뒤로

2026/11/02

사상 최대 암호화폐 탈취는 블록체인이 아닌 노트북 한 대에서 시작됐다: Binance 사건의 교훈

Binance 탈취 사건은 암호 기술이 뚫려서가 아니라 침해된 DevOps 노트북에서 시작되었습니다. 확인된 사실과 확인되지 않은 사실, 그리고 자사 시스템을 위한 다섯 가지 점검 항목을 정리합니다.

2026년 10월 29일, 공격자들은 불과 몇 시간 만에 최소 10개 블록체인에 걸쳐 Binance 핫 월렛의 자금을 빼돌렸습니다. Binance는 피해 규모를 약 63억 달러로 추산하고 있으며, 이는 거의 확실히 암호화폐 역사상 최대 규모의 탈취입니다. 무너진 것은 암호 기술이 아니었습니다. Binance의 예비 조사 결과에 따르면, 공격은 한 DevOps 엔지니어가 사용하던 침해된 노트북 한 대에서 시작되었습니다.

따라서 이 사건은 암호화폐 거래소를 훨씬 넘어서는 의미를 가집니다. 모든 조직에는 프로덕션 배포, 결제, 서명, 클라우드 특권 접근처럼 민감한 작업을 승인할 수 있는 사람, 기기, 시스템이 있습니다. 이 글에서는 확인된 사실과 아직 예비 단계인 정보를 구분하고, 침해된 특권 엔드포인트가 왜 탈취된 키보다 더 위험할 수 있는지 설명하며, 자사 환경에서 실행할 수 있는 다섯 가지 점검 항목을 소개합니다.

핵심 요약

  • Binance의 예비 조사는 침해된 DevOps 엔지니어의 노트북을 침입 경로로 지목하고 있으며, Binance는 월렛 개인 키가 유출된 증거는 발견하지 못했다고 밝혔습니다. 두 결과 모두 예비 조사 결과입니다.
  • 서명을 요청하고 승인하는 시스템을 장악한 공격자는 키를 훔칠 필요가 없습니다.
  • FBI와 여러 블록체인 분석 기업은 이번 탈취를 북한 조직 TraderTraitor의 소행으로 보고 있으나, Binance 자체는 공격자를 지목하지 않았습니다.
  • 가장 중요한 방어 수단은 키 자체만이 아니라 키를 둘러싼 사람, 엔드포인트, 승인 경로를 보호하는 것입니다.
  • 같은 패턴이 클라우드 콘솔, SSH, CI/CD 파이프라인, 그리고 프로덕션에서 작업을 수행할 수 있는 AI 에이전트에도 적용됩니다.

무슨 일이 있었고, 무엇이 아직 예비 단계인가

블록체인 분석 기업 TRM Labs에 따르면, 10월 29일 20시 05분(UTC)경 Binance 월렛에서 자금이 빠져나가기 시작했으며 대부분의 자산은 약 20분 이내에 이동했습니다. BleepingComputer가 보도한 예비 성명에서 Binance는 이번 사건에 침해된 DevOps 엔지니어의 노트북이 관련되었을 수 있으며, 공격자가 이를 통해 서비스 컨테이너에 접근해 무단 출금 트랜잭션을 제출했다고 밝혔습니다. Binance는 출금을 중단하고, 영향을 받은 권한을 취소했으며, 법 집행 기관과 협력을 시작했습니다.

이후 Binance는 조사 과정에서 “추가 침해 지점이 발견되었다”고 밝혔습니다. Richard Teng 공동 CEO는 이번 공격이 엔지니어 한 명의 권한으로 이루어진 것이 아니라고 말했으며, Elliptic이 인용한 바에 따르면 공격은 “당사의 일반적인 승인 통제를 거치지 않았다”고 밝혔습니다. Binance는 상세한 사후 분석 보고서(포스트모템)를 약속했지만, 이 글을 작성하는 시점(11월 2일)까지 공개되지 않았습니다.

항목작성 시점 현황
피해 규모Binance 추산 약 63억 달러. 분석 기업들은 산정 방식과 가격 기준에 따라 63억 6천만~64억 3천만 달러로 보고하고 있습니다.
침입 경로예비 조사: 침해된 DevOps 엔지니어의 노트북. 이후 Binance는 추가 침해 지점을 보고했습니다.
개인 키 유출Binance는 월렛 개인 키가 유출된 증거는 발견하지 못했다고 밝혔습니다. 조사는 진행 중입니다.
공격 주체FBI는 10월 31일 이번 탈취를 북한의 TraderTraitor 소행으로 지목했으며, 이는 TRM Labs, Chainalysis, Elliptic의 분석과 일치합니다. Binance는 공격자를 지목하지 않았습니다.
동결된 자금확정되지 않았습니다. Binance는 약 30억 달러가 묶였다고 밝혔고, Elliptic은 11월 1일 기준 약 28억 5천만 달러가 온체인에서 동결 또는 압수된 것을 확인했으며 대부분 스테이블코인입니다.
고객 영향Binance는 손실을 자체 부담하며 이용자 자금은 안전하다고 밝혔습니다. 출금은 11월 1일부터 단계적으로 재개되기 시작했습니다.

