노트북 한 대가 기록적인 절도 사건의 정문이 되었다
약 20분 만에 Binance에서 추산 63억 달러가 사라졌으며, 이는 암호화폐 역사상 최대 규모의 절도 사건으로 기록되었습니다. 이전 기록보다 약 4배 더 큰 이 엄청난 금액은 수많은 무단 거래를 통해 여러 블록체인을 가로질러 이동했습니다. 이러한 규모는 단순한 기회주의적 해킹이 아니라 깊은 접근 권한을 가진 공격자가 있었음을 시사합니다.
조사관들은 이번 침해가 엔지니어의 노트북 한 대가 손상되면서 시작된 것으로 의심하고 있으며, 이는 대규모 절도 사건의 시작점으로는 매우 사소해 보입니다. 이 초기 거점은 Binance의 내부 인프라로 진입하는 경로를 제공했으며, 공격자는 private keys를 직접 노출하지 않고도 서명 시스템을 조작할 수 있었습니다. 이 차이는 매우 중요합니다. 키는 각자의 기기에서 안전하게 유지되었지만, 이를 사용하도록 승인된 시스템이 손상된 것입니다.
Binance는 DevOps 머신 침해와 함께 "추가적인 침해 지점"이 있었다고 설명하며, 복잡한 다단계 공격임을 시사했습니다. 포렌식 보고서는 아직 대기 중이지만, 보고된 조사 결과에 따르면 공격자는 Binance의 자체 시스템을 강제로 조작하여 임의의 거래에 서명하게 했습니다. 이를 통해 핫 월렛을 신속하게 비울 수 있었으며, 이는 내부 운영 통제에 대한 정교한 악용 사례를 보여줍니다.
키는 제자리에 있었을지 몰라도, 서명 시스템은 그렇지 않았다
Binance는 고객 출금을 위해 공유 핫 월렛을 사용하는데, 이는 거래소의 표준 관행입니다. 각 전송에는 private key 서명이 필요하지만, Binance는 키가 유출되었다는 증거를 찾지 못했습니다. 이 차이는 결정적입니다. 공격자는 키를 훔친 것이 아니라, Binance의 자체 시스템을 강제로 조작하여 불법 거래에 서명하게 만든 것입니다.
한 보안 업체는 공격자에게 전송을 서명한 11개의 서로 다른 키를 추적했으며, 이는 단일 키 유출이 아닌 시스템적 침해임을 나타냅니다. 이는 단순한 자격 증명 도용보다 훨씬 더 교활한 공격 벡터를 시사합니다. 공격자는 Binance의 내부 인프라를 조작하여 일반적인 안전장치를 우회한 것으로 보입니다.
공격자들은 내부 서비스나 컨테이너를 손상시켜 Binance의 신뢰받는 서명 시스템을 자신도 모르게 공범으로 만든 것으로 보입니다. 그들은 Binance의 자체 시스템으로부터 유효한 서명을 요청할 수 있었고, 이를 통해 임의의 거래를 승인할 수 있었습니다. 결과적으로 그들은 private keys를 직접 소유하지 않고도 핫 월렛을 "싹쓸이"하여 자금을 빼낼 수 있었습니다.
Ethereum에서 공격자는 트랜잭션 nonce를 악용하기 위해 50개의 사전 서명된 승인 노트를 준비했습니다. 핫 월렛이 고객 출금을 활발히 처리하고 있었기 때문에, 카운터 불일치로 인해 49번의 시도는 실패했습니다. 그러나 한 번의 시도가 정확한 순서와 일치하여 월렛을 단 1 ETH만 남기고 모두 비워버렸습니다. 서명 프로세스에 대한 이러한 정교한 악용은 시스템 자체에 대한 심각한 신뢰 붕괴를 보여줍니다.
50번의 시도, 하나의 nonce, 그리고 1 ETH만 남은 월렛
공격자들은 움직이는 표적을 상대해야 했습니다. 각 Ethereum 트랜잭션은 트랜잭션 카운터 역할을 하는 순차적 값인 nonce를 포함합니다. 핫 월렛이 여전히 고객 출금을 처리 중이었기 때문에 nonce는 지속적으로 변경되었고, 예상되는 nonce 값이 맞지 않으면 사전 서명된 승인은 무효가 되었습니다.
