“8조 4000억원 털리는 동안 바이낸스 임원 100명, 속절없이 지켜봤다”

해킹 20분 만에 피해액 10억서 60억 달러로 눈덩이

긴급 화상회의 소집에도 무력…탈취자금 실시간 유출

해커들, 가상화폐 대출 활용해 자금 동결·추적 피해

2022년 11월10일 촬영된 사진에서 바이낸스 로고를 배경으로 가상자산을 상징하는 이미지가 보인다. ⓒ 로이터/연합뉴스

세계 최대 가상화폐 거래소 바이낸스가 해킹 공격으로 63억 달러(약 8조 4000억원)에 달하는 가상자산을 탈취당하는 동안 임직원 100여명이 긴급 화상회의까지 소집했지만 속수무책으로 지켜볼 수밖에 없었던 것으로 드러났다. 해커들이 불과 20분 만에 60억 달러가 넘는 가상자산을 빼돌리는 사이 세계 최대 거래소의 보안망은 사실상 무력화됐다.

미 월스트리트저널(WSJ)과 블룸버그통신 등에 따르면 사건이 발생한 것은 지난 29일(현지시간) 오후 4시20분쯤이다. 아랍에미리트(UAE) 아부다비에 있는 바이낸스 보안팀이 10억 달러가 넘는 가상자산이 무단 인출된 사실을 포착하면서 회사 전체에 비상이 걸렸다.

보안팀은 즉각 경영진에 사태를 보고했다. 곧바로 긴급 화상회의가 소집됐고 고위 임원들을 포함한 위기대응팀 100여명이 수분 만에 접속했다. 하지만 이들이 할 수 있는 일은 거의 없었다. 화면 너머에서는 회사 계좌에 보관된 천문학적인 규모의 자산이 실시간으로 빠져나가고 있었다.

임직원들은 눈앞에서 벌어지는 사상 최대 가상화폐 탈취극을 막아내지 못한 채 공포와 충격 속에서 지켜봐야 했다고 WSJ는 전했다. 피해액은 무서운 속도로 불어났다. 처음 10억 달러 수준이던 탈취액은 순식간에 30억 달러로 치솟더니 오후 4시40분쯤에는 60억 달러마저 넘어섰다.

경영진이 대응책을 논의하는 사이 해커들은 이미 거액의 자산을 다른 전자지갑으로 옮기고 있었다. 가상화폐 업계도 발칵 뒤집혔다. 블록체인 분석업체들의 자동 경보시스템이 비정상적인 거래를 포착해 주요 투자자와 고객들에게 긴급 경고를 보냈다.

오후 4시32분에는 소셜미디어(SNS) 엑스(X·옛 트위터)에 바이낸스에서 대규모 해킹이 발생했을 가능성을 알리는 게시물이 올라왔다. 6분 뒤인 오후 4시38분 비영리 보안단체 SEAL의 테일러 모나한 연구원은 스테이블코인 발행사 테더에 긴급 연락했다. 테더와 서클은 의심스러운 거래를 추적하고 탈취 자산이 들어 있는 전자지갑의 동결 작업에 착수했다.

바이낸스도 TRM랩스와 체이널리시스, 엘립틱 등 블록체인 분석업체들과 손잡고 해커들이 자금을 옮긴 지갑 주소를 찾아내는 데 총력을 기울였다. 바이낸스 경영진에게는 악몽 같은 밤이었다. 허이(何一) 공동 최고경영자(CEO)는 잠자리에 들기 직전 SNS를 통해 해킹 사실을 접한 뒤 곧바로 사태 수습에 뛰어들었다.

임신 7개월을 넘긴 상태였던 그는 밤새 업계 관계자들과 전화통화를 이어가며 탈취 자산의 동결과 피해 확산 차단에 매달렸다. 홍콩에 머물던 리처드 텅 공동 CEO도 밤을 꼬박 새우며 대응을 지휘했다.

하지만 해커들은 한발 앞서 움직였다. 이들은 오후 5시쯤 탈취한 스테이블코인 6000만 달러어치를 가상화폐 대출 플랫폼 에이브(Aave)에 담보로 맡기고 이더리움 약 2만개를 빌렸다. 당시 시세로 4460만 달러에 이르는 규모다.

이는 자산 동결을 피하기 위한 치밀한 수법으로 분석된다. 테더나 서클이 발행하는 일부 스테이블코인은 발행사가 특정 지갑의 자산 이동을 차단할 수 있다. 반면 비트코인이나 이더리움은 이를 발행·관리하는 중앙기관이 없어 같은 방식으로 동결하기 어렵다.

해커들은 훔친 스테이블코인을 직접 처분하는 대신 담보로 맡겨 이더리움을 빌리는 우회로를 택한 것이다. 에이브 등 관련 플랫폼들이 뒤늦게 의심스러운 계정의 대출을 차단했지만 이미 상당한 자산이 동결망을 빠져나간 뒤였다.

자오창펑 바이낸스 창업자. ⓒ AP/연합뉴스

TRM랩스는 해커들이 약 24억 달러 규모의 비트코인과 이더리움 등을 확보해 발행사의 직접적인 동결 조치를 피한 것으로 분석했다. 다만 이들 자산의 블록체인 거래 기록까지 사라진 것은 아니어서 추적과 실제 회수 가능성은 별개의 문제다.

바이낸스는 오후 5시15분쯤 보안 사고를 공식 인정했다. 이용자들의 입출금을 일시 중단하고 수사당국 및 가상화폐 업계와 공조해 피해 확산을 차단하겠다고 밝혔다. 이후 약 30억 달러 규모의 탈취 자산을 동결했다고 설명했다.

사건 일주일 전만 해도 어떤 가상화폐 지갑도 완벽하게 안전하지 않다고 경고했던 자오창펑 바이낸스 공동 창업자는 이번에는 고객 불안 달래기에 나섰다. 그는 고객 자산이 안전하며 피해액을 전액 보전할 것이라는 입장을 거듭 강조했다.

바이낸스는 31일 탈취된 자산 가운데 90%에 해당하는 물량을 회사 자금으로 다시 확보했다고 밝혔다. 나머지 손실도 자체 자금과 고객 보호기금 등으로 충당해 이용자들에게 피해가 돌아가지 않도록 하겠다는 방침이다. 중단된 출금 서비스는 11월 1일 재개할 예정이라고 설명했다.