이번 바이낸스 해킹 피해 규모는 얼마인가요?

바이낸스가 10월 29일(현지시간) 탈취당한 자산은 63억 달러, 한국 돈으로 약 8조4천억원입니다. 가상화폐 업계에서 지금까지 알려진 사고 가운데 최대 규모입니다. 다만 90% 벌충과 마찬가지로 이 수치는 회사 공지를 기준으로 하며, 최종 피해액은 추적·동결 결과에 따라 달라질 수 있습니다.

이용자 손실은 누가 부담하나요?

바이낸스는 이번 탈취로 인한 재정적 부담을 이용자가 아닌 회사가 진다고 밝혔습니다. 손실 보전에는 비상기금인 이용자자산보호기금(SAFU), 선물 보험기금의 여유 자금, 사내 유보금이 투입됐고, SAFU는 10억 달러 수준을 유지하도록 다시 채워 넣을 계획입니다.

출금은 언제 재개되나요?

바이낸스는 11월 1일부터 출금 서비스를 재개한다고 공지했습니다. 비트코인, 이더리움, 리플, 솔라나와 테더·서클 등 거래량 상위 10개 자산은 준비금이 100% 확보된 상태입니다. 유동성이 낮은 나머지 코인은 장내 매수와 장외 거래로 물량을 계속 확보 중이라 완충 시점은 코인별로 다를 수 있습니다.

내 자산이 안전하게 보관됐는지 어떻게 확인하나요?

바이낸스는 협정세계시 10월 31일 0시(한국시간 오전 9시) 기준으로 자산증명 스냅숏을 찍었습니다. 개인정보와 거래내역을 공개하지 않으면서 예치 자산 보유를 검증하는 영지식 증명 연산에 40~50시간이 걸려, 이용자는 11월 3일부터 자기 자산의 보관 상태를 직접 확인할 수 있습니다.

바이낸스 8조원 해킹 손실 90% 벌충…1일 출금 재개

63억 달러 탈취, 이상 감지 20분 만에 규모 6배로 커져

세계 최대 가상화폐 거래소 바이낸스는 10월 29일 오후 4시 20분(미 동부시간) 아랍에미리트 아부다비 보안팀이 10억 달러가 넘는 자금의 무단 인출을 감지하면서 사태를 인지했다. 회사는 곧바로 긴급 화상회의를 소집했고 고위 임원진을 포함한 약 100명의 위기대응 인력이 몇 분 만에 접속했다.

문제는 멈출 수 없었다는 점이다. 초기 파악된 피해는 10억 달러였지만 곧 30억 달러로 불어났고, 오후 4시 40분에는 60억 달러를 넘어섰다. 이상 거래가 인식된 뒤 20분 만에 추정 피해액이 6배로 커진 셈이다. 월스트리트저널과 블룸버그 보도를 전한 연합뉴스 보도에 따르면 임직원들은 계좌에서 자산이 실시간으로 빠져나가는 장면을 공포 속에 지켜볼 수밖에 없었다.

최종 집계된 피해는 63억 달러(약 8조4천억원)다. 가상화폐 거래소 역사에서 단일 사고로는 알려진 최대 규모다.

SAFU·선물 보험기금·사내 유보금 총동원해 손실 90% 벌충

바이낸스는 31일(현지시간) 홈페이지 공지를 통해 탈취 손실에 대한 보전 비중이 90%에 이르렀다고 밝혔다. 연합뉴스가 전한 공지에 따르면 재원은 회사가 자체적으로 쌓아둔 비상기금인 이용자자산보호기금(SAFU), 선물 보험기금의 여유 자금, 사내 유보금 등이다.

SAFU는 앞으로도 10억 달러 수준의 규모를 유지하도록 회사가 다시 채워 넣는다. 선물 보험기금에서도 파생상품 결제에 필요한 몫을 건드리지 않고 여유 자금만 투입했다는 것이 회사 설명이다. 바이낸스는 이용자가 아니라 바이낸스가 이번 자산 탈취로 인한 재정적 부담을 질 것이라고 재차 강조했다.

