바이낸스에서 55억7천만달러 빠져나가…테더·서클이 18억달러 동결
Binance Drained of $5.57 Billion in Suspected Hack, Tether and Circle Freeze $1.8 Billion
10월 29일 20시24분(UTC), 바이낸스 표시가 붙은 지갑에서 16만7,464 ETH와 토큰 63종이 새 주소로 옮겨졌습니다. 16억1,500만 USDT도 함께였습니다.
아캄과 디크립트 집계로 유출 규모는 최소 55억7천만 달러입니다. 이더리움 35억1천만 달러, 비트코인 1만8,270개(14억4천만 달러), 트론 6억3천만 달러로 나뉩니다.
바이낸스는 해킹을 확정하지 않았습니다. "잠재적 보안 문제 보고를 조사 중이고 현재까지 이용자 자금 영향은 확인되지 않았다"고 밝혔습니다. 창업자 자오창펑(CZ)은 "바이낸스 해킹으로 보인다"고 다른 말을 했습니다.
1. 서명 없이 나간 자금
핵심은 개인키가 뚫린 것이 아니라 지갑 자체에 '대신 옮길 권한'이 심겼다는 점입니다. 첫 이체는 위임이 등록된 지 3분24초 뒤에 이뤄졌습니다. 토네이도캐시 자금을 받은 주소가 이더리움 EIP-7702 기능으로 바이낸스 핫월렛(출금 처리용 온라인 지갑)에 위임을 걸었습니다.
EIP-7702는 일반 지갑이 스마트컨트랙트 코드를 실행하게 해줍니다. 보안업체 필락스시스템즈의 오디세아스 람치디는 "위임이 남아 있는 한 그 코드가 추가 서명 없이 이후 이체를 승인한다"고 설명했습니다.
공격자가 그 서명을 어떻게 얻었는지는 확인되지 않았습니다. 블록에이드는 이더리움 지갑 두 곳에서 약 25억 달러, 다른 계정에서 7억8,000만 USDC가 나갔다는 예비 추정을 내놓고 금액을 맞추는 중이라고 밝혔습니다.
2. 실제로 멈춘 것은 발행사였다
거래소가 멈춘 게 아니라 스테이블코인 발행사가 주소를 잠갔습니다. 테더의 파올로 아르도이노 CEO는 관련 자금 15억6,700만 USDT를 동결했다고 밝혔습니다. 서클의 제러미 앨레어 CEO는 "법 집행기관과 협력해 8억 달러 넘는 USDC를 동결했다"고 했고, CZ는 서클 쪽 규모를 8억2,300만 달러로 적었습니다.
디크립트는 주 수취 주소의 9억7,510만 USDT와 서클의 8억2,300만 USDC를 합쳐 약 18억 달러 동결로 썼습니다. 테더가 밝힌 총액과 주소 한 곳 잔액을 섞은 계산이라 두 수치를 그대로 더하면 약 24억 달러가 됩니다. 최종 손실액은 아직 집계 중입니다.
공격자는 자금을 빠르게 옮기고 있습니다. 비트코인은 7만9,000달러 아래로 내려 24시간 동안 2.6% 떨어졌고, 바이낸스 토큰 BNB는 7% 하락한 699달러였습니다. 프라이버시 코인 모네로는 6% 오른 637달러를 기록했습니다.
