바이낸스 63억 달러 해킹, 20분 만에 벌어진 일과 우리가 준비해야 할 것

세계 최대 가상화폐 거래소 바이낸스(BINANCE)에서 역대 최대 규모의 해킹 사건이 발생했습니다.

피해액은 약 63억 달러(약 8조 4천억 원)로 알려졌고, 이 막대한 자금이 빠져나가는 데 걸린 시간은 단 20분에 불과했습니다.

배후로는 북한 연계 해킹 조직이 지목되고 있습니다.

 

이번 글에서는 사건의 전개부터 해킹 이후의 자금 세탁 수법, 배후 조직과 AI 활용 정황, 그리고 앞으로의 대응책까지 차례로 정리해 보겠습니다.

 

1. 해킹 현황: 20분 동안 무슨 일이 있었나

공격 방법

공격자들은 먼저 바이낸스의 개발·운영 엔지니어의 노트북을 해킹했습니다.

이를 통해 일반적인 승인 절차를 우회할 수 있는 서명 권한을 확보했고, 이 권한으로 블록체인 지갑 10곳에서 자금을 빼내기 시작했습니다.

로이터 통신과 분석기관 TRM랩스·체이널리시스 등은 공격자들이 자동화 시스템을 동원한 것으로 추정하고 있습니다.

다시 말해 거래소의 보안 시스템 자체가 아니라, 시스템을 다루는 '사람의 단말기'가 첫 번째 관문이었던 셈입니다.

 

20분의 타임라인

보도에 따르면 공격은 미 동부시간 29일 오후 4시 5분(한국시간 30일 오전 5시 5분)께 시작됐습니다.

• 4시 5분~9분: 리플(XRP) 2억 3,346만 개를 공격자 계정으로 송금
• 4시 10분께: '솔라나'와 '옵티미즘' 지갑 탈취
• 4시 20분: 비트코인 1만 8,270개 탈취
• 4시 22분: 테더(USDT) 6억 1,270만 개 무단 인출

 

피해 규모

피해액은 보도마다 조금씩 다릅니다.

연합뉴스 기사는 약 63억 달러(8.4조 원)로, 또 다른 기사에서 인용한 TRM랩스 분석은 약 63억 6천만 달러(약 8.5조 원)로 전하고 있어 정확한 수치는 추가 확인이 필요해 보입니다.

영국 블록체인 분석업체 엘립틱은 이번 사건을 단일 사건으로는 역대 최대 규모라고 평가했습니다.

해킹 탈취 이미지 @연합AI생성

 

2. 해킹 후: 동결을 피하고 추적을 흐리다

이번 사건에서 눈여겨볼 대목은 훔치는 속도만큼이나 훔친 뒤의 처리가 빠르고 치밀했다는 점입니다.

 

동결될 자산을 먼저 바꿔치기

테더나 USDC 같은 스테이블코인은 발행사가 자금을 동결할 수 있습니다.

반면 비트코인이나 이더리움은 탈중앙화 자산이라 기술적으로 동결이 사실상 어렵습니다.

해커들은 이 차이를 정확히 노렸습니다.

• 스테이블코인 약 3억 2,500만 달러어치를 이더리움 12만 2,300개로 기습 교환했습니다. 당시 시장 가격은 개당 2,300~2,350달러였는데 해커들은 개당 2,650달러를 치렀습니다. 손해를 감수하더라도 서둘러 스테이블코인을 처분하려 했던 것으로 추정됩니다.
• 6천만 달러 상당의 스테이블코인을 담보로 이더리움 1만 9,760개를 대출받기도 했습니다.
• 약 10분 뒤 나머지 1억 7,500만 달러어치 스테이블코인도 옮기려 했지만, 업계의 동결 조치가 오후 5시 14분에 먼저 시작됐습니다.

동결 규모는 테더 약 15억 7천만 달러, 서클 약 8억 달러, 월드 리버티 파이낸셜 2,700만 달러(약 360억 원)였습니다.

