요약
바이낸스 지갑에서 63억 달러어치 암호화폐가 20분 만에 빠져나가 역대 최대 탈취로 보입니다.
와이어드의 맷 버지스 기자가 보도한 소식입니다. 미국 동부시간 목요일 오후 4시쯤 탈취가 시작됐고, 암호화폐 업체와 조사 인력이 자금을 동결하고 추적하는 데 매달리고 있습니다.
왜 중요한가
- 빠르게 움직인 자금 가운데 수십억 달러는 되찾지 못할 가능성이 큽니다.
- 배후로 북한 해커 조직이 거론되지만, 아직은 추적 업체들의 추정 단계입니다.
핵심 내용
- 해커들은 여러 블록체인에 흩어진 바이낸스 지갑에서 약 63억 달러어치를 빼냈습니다.
- 여러 암호화폐 추적 업체는 북한 해커 조직 트레이더트레이터(TraderTraitor)가 배후일 수 있다고 봅니다.
- 암호화폐 업체와 조사 인력이 자금을 동결하고 행방을 쫓고 있습니다.
HN 반응
- 노트북 한 대로 어떻게 이런 일이 가능하냐는 비판과, 바이낸스가 추가 침해 지점을 밝혔다는 반론이 맞섰습니다.
- 손실을 다 메울 수 있느냐는 의심에, 바이낸스가 회사 자금 63억 4천만 달러를 마련해 뒀다는 설명이 나왔습니다.
유료 구독 기사라서 원문의 앞부분만 보고 정리했습니다.
보안을 부실하게 관리한 책임으로 기소돼야 할 쪽은 바이낸스 아닙니까? "노트북 한 대가 뚫렸다"는 이유로 어떻게 몇 분 만에 60억 달러가 날아갑니까?
은행을 규제하는 게 바로 이런 일 때문인데, 이런 플랫폼들이 비슷한 규제를 받기는 하는지 저는 잘 모르겠습니다.
저는 유럽의 전통 은행에서 개발자로 일합니다.
노트북을 켜려면 부트 비밀번호를 넣고, 지문을 스캔하고, 그다음 비밀번호를 넣고, 또 2단계 인증 앱을 거쳐야 합니다. 그러고 나서 VPN에 접속하는데 여기서도 2단계 인증을 또 합니다. 노트북은 1분만 놀려도 잠기고, 보안 프로그램이 CPU와 메모리의 30%를 항상 잡아먹습니다. USB 포트는 데이터용으로는 막혀 있고요. 윈도라서 뚫릴 수 있다는 건 압니다. 그래도 실제로 피해를 줄 수 있을 만큼 뚫리는 일은 거의 없을 겁니다.
그러고도 어떻게 일을 하세요?
컴퓨터 성능이 좋고 그걸 뒷받침하는 인프라가 갖춰져 있다면 길어야 5~10분이면 끝나는 과정입니다.
사람들과 정부가 수십억 달러를 잃지 않게 하는 대가치고는 아주 작습니다.
USB 포트의 데이터 전송이 막혀 있다면 마우스랑 키보드는 어떻게 꽂으시나요?
노트북에 깔린 EDR 소프트웨어가 허용할 것과 아닌 것을 통제합니다. USB 이동식 저장장치 같은 건 막고, 일반적인 HID(키보드, 마우스)는 허용하는 식입니다.
특정 제조사와 모델만 허용 목록에 올리고 나머지를 전부 막을 수도 있지만, USB는 인증이 없는 표준이라 공격자가 제조사나 모델을 얼마든지 위조할 수 있습니다. 그래서 거기에 기대지 말고 특정 종류의 USB 장치를 통째로 막는 편이 낫습니다.
BadUSB 공격은 보통 HID로 악성 키 입력 시퀀스를 넣는 방식 아닌가요?
그래서요?
마우스랑 키보드를 막을 사람은 없어요.
기기를 뚫을 수 있는 방법을 전부 없애는 게 목적이었다면 그냥 기기를 분쇄기에 넣었겠죠.
쓸 만하고 제대로 돌아가는 것과 위험 사이에서 균형을 잡아야 하는 거예요.
아, 맞아요. 기업 사무 환경의 골칫거리죠.
바이낸스는 노트북 하나만의 문제가 아니었다고 분명히 밝혔습니다.
노트북 하나 때문이었다면 오히려 놀랐을 겁니다. 가상화폐 거래소는 예전부터 해커들의 표적이었고 바이낸스는 그중에서도 손꼽히는 곳입니다. 그렇게 쉽게 코인을 빼낼 수 있었다면 진작에 털렸을 거라고 생각합니다. (최근에 통제가 더 느슨해진 게 아니라면요.)
