바이낸스 공동 CEO 리차드 텡은 업계가 63억 달러 규모의 바이낸스 해킹 사건에서 교훈을 얻어야 한다고 말합니다. 해커들은 새로운 이더리움(ETH) 기능, 허위 채용 담당자 및 AI 기술을 결합해 새로운 암호화폐 도구의 안전성에 대한 의문을 제기했습니다.
그러나 한 이더리움 연구원은 이 기능 자체에는 결함이 없다고 말합니다. 거래소에 보관된 ETH 보유자들은 업그레이드가 아니라, 수탁업체의 서명 시스템을 통해 노출될 수 있다고 설명합니다.
텡 CEO는 바이낸스 해킹 사건에서 업계가 무엇을 배워야 한다고 말합니까?
텡은 화요일 CNBC와의 인터뷰에서 바이낸스가 업계가 배울 수 있도록 상세한 보고서를 공개했다고 밝혔습니다. 그는 FBI가 북한에 이 해킹 사건의 책임을 돌린 점과 수개월간 구축된 공격 캠페인을 언급했습니다.
그는 이 캠페인이 6월에는 거짓 개발자 도구로 시작됐고, 9월에는 허위 채용 인터뷰로 이어졌다고 전했습니다. 공격자는 내부 AI 도구를 거쳐 지갑 거래를 승인하는 시스템에 접근했습니다.
10월 29일, 해커는 바이낸스가 출금을 일시 중단한 후에도 자금 이동이 가능하게 하는 새로운 이더리움 기능을 악용했다고 텡은 설명했습니다. 이더리움에서 한 지갑은 약 167,464 ETH와 16억 달러 상당의 테더(USDT)를 잃었습니다.
연구자들은 이 기능을 2025년 5월에 도입된 이더리움 업그레이드인 EIP-7702로 지칭하며, 일반 지갑이 스마트컨트랙트 코드를 빌릴 수 있게 한다고 기즈모도(Gizmodo)가 보도했습니다.
블록체인 보안 기업 블록에이드는 공격자가 50건의 서명된 승인 권한을 하나의 거래에 묶어 처리했다고 밝혔습니다. 바이낸스는 해킹 경위에 대한 상세 설명에 따르면, 위임 해제를 4시간 가까이 지난 후 처리했습니다.
새로운 기술이 위험을 높나, 아니면 위험의 위치를 바꾸나?
에덜랩스(Ethlabs) 연구원 데릭 치앙은 EIP-7702 기능 자체에는 문제가 없으나, 도난이 더 빠르고 효율적으로 이뤄진 원인이 된다고 주장했습니다. 메타마스크 등 이 기능을 지원하는 지갑을 사용하는 보유자들은 당장 불안해할 필요가 없다고 덧붙였습니다.
AI 도구 역시 텡 CEO가 언급한 설명에서 공격자의 기술과 서명 시스템 내부 경로 양측 모두에 활용됐습니다.
바이낸스는 피해 자산의 98%를 복구하고, 지갑 시스템을 재구축했으며, 디바이스를 교체하고 연결된 인증 정보를 모두 취소했다고 발표했습니다. 또한 당국과 업계 파트너들과 협력해 도난 자금의 추적 및 동결을 추진하고 있다고 밝혔습니다.
텡이 약속한 독립적 검토를 통해 서명자 정보가 침해된 사실이 확인되면, 위험의 주체는 새로운 기능이 아니라 거래소 수탁 설계에 있다고 볼 수 있습니다. 기능 자체의 결함이 드러날 경우 이러한 해석은 달라질 수 있습니다.