하지만 해커들이 이미 상당량을 동결 불가능한 자산으로 바꾼 뒤였습니다.

 

추적망 교란

• 특정 지갑으로 자금을 보낼 때 먼저 소액을 입금해 지갑이 정상 작동하는지 확인한 뒤 본격적으로 전송했습니다.
• 여러 지갑 사이에서 자금을 반복적으로 주고받는 순환 구조를 만들어 추적을 어렵게 했습니다.

속도전 속에서도 이런 신중함을 보였다는 점에서, 단순한 기회주의적 범행이 아니라 사전에 설계된 작전에 가깝다는 인상을 줍니다.

바이낸스 로고 @Reuters

 

3. 배후와 도구: 트레이더트레이터, 그리고 AI

배후로 지목된 '트레이더트레이터'

TRM랩스 등은 북한의 정예 해킹 조직 '트레이더트레이터(TraderTraitor)'를 배후로 분석했습니다.

결정적 단서는 자금 흐름이었습니다.

 

지난달 발생한 비트겟 해킹 자금과 이번 바이낸스 탈취 자금이 서로 뒤섞이는 정황이 포착된 것입니다.

다만 아직은 '추정' 단계입니다.

트럼프 대통령도 북한 소행 여부를 묻는 질문에 "모른다, 살펴보고 있다"고 답했고, 미국 FBI와 비밀경호국이 바이낸스와 공조 수사에 착수한 상태입니다.

 

북한 해킹 조직의 AI 활용

연합뉴스의 별도 기사(10월 30일자)는 북한 해킹 조직의 AI 활용 실태를 짚었습니다.

주요 내용은 다음과 같습니다.

• AI 도입 단계: 마이크로소프트 위협 인텔리전스는 북한 해킹 조직 8곳을 분석했는데, 3곳이 AI를 일상적 공격 업무에 통합한 최고 단계(운영 정착)에 도달했고, 4곳은 '가속', 1곳은 '확대' 단계로 분류됐습니다.
• 맞춤형 피싱 대량생산: 한 조직은 올해 8~9월 한국 이용자를 겨냥한 맞춤형 PDF 유인 문서를 100개 이상 생성했고, 수분 만에 수십 개를 만든 정황도 확인됐습니다.
• 로컬 LLM과 AI 코딩 도구: 지니언스에 따르면 김수키는 외부 AI 서비스에 의존하지 않는 자체 로컬 LLM·RAG 환경을 구축한 정황이 있고, 'Cursor' 같은 AI 코드 편집기 사용 기록도 확인됐습니다. MS 보고서는 코드 생성, 오류 수정, 탐지 회피 기술 개발에 AI 코딩 도구를 활용했을 가능성과 에이전틱 AI 기반 침투 테스트 도구 '아르텍(ARTEX)'을 작전에 쓴 정황도 언급했습니다.

 

꼭 구분해야 할 점

이번 바이낸스 공격에 AI가 쓰였는지는 아직 확인되지 않았습니다.

또 AI 도입이 공격 성공률을 얼마나 높였는지, 인력과 비용을 얼마나 줄였는지도 확인되지 않았으며, MS 역시 북한 조직들이 완전한 자율 공격 단계에는 이르지 않았다고 평가했습니다.

두 사건을 하나로 엮어 "AI가 바이낸스를 털었다"고 단정하기보다는, '공격의 속도와 규모를 키울 수 있는 도구가 빠르게 퍼지고 있다'는 흐름으로 이해하는 것이 정확합니다.

자오창펑 바이낸스 창업자 @연합뉴스

 

4. 향후 대응책: 더 빠르고 정교해지는 공격에 어떻게 대비할까

아래 내용 중 "행위 중심 탐지"는 기사에서 보안업계가 강조한 방향이고, 나머지는 이번 사건의 특징에서 도출한 일반적인 보안 권고입니다.

