2026년 10월 29일, 약 20분 만에 바이낸스의 지갑에서 63억 달러가 빠져나갔습니다. 이는 역대 최대 암호화폐 절도로, 2025년 2월의 바이비트 해킹의 네 배가 넘는 규모입니다.
거래소 자체의 설명에 따르면, 진입 경로는 위장 취업 면접 후 감염된 한 엔지니어의 컴퓨터였습니다.
이틀 후 바이낸스는 회사 자금으로 98%의 자산을 복구했다고 발표했습니다. 다음 날, 출금도 재개했습니다.
마지막 내용을 기억하시기 바랍니다. 이것이 가장 중요하고, 가장 덜 언급되는 사실입니다.
망치만 가진 사람에게 모든 문제는 못처럼 보입니다
마운트곡스, 2014년. 쿼드리가CX, 2019년. FTX, 2022년. 바이비트, 2025년. 바이낸스, 2026년 등 대표적인 사례만 언급하겠습니다. 문제는 다르지만, 해답은 항상 같습니다: 셀프 커스터디. 결국 “키가 없으면 내 코인이 아닙니다.”
이 전제는 기술적으로 사실입니다. 개인키를 직접 보유하지 않으면 자산을 통제하지 못합니다. 실제로는 키를 가진 사람에게 채권 관계만 가지게 됩니다.
이로부터 일반적으로 도출되는 결론은, 셀프 커스터디가 반드시 더 안전하다는 게 아니라는 점입니다.
패배자의 무덤은 조용합니다. 단, 패배자가 아주 클 땐 예외입니다
거래소가 공격받으면, 전 세계가 이를 목격합니다. 수십억 달러가 걸려 있고, 공식 성명과 국제 언론 보도가 뒤따릅니다.
개인이 모든 것을 잃었을 때는 거의 아무도 알지 못합니다. 손실이 온체인에 남아 공개적으로 기록되더라도, 일반 대중 중 누가 블록체인 조사를 실제로 따릅니까? 대중은 언론 보도를 접합니다.
이런 피해자 중 상당수는 부끄러움이나 믿기지 않는 마음에 경찰 신고조차 하지 않습니다.
조사관의 입장에서는 익숙한 장면입니다. 피해자가 트랜잭션 해시와 비트코인 동결을 바라는 희망을 들고 찾아옵니다.
그리고, 행운이 아주 따르지 않는 한(즉, 빠르게 신고하는 피해자, 유능한 공공기관 직원, 거래소나 동결 가능한 토큰으로 옮겨진 자금 등이 맞아떨어질 때), 결과는 참담합니다.
대형 거래소 공격이 가장 빈번하진 않습니다. 단지 모두가 보는 사건일 뿐입니다.
셀프 커스터디 위험 메뉴에서 특별 사례 모음
시드 전달. 2026년 1월 10일, 한 투자자가 트레저 지원으로 위장한 사기꾼에게 자신의 하드웨어 월렛 시드를 읽어주었습니다. 1,459 BTC와 2백5만 LTC, 2억8천2백만 달러가 넘는 자산이 사라졌습니다. 장치는 완벽하게 작동했습니다. 문제는 소유자에게 있었습니다.
시드 노출. 스마트폰 사진, 클라우드 메모, 자기 자신에게 보낸 이메일 등. 누구도 그 단어를 요구하지 않았지만, 정보는 그냥 새어나왔습니다.
서명 피싱. 오프체인 메시지에 서명해 제3자에게 토큰 이동 권한을 줍니다. 공격자는 원할 때 자산을 가져갈 수 있습니다. 비어 있는 수표에 서명한 채 남의 서랍에 두는 상황과 같습니다. 2026년 1월 한 달만 630만 달러였습니다.
아이러니하게도, 바이낸스 해킹 역시 서명을 통해 이뤄졌습니다. 해당 거래소 시스템이 한 번에 50건의 권한 부여에 속아 서명했습니다. 1건만으로도 공격자에게 지갑을 넘겨주게 되었고, 그 거래 한 번에 22억 달러가 증발했습니다.
렌치 공격. 이름 그대로 몽키스패너에서 유래했습니다. 어떠한 암호기술도 본인이나 가족에게 가해지는 물리적 위협은 막지 못합니다. 2026년 상반기에 서티케이(CertiK)는 52건, 총 1억2천4백만 달러를 집계했습니다. 프랑스만도 33건이었습니다.
주소 중독. 사기꾼이 거래 내역에 합법 주소와 거의 같은 주소를 심습니다. 다음 송금 때 잘못된 주소를 복사해 자금을 잃게 됩니다. 1월에만 한 번 있었고, 1,225만 달러가 피해액이었습니다.