그들이 사용한 것으로 보고된 전술은 무차별 대입의 우아함이었습니다. 50개의 사전 서명된 승인을 준비하는 것입니다. 이 중 49번의 시도는 카운터가 진행됨에 따라 정확한 nonce를 맞추지 못한 것으로 보고되었습니다. 그러나 하나가 정확히 일치하여 월렛을 비우는 "싹쓸이"가 가능해졌고, 결국 1 ETH만 남게 되었습니다.
이 정교한 공격은 externally owned accounts가 일시적으로 스마트 컨트랙트와 유사한 동작을 위임할 수 있도록 허용하는 제안인 EIP-7702를 활용한 것으로 알려졌습니다. 이러한 위임은 핫 월렛 주소에서 직접 프로그래밍 방식의 스윕(sweep)과 같은 복잡한 작업을 가능하게 하여 표준 다중 서명 제어를 우회할 수 있습니다. 이러한 기능은 왜 강력한 트랜잭션 검증과 엄격한 내부 통제가 중요한지를 잘 보여줍니다. 침해 사고에 대한 자세한 내용은 Binance Links $6.3 Billion Crypto Theft to Compromised DevOps Laptop을 참조하십시오.
이 글이 마음에 드셨나요? 매일 아침 이런 글을 메일로 받아보세요.
하루 한 통 · 두 번의 클릭으로 구독 취소 · 제3자 추적 없음
수십억 달러를 동결했음에도 모든 코인을 회수할 수는 없었습니다
그 후 동결 조치가 이어졌습니다. 약 27억~30억 달러 규모의 중앙화된 토큰이 접근 불가능해진 것으로 보고되었습니다. Tether와 Circle과 같은 발행사는 도난당한 자산을 신속하게 블랙리스트에 올려 각각 15억 달러 이상의 USDT와 8억 달러의 USDC를 동결했습니다. Ripple과 Arbitrum의 보안 위원회 또한 나머지 스테이블코인 잔액을 동결함으로써 이러한 자산이 가진 내재적 중앙화 및 개입 가능성을 입증했습니다.
그러나 나머지 24억 달러는 훨씬 더 찾기 어려웠습니다. ETH 및 BTC와 같이 탈중앙화된 기본 레이어로 변환 및 브릿지된 자산은 단일 주체의 동결 명령이 닿지 않는 곳으로 넘어갔습니다. 이러한 극명한 차이는 암호화폐의 지속적인 트레이드오프를 강조합니다. 중앙화된 토큰은 복구 옵션을 제공하는 반면, 탈중앙화된 자산은 검열 저항성을 유지합니다.
추적 업체들은 이 정교한 공격의 배후로 북한과 연계된 행위자들을 신속하게 지목했습니다. Binance는 자체 자금으로 모든 손실을 보전하고, 영향을 받은 서비스를 일시 중단하며, 포괄적인 기술적 사후 분석을 약속했습니다. 이번 사건은 중요한 역설을 강조합니다. 일부 암호화폐 자산은 변경 불가능한 탈중앙화를 약속하지만, 이를 보호하는 인프라는 여전히 고도로 조직화된 국가 지원 위협의 매력적인 표적으로 남아 있다는 점입니다.
자주 묻는 질문
Binance 해킹은 어떻게 이루어진 것으로 알려져 있나요?
조사관들은 공격자가 지갑 개인 키를 직접 탈취하는 대신, 내부 시스템을 침해하고 Binance의 승인된 서명 인프라를 사용하여 악의적인 전송을 승인했을 가능성이 있다고 말합니다.
공격자는 왜 50개의 서명된 승인서를 준비했나요?
지갑의 트랜잭션 카운터인 nonce는 출금을 처리할 때마다 계속 변경되었습니다. 공격자는 카운터의 정확한 값과 일치시키기 위해 여러 번의 시도를 준비한 것으로 알려졌습니다.
왜 일부 도난당한 암호화폐는 동결할 수 있었지만 전부는 아니었나요?
중앙화된 토큰 발행사는 스테이블코인과 같은 일부 자산을 블랙리스트에 올릴 수 있습니다. ETH나 BTC와 같은 네이티브 자산은 이를 동결할 수 있는 동일한 권한을 가진 단일 발행자가 없습니다.
Binance가 사용자 자금을 보상하겠다고 밝혔나요?
Binance는 조사를 진행하고 영향을 받은 서비스를 복구하는 동안 SAFU 펀드를 포함한 자체 자금으로 손실을 보전할 것이라고 밝혔습니다.