동결이 곧 회수를 의미하지는 않습니다. Tether나 Circle 같은 스테이블코인 발행사는 자사가 발행한 토큰을 동결할 수 있지만, 비트코인, XRP 등 네이티브 자산은 그런 방식으로 동결할 수 없으며, 탈취된 자산의 상당 부분은 여전히 자금 세탁이 진행 중입니다.

침해된 특권 엔드포인트가 탈취된 키보다 더 위험할 수 있는 이유

개인 키 탈취는 심각한 문제이지만, 하나의 잘 알려진 문제입니다. 키를 교체하면 탈취된 사본은 가치를 대부분 잃습니다. 반면 특권을 가진 엔지니어의 기기를 장악한 공격자는 전혀 다른 위치에 있습니다. 정상적으로 서명을 요청하는 시스템을 이용하고, 유효한 자격 증명으로 내부 서비스를 호출하며, 일반 업무처럼 보이는 트랜잭션을 전송할 수 있습니다.

온체인 증거도 이러한 그림과 맞아떨어집니다. TRM Labs는 여러 체인에 걸친 패턴이 “Binance의 핫 월렛 서명 인프라가 침해되었음을 가리킨다”고 평가했습니다. 즉 공격자가 Binance 자체 시스템이 공격자가 선택한 트랜잭션에 서명하도록 만들 수 있었다는 뜻입니다. Ethereum에서는 보안 기업 Blockaid가 한 핫 월렛이 EIP-7702 권한 위임을 일괄 서명해 월렛의 제어권을 공격자의 컨트랙트에 넘겨준 사실을 발견했습니다. 이 서명들이 어떻게 확보되었는지는 아직 확인되지 않았으며, 그 메커니즘은 별도의 후속 글에서 다룰 예정입니다.

이는 새로운 일이 아닙니다. FBI가 역시 TraderTraitor의 소행으로 지목한 2025년 2월 Bybit 탈취 사건에서, 공격자들은 한 월렛 제공업체의 개발자 컴퓨터를 침해하고 Bybit 서명자들이 승인한 트랜잭션을 조작했습니다. 두 사건 모두에서 키는 요청받은 대로 정확히 작동했을 뿐입니다. 문제는 누가 요청하고 있었느냐였습니다.

다섯 가지 방어 점검 항목

1. 특권 기기를 일상 업무와 분리하기

프로덕션 변경 승인, 트랜잭션 서명, 인프라 관리에 사용하는 기기는 이메일, 채팅, 웹 브라우징, 개발 도구 설치에 사용하는 기기와 같아서는 안 됩니다. 개인 계정이 없고 승인된 소프트웨어 목록이 짧은, 전용 강화 관리 워크스테이션이나 격리된 가상 데스크톱을 사용하십시오. TraderTraitor는 가짜 채용 제안과 악성 코딩 테스트를 이용해 개발자 컴퓨터에 침투하는 수법을 반복적으로 사용해 왔습니다. 기기를 분리하면 이러한 침해가 승인 경로에 닿지 않도록 할 수 있습니다.

2. 두 명 이상의 승인을 요구하고, 시간 여유를 두기

어떤 개인, 기기, 서비스 계정도 단독으로 큰 금액을 이동하거나 프로덕션을 변경할 수 있어서는 안 됩니다. 서로 다른 기기를 사용하는 사람들의 승인을 요구하고, 트랜잭션별 및 기간별 금액 한도를 설정하며, 대규모이거나 비정상적인 작업에는 지연(타임락)을 추가하십시오. 단 몇 분의 지연만으로도 모니터링 시스템과 담당자가 대응할 기회가 생깁니다.

팁: 승인자가 실제로 무엇을 승인하는지 볼 수 있는지 확인하십시오. Bybit 사건에서 서명자들은 실제 내용이 조작된 트랜잭션을 승인했습니다. 승인 화면에는 요청 시스템과 독립적으로 생성된 정확한 작업 내용, 수신처, 금액이 표시되어야 합니다.

