽 절차다. 다음을 확인하고 움직이는 편이 안전하다.

입출금 재개·보상 안내는 거래소 공식 앱이나 공지 채널에서만 확인한다. 문자나 메신저로 온 링크는 누르지 않는다.
급하게 자산을 옮겨야 한다면, 보내는 거래소와 받는 거래소의 입출금 상태를 둘 다 미리 확인한다.
국내 거래소와 해외 거래소의 본인 영문 이름이 띄어쓰기까지 일치하는지 본다. 트래블룰 검증에서 막히는 흔한 이유다.
라자루스 계열은 가짜 구인 공고나 소프트웨어 업데이트로 위장한 피싱을 쓰는 것으로 알려져 있다. 출처가 불분명한 파일과 설치 요청은 의심한다.

사고의 배후가 밝혀지는 데는 시간이 걸린다. 그 사이 투자자가 할 수 있는 일은 추측을 좇는 것이 아니라, 공식 정보를 기다리며 자기 계정을 지키는 쪽에 있다.