남은 10%는 벌충이 아직 완료되지 않은 몫이다. 해당 자산은 유동성이 상대적으로 낮은 코인들로, 회사는 장내 매수와 장외 거래(OTC)를 통해 차례로 물량을 확보하고 있다.

비트코인·이더리움 등 상위 10개 자산 준비금 100% 확보

이용자 입장에서 출금 재개의 실질적 조건은 자산별 준비금이다. 바이낸스에 따르면 비트코인과 이더리움, 리플(XRP), 솔라나(SOL), 그리고 가치 고정형 스테이블코인인 테더(USDT)·서클(USDC) 등 거래량 상위 10개 주요 자산은 준비금이 100% 확보됐다.

이는 출금 재개 첫날 대부분의 거래가 이뤄지는 주요 자산부터는 정상 출금이 가능하다는 의미다. 반면 유동성이 낮은 코인은 시장에서 한 번에 사들이기 어려워 보충 속도가 느릴 수밖에 없다. 저유동성 토큰일수록 가격 변동폭이 커서 대량 매수가 시세에 영향을 주기 때문이다.

해커는 동결이 어려운 이더리움·비트코인으로 24억 달러 도주

공격자들의 이동 경로도 일부 드러났다. 오후 4시 38분 비영리 보안단체 SEAL 연구원이 스테이블코인 발행사 테더에 긴급 연락했고, 테더와 서클은 의심 거래를 추적해 관련 지갑을 동결하는 절차에 들어갔다. 바이낸스도 추적 파트너사인 TRM 랩스, 체이널리시스, 엘립틱과 함께 탈취 지갑 주소를 특정해 동결 공조에 나섰다.

해커들은 여기에 대응했다. 오후 5시께 탈취한 스테이블코인 가운데 6천만 달러 상당을 가상화폐 대출 플랫폼 Aave에 예치하고 이더리움 약 2만 개(당시 약 4천460만 달러)를 빌렸다. 발행사가 중앙에서 동결할 수 있는 스테이블코인을, 동결 기능이 없는 비트코인·이더리움 같은 자산으로 바꿔 추적을 피하려는 시도였다. Aave가 대출을 중단하며 일부는 막혔지만, TRM 랩스 집계로 해커들은 결국 약 24억 달러 상당의 가상자산을 가지고 빠져나갔다.

즉 나머지 39억 달러 상당은 동결되거나 회수 가능한 상태로 남았다는 계산이 성립한다. 동결된 자산이 실제 회수로 이어질지, 언제 이더는지는 향후 사법 절차와 발행사 협조에 달려 있다.

11월 1일 출금 재개…3일부터 영지식 증명으로 자산 확인

바이낸스는 애초 제시한 일정대로 11월 1일부터 출금 서비스를 재개할 예정이다. 투명성 확보를 위해 협정세계시 10월 31일 0시(한국시간 오전 9시) 기준 자산증명 스냅숏을 찍어 시스템에 반영했다.

이용자가 직접 확인할 수 있는 시점은 11월 3일부터다. 개인정보나 개별 거래내역을 노출하지 않으면서 예치 자산 보유 사실을 암호학적으로 검증하는 영지식 증명(Zero-Knowledge Proof) 연산에 40~50시간이 걸리기 때문이다. 이날부터 이용자는 자기 자산이 안전하게 보관돼 있는지 직접 확인할 수 있다.

이번 사고의 본질적 교훈은 거래소 규모가 곧 안전성은 아니라는 점이다. 세계 최대 거래소도 20분 만에 8조원을 빼앗겼고, 복구도 해커가 가져간 돈을 되찾은 것이 아니라 회사 자금으로 메운 것이다. 사고 이후 국내외 거래소들이 보안 점검에 나선 배경도 여기에 있다. 장기 관전 포인트는 두 가지다. 남은 10%의 저유동성 코인 벌충이 언제 완료되는지, 그리고 동결된 39억 달러 상당 자산의 실제 회수 여부다.