출처 있으세요? 저는 노트북 얘기만 들었거든요.
여기에 "여러 요인"이라고 적혀 있는 건 알겠는데, 다른 요인은 제가 찾아본 범위에서는 하나도 안 나왔습니다.
맞는 말이지만, 데브옵스 엔지니어 한 명이 혼자서 무단 출금 거래를 제출할 수 있는 구성 요소에 접근할 수 있었다는 사실 자체가, 시스템 설정이 잘못돼서 생긴 의도치 않은 상황일 가능성이 높습니다.
참 우아하고 누구 탓도 안 하는 표현이네요. 잘 읽었습니다.
와이어드가 출처로 이 트윗을 링크했습니다. https://x.com/binance/status/2116089661408108712
제가 아는 한 이 건에 대한 가장 최근 업데이트입니다(10월 30일 UTC 오전 8시 47분).
제가 더 잘 알면 좋겠지만, 짧은 위키백과 문서를 보면 관련된 블록체인이 10개나 된다고 나와 있습니다.
https://en.wikipedia.org/wiki/2026_Binance_hack
참고로 2022년에도 바이낸스 시스템 한 곳이 뚫려서 5억 7천만 달러어치 "BNB"가 털렸습니다.
BNB는 바이낸스가 자기들 마음대로 찍어내고 소각하는 자체 암호화폐고요.
기대치가 너무 높으신 것 같습니다. 대다수 범죄자는 쉽다는 확실한 증거가 없거나 전에 먹힌 적이 없는 곳은 굳이 알아보지도 않습니다.
이 맥락에서는 말이 안 되는데요 ㅋㅋ
설명을 안 해 주시니 반박할 수가 없네요.
노트북에 관해 바이낸스 홍보팀이 믿고 있어야 할 내용만 보면, 조직폭력배식 수법을 쓰는 사람들이 이 회사를 깊이 있게 시험해 본 적은 별로 없을 것 같다는 게 제 생각입니다.
고객들이 바이낸스를 상대로 소송을 낼 자격이 있는 건 분명하죠. 그런데 당위와 실제로 벌어질 수 있는 일 사이의 간극을 메우려면, 정확히 어떤 죄목으로 기소할 수 있다는 겁니까?
무엇 때문에 소송을 냅니까? 잃은 돈은 아무도 없는데요.
바이낸스가 고객 전원에게 전액 보상하겠다고 하는데, 우리가 왜 그 말을 믿어야 하고 무슨 돈으로 어떻게 보상한다는 겁니까?
고객 예치금을 갚을 수 있는 30억~60억 달러를 쌓아 두고 있을 가능성은 매우 낮아 보입니다. 이 돈을 다 잃는다면 적어도 바이낸스에는 치명적일 거고요.
벌써 출금을 다시 열었습니까? 제가 고객이라면 최대한 빨리 전부 빼겠습니다.
바이낸스가요? 오히려 아주 높다고 봅니다. 서류상으로 이리저리 옮겨야 하겠지만 어렵지 않을 겁니다.
참고로 바이낸스가 밝힌 계획은 이렇습니다. 회사 자금 63억 4천만 달러를 따로 확보해 뒀고 대부분 탈취된 코인과 같은 코인이며, 여기에 약 10억 달러 규모의 SAFU 비상 기금이 있습니다. 탈취된 돈 중 약 30억 달러는 테더, 서클 등에서 동결됐고, CZ가 X에 올린 글에 따르면 나머지 부족분은 약 20억 달러입니다.
출금은 목요일 밤부터 중단된 상태입니다. 바이낸스는 일요일부터 단계적으로 재개하고 월요일까지 지급준비금 증명을 공개하겠다고 하는데, 그게 질문에 실제로 답이 될 만한 자료입니다.
Vouch 했습니다. 이 댓글이 왜 플래그됐는지 모르겠네요.
바이낸스의 연 매출은 200억 달러, 이익은 70억~80억 달러로 추정됩니다.
복구에 쓸 자금은 CEO 리처드 텅이 이미 배정해 뒀고요.
세상에, 1년에 120억 달러나 되는 비용을 도대체 어디에 쓰는 겁니까?
전부 AWS에서 돌리나 보죠 ;)
바이낸스가 해킹당했다는 걸 우리가 왜 믿어야 합니까? 아무 일도 없었을 수도 있잖아요?