디바이스 결함. 7월 29일, 인터넷에 한 번도 연결되지 않은 콜드카드 사용자가 키 생성 시 난수 결함 때문에 자산을 모두 잃었습니다. 1천 개 이상의 비트코인입니다. 해당 사건은 “당신의 키, 당신의 코인 — 하지만 당신은 키 생성 방식을 알고 있습니까?”에서 분석했습니다.
알림: 각 경우마다 피해자는 무언가를 신뢰했습니다. 고객센터, 클라우드, 웹사이트, 본인 판단, 거래 내역, 펌웨어 등입니다. 그리고 모든 경우 자신감을 믿었습니다.
셀프 커스터디 vs 거래소: 잘못된 이분법
모든 형태의 자산 보관에는 위험이 존재합니다. 거래소에 자산을 맡기는 사람은 해당 거래소의 운영과 지급능력을 신뢰합니다. 자신의 지갑에 직접 보관하는 사람은 본인과 기기, 소프트웨어, 그리고 본인이 비트코인을 소유하고 있음을 아는 사람을 신뢰합니다. 첫 번째 위험을 인지하면서 두 번째 위험을 무시하는 것이 문제입니다.
신뢰 없이 선택할 수 있는 방법은 없습니다. 의식하는 신뢰와 무시되는 신뢰가 있습니다. 그리고 가장 큰 위험은 눈에 보이지 않는 위험입니다.
누구도 모든 자산을 침대 밑에 두어서도, 한 은행에만 모두 보관해서도 안 됩니다.
암호화폐 자산도 마찬가지입니다: 일부는 신뢰할 수 있는 거래소(또는 세 곳)에, 일부는 철저한 셀프 커스터디로, 일부는 ETF에 분산하는 것이 좋습니다. 예를 들어 30%, 40%, 30%로 나눕니다.
이 비율은 본인의 지식 수준, 투자 성향, 그리고 목표에 따라 달라집니다. 이 책임의 일부도 남에게 맡길 수는 없습니다. 아쉬운 소식이겠지만, 나중보다 지금 아는 편이 낫습니다.
모레의 시나리오
책임감은 위험을 줄여줍니다. 하지만 완전히 없앨 수는 없습니다. “무엇이 가장 안전한 선택인가?”만 묻지 마시고 “공격받은 뒤 나는 어떻게 될까?”도 스스로에게 물어야 합니다.
셀프 커스터디에서는 연락 가능한 상대가 없습니다. 1월의 2억8천2백만 달러는 즉시 모네로로 전환되었습니다 (BTC, BTC, LTC). 머니가 스테이블코인 발행자 또는 거래소에 도달하면 동결이 이뤄집니다. 전액 회수는 극히 예외적입니다.
거래소에서는 상대방이 존재합니다. 바이빗은 3일 만에 고객 자산의 가치 보전을 완료했습니다. 비트겟은 9월에 발생한 3억8천8백만 달러 손실을 보호 펀드로 전액 보상했습니다.
바이낸스는 전체 손실액을 부담했으며, 이미 98%를 복구했습니다. 이는 보유 자산 증명에서 확인할 수 있습니다.
상대방이 지급여력이 있어야만 의미가 있습니다. 그리고 항상 원래 가졌던 그대로를 돌려주는 것은 아닙니다.
마운트 곡스(Mt. Gox) 채권자들은 10년을 기다려 자신들이 ‘가졌던’ 비트코인의 약 15%만 받았습니다. 단, 그 기간 동안 비트코인 가격이 크게 올라 그 일부만으로도 2014년 당시 총액보다 훨씬 큰 가치를 얻었습니다.
FTX 채권자들은 현금을 받았습니다. 그들의 계좌에 있었던 암호화폐 자산이 아닌, 파산 시점인 2022년 11월 당시 비트코인 가격이 약 16,000 달러인 기준으로 평가된 가치의 약 120%가 지급되었습니다. 당시 자산가치보다는 많았으나, 오늘날 가치보다는 현저히 적었습니다.
이 때문에 브라질 중앙은행(BCB)의 2025년도 결의안 519, 520, 521의 중요성이 대두됩니다.
투자자에게 더 중요한 것은 거래소가 중앙은행의 관리를 받는지가 아니라, 거래소가 따라야 하는 요건입니다. 고객 자산이 회사 소유 자산과 분리되어 별도의 지갑에 보관되며, 보유 자산 증명과 외부 감사가 의무화되고, 회사의 자금운용에는 활용될 수 없습니다.
핵심 요약
키가 없으면 코인도 없다라는 격언은, 안전이 아니라, 통제권에 대한 원칙입니다.
모든 자산을 거래소에서 빼더라도, 신뢰를 완전히 버리는 것은 아닙니다. 대개 스스로에게 신뢰를 옮길 뿐이며, 그 신뢰를 자신이 받을 자격이 있는지 질문하지 않습니다.
자산 보관이란, 신뢰하지 않을 대상을 골라내는 것이 아니라, 신중하게 누구를 얼마나 신뢰할지를 직접 선택하는 일입니다.
