무슨 일이 있었나
블록체인 분석 플랫폼 Arkham Intelligence의 탐색기에 'Binance-hacker-1029'라는 이름의 엔티티 페이지가 올라왔어요. 바이낸스에서 빠져나간 것으로 추정되는 자산을 추적하면서 붙인 이름표인데요, 여기 묶인 규모가 약 56억 달러예요. 원화로 치면 대략 7~8조 원 규모죠. 이름 뒤의 1029는 사건이 포착된 날짜(10월 29일)를 뜻하는 것으로 보여요.
다른 사건과 비교하면 규모가 바로 와닿을 거예요. 지금까지 역대 최대 암호화폐 해킹으로 꼽히던 건 2025년 2월 바이비트(Bybit) 사건으로, 피해액이 약 15억 달러였거든요. 2022년 로닌 브리지 해킹은 약 6억 달러였고요. 숫자만 보면 이번 건은 그 기록을 몇 배로 넘어서는 셈이에요.
먼저 짚고 갈 게 있어요. 지금 공개된 정보는 온체인 추적 데이터가 대부분이에요. 그래서 공격자가 어떤 경로로 들어왔는지, 피해 범위가 어디까지인지, 고객 자산이 보전되는지는 바이낸스의 공식 발표와 이후 조사로 확인해야 해요. 이 글에서는 확인된 사실과 업계에서 반복돼 온 패턴을 나눠서 이야기해 볼게요.
Arkham 같은 온체인 추적은 어떻게 동작할까
블록체인은 모든 거래 기록이 공개된 장부예요. 그런데 장부에 적힌 주소는 0x로 시작하는 긴 문자열일 뿐이라, 그 주소의 주인이 누구인지는 나와 있지 않아요. Arkham 같은 서비스는 이 주소들에 이름표를 붙이는 일을 해요.
쉽게 말하면 CCTV 여러 대에 찍힌 영상에서 같은 사람을 이어서 따라가는 작업이에요. 거래소 지갑에서 대량 출금이 일어나면, 그 돈을 받은 주소가 다시 어디로 돈을 흩뿌리는지 그래프로 이어 붙여요. 여러 주소가 같은 곳에서 수수료(가스비)를 충전받거나, 비슷한 시간에 비슷한 방식으로 움직이면 같은 주체로 보고 하나의 엔티티로 묶어요. 그러니까 'Binance-hacker-1029'는 주소 하나가 아니라, 공격자가 쓰는 것으로 보이는 여러 주소의 묶음이에요.
이런 대형 사고는 보통 어디서 터질까
이번 사건의 원인은 아직 확정되지 않았어요. 다만 최근 대형 사고들을 보면 공통점이 꽤 뚜렷해요.
첫째, 서명 과정이 공격당해요. 바이비트 사건이 대표적이에요. 거래소가 쓰던 멀티시그 지갑은 여러 담당자가 함께 승인해야 돈이 나가는 지갑인데, 이 지갑 서비스의 웹 화면 코드가 오염돼 있었어요. 담당자들은 화면에 뜬 평범한 이체를 승인한다고 생각했지만, 실제로 서명한 건 지갑 제어권을 넘기는 트랜잭션이었어요. 암호 기술 자체는 아무 문제가 없었고, 사람이 보는 화면이 속은 거예요.
둘째, 키 관리 구조가 생각보다 덜 분산돼 있어요. 로닌 사건에서는 검증자 키 9개 중 5개만 모이면 출금이 승인됐어요. 공격자는 사회공학 수법으로 그 5개를 손에 넣었고요. 키가 여러 개라 분산된 것처럼 보였지만, 실제로는 한 조직이 그중 여러 개를 쥐고 있었어요.
셋째, 핫월렛에 돈이 많이 쌓여 있어요. 거래소는 출금을 빨리 처리하려고 자산 일부를 인터넷에 연결된 지갑, 즉 핫월렛에 둬요. 여기 쌓인 금액이 클수록 한 번 뚫렸을 때 피해도 커져요.
돈을 훔친 다음의 순서도 거의 정해져 있어요. 자산을 수많은 주소로 쪼개고, 탈중앙화 거래소에서 다른 코인으로 바꾸고, 크로스체인 브리지로 다른 블록체인에 옮기면서 추적을 어렵게 만들어요. 분석 업체와 거래소들이 실시간으로 주소를 블랙리스트에 올리고 동결을 시도하는 게 바로 이 단계예요.
한국 개발자에게 주는 시사점
코인 거래소에서 일하지 않아도 가져갈 교훈이 많아요.
- 블라인드 서명을 의심하세요. 승인 버튼을 누르는 사람이 자기가 뭘 승인하는지 따로 확인할 방법이 있나요? 배포 승인, 결제 승인, 권한 변경 승인에도 똑같은 문제가 있어요.
- 공급망 보안은 우리 일이에요. 바이비트 사건은 외부 서비스의 자바스크립트 파일 하나가 바뀐 데서 시작됐어요. 우리 서비스가 불러오는 서드파티 스크립트와 npm 패키지에 무결성 검증(SRI, 락파일 버전 고정)이 걸려 있는지 점검해 보세요.
- 키를 나눴다면 사람과 조직도 나눠야 해요. 키가 여러 개여도 같은 팀, 같은 노트북, 같은 클라우드 계정에 있으면 사실상 키 하나와 같아요.
마무리
한 줄 정리: 대형 해킹은 암호 알고리즘보다 사람이 승인하고 운영하는 지점에서 터지는 경우가 많아요.
여러분 팀에서 한 사람이 승인하면 돈이나 권한이 바로 넘어가는 지점은 어디인가요? 그 승인 화면이 조작됐을 때 알아챌 방법이 있는지 같이 이야기해 봐요.
🔗 출처: Hacker News