바이낸스, 36시간 준비 후 2960억 원 XRP 탈취로 해킹 시작

세계 최대 암호화폐 거래소 바이낸스에서 발생한 63억 6000만 달러 규모의 해킹 사건은 공격자가 36시간 이상 철저히 준비하고 테스트하는 과정을 거쳐 2억 9600만 달러 상당의 XRP를 탈취하는 것으로 시작된 것으로 밝혀졌다. 블록체인 보안 분석 업체 TRM 랩스의 10월 29일자 조사 결과에 따르면, 공격자는 10월 28일 해킹 작전을 준비하기 시작하여 다음날 저녁 10개의 블록체인에 걸쳐 조직적인 자금 이체를 실행했다.

TRM 랩스는 공격자가 해킹 자금의 대부분을 바이낸스 연계 지갑에서 약 20분 이내에 빼내갔으며, 이는 기록상 최대 규모의 암호화폐 도난 사건으로 기록되었다고 분석했다. 이번 사건은 단일 거래소에서 발생한 단일 해킹으로는 역대 최대 규모로, 암호화폐 시장에 큰 충격을 안겨주었다.

**10개 블록체인에 걸친 치밀한 해킹 시나리오**

TRM 랩스의 추적에 따르면, 공격 준비는 10월 28일 오전부터 시작되었다. 공격자 소유의 한 지갑은 암호화폐 믹싱 서비스인 토네이도 캐시로부터 세 차례의 소액 이체를 받았다. 다음날 새벽, 공격자는 악성 스마트 계약 코드를 배포하고 두 개의 새로 생성된 이더리움 지갑을 대상으로 테스트를 진행했다. 이후 수정된 버전의 스마트 계약을 배포하고 세 번째 지갑에서 테스트 자금을 성공적으로 전송한 후 다시 돌려놓는 방식으로 리허설을 마쳤다.

이 마지막 리허설이 끝난 약 4시간 후, 본 공격이 시작되었다. UTC 기준 20시 5분부터 20시 9분 사이, XRP 레저에 있는 5개의 바이낸스 지갑에서 약 2억 3346만 XRP(당시 약 2억 9600만 달러 상당)가 단일 공격자 소유 주소로 이체되었다. 이는 해킹의 첫 단계이자 가장 큰 비중을 차지하는 자금 탈취였다.

온체인 분석가 와즈 크립토(Wazz Crypto) 역시 비슷한 결론을 내리며, "이것이 바로 경고 신호였다. 리플 해킹이 다른 모든 체인보다 10분 먼저 시작된 것으로 보인다"고 지적했다. XRP 탈취 직후, 솔라나와 옵티미즘에서도 바이낸스 지갑으로부터 의심스러운 이체가 시작되었다.

**비트코인, 트론, 이더리움 등 광범위한 자산 탈취**

UTC 기준 20시 20분, 바이낸스의 비트코인 지갑에서 약 14억 7000만 달러 상당의 18,270 BTC가 이체되었다. 공격자는 즉시 이 자금을 1,000 BTC와 100 BTC 단위의 소규모 배치로 나누기 시작했다. 불과 2분 뒤, 트론 네트워크에 있는 바이낸스 지갑에서는 약 6억 2800만 달러 상당의 USDT 6억 1270만 개와 TRX 4640만 개가 추가로 이체되었다.

이더리움 네트워크에서의 공격은 거의 동시에 진행되었다. 같은 날 20시 20분, 공격자는 바이낸스 핫 월렛에 50개의 사전 서명된 EIP-7702 권한 부여를 제출하여 악성 스마트 계약으로 실행을 위임할 수 있도록 했다. 이 권한 부여는 연속적인 트랜잭션 카운트를 포함하고 있어, 처리 시점에 지갑의 현재 카운트와 일치하는 것을 보장했다. 3분 24초 후, 공격자는 계약의 스윕(sweep) 기능을 활성화하여 단일 트랜잭션으로 167,464 ETH와 16억 1500만 USDT를 포함한 63개 토큰을 빼냈다.

공격자는 이후에도 20시 41분, 20시 59분, 21시 4분, 21시 44분, 22시 39분에 걸쳐 추가적인 자금 스윕을 실행하며 해킹 규모를 확장했다. 이는 초기 공격 이후에도 수 시간 동안 자금이 여러 네트워크에 걸쳐 확산되었음을 보여주며, 공격의 규모와 복잡성을 시사한다.

**EIP-7702와 스마트 계약의 악용**

이번 해킹에서 주목할 점은 공격자가 EIP-7702라는 이더리움 개선 제안을 악용한 것으로 보인다는 점이다. EIP-7702는 스마트 계약이 계정 추상화(Account Abstraction)와 유사한 방식으로 특정 권한을 위임받아 트랜잭션을 실행할 수 있도록 하는 기술이다. 공격자는 이 기능을 이용하여 바이낸스의 핫 월렛에서 직접 자금을 빼내는 데 성공한 것으로 추정된다. 이는 새로운 블록체인 기술이 잠재적인 보안 취약점으로 악용될 수 있음을 보여주는 사례다.

TRM 랩스는 공격자가 사용한 스마트 계약 코드가 합법적인 거래보다는 악의적인 목적으로 설계되었음을 확인했다. 또한, 공격자는 여러 블록체인에서 동시에 자금을 인출하는 방식으로 추적을 어렵게 만들었으며, 다양한 토큰을 혼합하여 실제 피해 규모를 더욱 키웠다. 이러한 방식은 정교한 계획과 실행 능력을 필요로 하며, 단일 해커나 소규모 조직의 소행으로 보기에는 규모가 크다는 분석도 나온다.

**바이낸스의 대응 및 시장 영향**

사건 발생 후, 바이낸스는 즉시 조사에 착수하고 해킹된 자금의 출처와 흐름을 추적하기 위해 노력하고 있다고 밝혔다. 또한, 자금 세탁 방지(AML) 및 테러 자금 조달 방지(CFT)를 위한 조치를 취하고 있다고 덧붙였다. 바이낸스는 이번 해킹으로 인해 발생한 손실을 충당하기 위한 방안을 논의 중이며, 고객 자산 보호를 최우선으로 하겠다고 강조했다. 하지만 수십억 달러에 달하는 대규모 해킹 사건은 거래소의 보안 시스템에 대한 신뢰도를 저하시키고, 암호화폐 시장 전반의 투자 심리에 부정적인 영향을 미칠 수 있다. 투자자들은 이번 사건을 계기로 거래소 선택 시 보안 역량을 더욱 면밀히 검토해야 할 필요성이 제기되고 있다.