 

기업·거래소

• 행위 중심 탐지로 전환: AI로 피싱 문서가 다양해지면 문구·형식에 의존하는 탐지에는 한계가 있습니다. 문서의 외형이 아니라 악성 파일 실행, 비정상적인 시스템 동작 같은 실제 행위를 탐지하는 체계가 중요합니다.
• 핵심 인력 단말기 보호: 이번 사건의 출발점은 엔지니어의 노트북이었습니다. 서명 권한을 다루는 단말기는 분리·강화하고, 개발 환경 접근 권한을 최소화할 필요가 있습니다.
• 서명·승인 구조 다층화: 한 명의 단말기가 뚫려도 대규모 이체가 불가능하도록 다중 서명, 하드웨어 기반 승인, 금액·시간당 한도 설정이 필요합니다.
• 이상 거래 자동 대응: 20분 만에 수조 원이 나가는 속도에는 사람의 대응이 따라가기 어렵습니다. 단시간 대량 출금 시 자동으로 중단되는 장치가 필요합니다.
• 핫월렛 보유량 최소화와 비상 기금: 인터넷에 연결된 지갑에는 필요한 만큼만 두고, 바이낸스의 SAFU(이용자자산보호기금)처럼 피해를 메울 준비금을 갖추는 것이 중요합니다.

 

개인 이용자

• 출처 불분명한 문서·링크 주의: AI로 직업과 관심사에 맞춘 미끼 문서가 수분 만에 만들어질 수 있습니다. 어색한 문장이 없다고 안전하다고 믿으면 안 됩니다. 낯선 PDF나 첨부파일은 실행 전에 발신자를 다른 경로로 확인하세요.
• 장기 보관 자산 분산: 거래소에 모든 자산을 맡기기보다 보관 목적의 자산은 개인 지갑(가능하면 하드웨어 지갑)에 나눠 두는 방법이 있습니다.
• 계정 보안 기본기: 2단계 인증 설정, 거래소별 서로 다른 비밀번호 사용, 출금 주소 화이트리스트 등록 같은 기본 설정을 점검하세요.
• 공식 공지 확인: 바이낸스는 고객 자금은 영향이 없고 전액 보상될 것이라고 밝혔습니다. 이런 사고 직후에는 '긴급 조치' 사칭 메시지가 늘어나므로 공식 채널의 안내만 신뢰하세요.

 

정부·업계

• 동결 공조의 속도: 이번에는 업계의 동결 조치가 오후 5시 14분에 시작됐고, 그 사이 해커들은 상당량을 동결이 어려운 자산으로 바꿨습니다. 거래소, 발행사, 분석업체, 수사기관이 실시간으로 정보를 공유하고 동결 결정을 앞당기는 체계가 중요해졌습니다.
• 국제 공조 수사와 제재: 이미 FBI와 비밀경호국이 수사에 나섰습니다. 자금 흐름 분석과 국제 공조를 통해 탈취 자금이 현금화되는 통로를 차단하는 노력이 계속되어야 합니다.

 

마치며

이번 사건이 보여주는 핵심은 세 가지입니다.

첫째, 공격의 출발점은 여전히 '사람과 단말기'였습니다.

둘째, 해커들은 훔치는 데서 끝나지 않고 동결을 피하기 위한 자산 전환과 추적 교란까지 계획에 넣었습니다.

셋째, AI 같은 도구는 이런 공격을 더 빠르고 대량으로 만들 가능성을 키우고 있습니다.

 

바이낸스는 출금 서비스를 약 34시간 내 재개할 계획이며 이용자 피해는 없을 것이라고 밝혔지만, 사건의 전모와 배후는 수사가 진행되면서 더 분명해질 것입니다.

 

우리는 "설마 나한테"라는 생각 대신, 기본에 충실한 보안 습관부터 점검해 볼 때입니다.

 

*출처: 연합뉴스 "단 20분 코인 8.4조원 싹쓸이…배후추정 北 천리마 속도전에 당했나"(2026-10-31), "해킹도 AI로 대량생산…북한 사이버 공격의 판이 바뀐다"(2026-10-30)