3. 엔드포인트를 강화하고 감시하기

모든 특권 기기에서 EDR을 운영하고, 누군가가 24시간 내내 그 경보를 검토하도록 하십시오. 시스템 패치를 최신으로 유지하고, 서명되지 않았거나 승인되지 않은 소프트웨어를 차단하며, 하드웨어 보안 키와 같은 피싱 방지형 MFA를 사용하고, 관리자 세션과 토큰의 유효 기간을 제한하십시오. 패키지, IDE 확장 기능, AI 코딩 어시스턴트를 포함한 개발 도구도 공격 표면의 일부로 취급하십시오.

4. 이상 징후를 탐지하고 신속하게 동결할 수 있도록 하기

Binance의 자금은 몇 분 만에 이동했습니다. 거래량, 수신처, 시간대, 서명 빈도 등 가장 민감한 작업에서 무엇이 정상인지 정의하고, 이를 벗어나는 경우 실시간으로 경보를 발생시키십시오. 출금, 배포, 서명을 몇 초 안에 일시 중지할 수 있는 비상 정지 장치를 마련하고, 누가 이를 발동할 수 있는지 미리 정하고, 실제로 사용하는 훈련을 하십시오.

5. 서명 및 프로덕션 접근을 호출할 수 있는 주체 감사하기

서명을 요청하거나, 결제를 승인하거나, 프로덕션을 변경할 수 있는 모든 사람, 서비스 계정, 컨테이너, 파이프라인, API 키를 목록화하십시오. 각각에 대해 그 접근 권한이 아직 필요한지, 권한 범위가 가능한 한 좁게 제한되어 있는지, 그리고 사용 내역이 공격자가 지울 수 없는 곳에 기록되고 있는지 확인하십시오. 가능한 곳에서는 상시 특권을 제거하고 대신 JIT(Just-In-Time) 접근을 사용하십시오.

기업의 클라우드, SSH, CI/CD, AI 운영을 위한 교훈

대부분의 조직은 암호화폐 핫 월렛을 운영하지 않지만, 모든 조직에는 그에 상응하는 것, 즉 권한을 가지고 작업을 수행할 수 있는 자격 증명과 시스템이 있습니다.

  • 클라우드: 콘솔 세션이 활성화되어 있거나 CLI 자격 증명이 캐시된 관리자 노트북은 루트 계정만큼 가치가 있습니다. 단기 자격 증명, 기기에 바인딩된 세션, 파괴적이거나 영향이 큰 작업에 대한 승인 워크플로를 사용하십시오.
  • SSH: 엔지니어 컴퓨터에 보관된 장기 키는 공격자에게 서버에 대한 직접 접근 권한을 줍니다. 세션별로 발급되는 단기 SSH 인증서를 우선 사용하고, 모든 특권 세션을 중앙에서 기록하십시오.
  • CI/CD: 파이프라인은 배포 및 서명 자격 증명을 보유하는 경우가 많습니다. 파이프라인 정의를 리뷰 필수 요건으로 보호하고, 빌드용과 릴리스용 자격 증명을 분리하며, 프로덕션 릴리스에는 승인을 요구하십시오.
  • AI 기반 운영: 명령을 실행하거나, 풀 리퀘스트를 열거나, 프로덕션 API를 호출할 수 있는 AI 에이전트는 새로운 특권 ID입니다. 에이전트에게 범위가 좁게 제한된 전용 자격 증명을 부여하고, 민감한 작업에는 사람의 승인 단계를 유지하며, 에이전트의 활동을 기록하십시오.

팁: “오늘 밤 이 엔지니어의 노트북이 완전히 침해된다면, 누군가 알아차리기 전에 공격자는 무엇을 할 수 있을까?”라는 하나의 질문으로 모의 훈련(테이블탑 훈련)을 해 보십시오. 그 답을 통해 승인 경로가 단일 기기에 의존하는 지점을 파악할 수 있습니다.

앞으로 주목할 점

Binance의 사후 분석 보고서는 노트북 가설을 확인하거나 수정하고, 서명이 어떻게 확보되었는지 설명하며, 어떤 통제가 우회되었는지 보여 줄 것입니다. 그때까지는 근본 원인을 예비 단계로 취급하십시오. 위의 방어 교훈은 최종 세부 사항에 좌우되지 않습니다. 정확한 경로가 무엇이든, 공격자는 민감한 작업을 승인할 수 있는 시스템에 도달했습니다.

LOGIQ가 도울 수 있는 일

LOGIQ는 조직이 Linux 서버, 클라우드 환경, CI/CD 파이프라인 전반의 특권 접근을 검토하고, 팀이 실제로 일하는 방식에 맞는 승인 및 모니터링 통제를 설계하도록 지원합니다. 자사 환경에서 누가, 그리고 무엇이 권한을 가지고 작업을 수행할 수 있는지 다시 한번 점검하고 싶으시다면 문의해 주십시오.

출처