바이낸스 텅, 63억 달러 해킹서 업계가 교훈 얻어야 한다고 촉구

바이낸스 공동 CEO 리처드 텅은 가상자산 업계가 바이낸스의 63억 달러 해킹에서 교훈을 얻어야 한다고 말했다. 텅은 화요일 CNBC에서 업계가 교훈을 얻도록 바이낸스가 상세한 설명을 공개했다고 말했다. 텅은 미 연방수사국(FBI)이 이번 공격의 배후로 북한을 지목한 점을 언급하고, 수개월에 걸친 사전 준비 과정을 설명했다.

텅은 공격이 6월의 가짜 개발자 도구로 시작됐고, 9월에는 허위 채용 면접이 이어졌다고 말했다. 텅은 이후 공격자들이 내부 AI 도구를 사용해 지갑 거래 승인 시스템에 접근했다고 말했다. 텅은 공격자들이 10월 29일 이더리움의 새 기능을 악용해 바이낸스가 출금을 중단한 뒤에도 자금이 계속 이동할 수 있었다고 말했다. 이더리움 지갑 하나에서 약 16만7,464 ETH와 16억 달러 상당의 테더(USDT)가 탈취됐다.

기즈모도는 연구원들이 해당 기능을 EIP-7702로 확인했다고 보도했다. 2025년 5월 도입된 이더리움 업그레이드는 일반 지갑에서 스마트 계약 코드를 사용할 수 있게 한다. 블록체인 보안 업체 Blockaid는 공격자가 서명된 승인 50건을 단일 거래에 결합한 사실을 확인했다. 바이낸스는 거의 4시간 뒤 위임을 해제했다.

Ethlabs 연구원 데릭 치앙은 EIP-7702에 결함은 없지만, 이 기능이 더 빠르고 효율적인 탈취를 가능하게 했다고 주장했다. 치앙은 메타마스크를 포함해 EIP-7702를 지원하는 지갑 사용자들이 당황할 필요는 없다고 말했다. 텅은 AI 도구가 공격자들이 사용한 수법이자 거래 서명 시스템에 침투하는 내부 경로였다고 설명했다. 거래소가 보유한 ETH는 업그레이드 자체가 아니라 수탁기관의 서명 시스템을 통해 위험에 노출될 수 있다.

바이낸스는 피해 자산의 98%를 복구했다고 밝혔다. 바이낸스는 지갑 시스템을 재구축하고 기기를 교체했으며 관련 자격 증명을 폐기했다고 밝혔다. 바이낸스는 도난 자금을 추적하고 동결하기 위해 사법 당국 및 업계 파트너들과 협력하고 있다고 밝혔다. 텅은 독립적인 검토를 약속했다. 검토 결과 거래 서명자들이 침해된 사실이 확인된다면, 위험은 새 기능만이 아니라 거래소의 수탁 설계에 있다. 기능 자체의 결함을 보여 주는 증거가 나온다면 이 판단은 달라질 수 있다.