바이낸스, 48시간도 채 안 돼 120만 달러 규모의 거버넌스 공격 저지

바이낸스, 투표 전 제안서 적발

암호화폐 거래소 바이낸스는 8월 18일, 투자자들이 스마트 계약 코드 이외의 위험 요소에 대한 감시를 강화하는 가운데, 자사 보안팀이 이름이 공개되지 않은 분산형 자율 조직(DAO)을 표적으로 한 악의적인 거버넌스 제안을 탐지했다고 밝혔다. 보안 공지에 따르면, 해당 제안이 실행되었더라면 약 120만 달러 상당의 재무부 토큰이 위험에 처할 뻔했다.

바이낸스의 최고 보안 책임자(CSO) 지미 수(Jimmy Su)는 이번 대응을 암호화폐 생태계 전반에 걸친 보안의 한 사례로 설명하며 다음과 같이 말했습니다.

“이번 사례는 우리 조직의 경계를 넘어 확장되는 ‘설계 단계부터 고려된 보안(security by design)’이 어떤 모습인지 보여줍니다. 우리 팀과 시스템은 외부 보안 업체 어느 곳도 지적하지 못했던 위협을 식별하고, 생태계 사용자를 보호하기 위해 선제적으로 대응했습니다.”

실행까지 48시간도 채 남지 않은 상황에서 바이낸스는 해당 프로젝트 측에 연락을 취하고, 해당 토큰을 상장한 중앙화된 거래소들과 협력해 입금을 중단시켰습니다. 이후 프로젝트 측은 해당 제안에 반대 투표를 진행해 실행을 막았습니다. 바이낸스는 해당 프로젝트나 영향을 받은 토큰의 이름을 공개하지 않았습니다.

거버넌스 규칙이 어떻게 위험을 초래했는가

이 암호화폐 기업에 따르면, 해당 제안은 프로젝트의 온체인 거버넌스 메커니즘 내 낮은 제안 제출 장벽을 악용한 것이었습니다. DAO는 스마트 계약과 토큰 기반 투표를 통해 제안, 업그레이드, 프로토콜 설정 및 공유 자산을 관리합니다. 거버넌스 프로세스는 종종 토큰 보유자에게 투표권을 부여하여 재무 관리를 투명한 규칙 하에 두게 됩니다. 그러나 투표권이 한 곳에 집중되거나 검토 기간이 제한될 경우, 이러한 시스템은 조작에 취약해질 수 있다.

성공한 거버넌스 공격 사례는 악의적인 제안이 실행에 이르면 어떤 일이 벌어질 수 있는지 보여줍니다. BonkDAO는 지난 7월, 악의적인 제안으로 인해 자사의 트레저리에서 약 2,000만 달러 상당의 BONK 토큰이 유출되었다고 확인했습니다. BonkDAO 거버넌스 공격은 공격자가 이체를 승인할 수 있는 충분한 투표권을 축적한 후에 성공했습니다.

신속한 대응으로 추가 손실 제한

거버넌스 투표가 아닌 브리지와 관련된 사건이었지만, KelpDAO 사건은 탐지 후 신속한 대응이 어떻게 추가 손실을 제한할 수 있는지 보여줍니다. 체인애널리시스(Chainalysis)는 공격자들이 오프체인 인프라를 침해한 후 KelpDAO의 브리지에서 약 2억 9,200만 달러를 탈취했다고 보고했습니다. 이에 대한 대응으로 9,500만 달러 규모의 추가 탈취를 차단하고, 공격자와 관련된 30,766 ETH를 동결했다. 수(Su)는 이번 사건이 기존의 코드 악용에 의존하지 않고도 거버넌스 취약점이 사용자를 위험에 빠뜨릴 수 있음을 보여주었다고 말했다. “이 악의적인 제안은 플랫폼뿐만 아니라 사람을 보호하는 것의 중요성을 강조한다.” 그는 다음과 같이 덧붙였다:

“오늘날 암호화폐 분야에서 가장 큰 위험은 코드 취약점보다는 사람, 접근 권한, 행동 양식을 점점 더 표적으로 삼고 있습니다. 이번 사례에서 공격은 근본적인 거버넌스 취약점에서 비롯되었습니다.”

암호화폐 전반에 걸친 조기 경고

프로토콜 거버넌스 공격과는 다르지만, 소비자 대상 암호화폐 사기 사건에서도 조기 경보가 손실을 제한하는 데 기여했습니다. FBI의 ‘오퍼레이션 레벨 업(Operation Level Up)’은 2025년 12월까지 잠재적인 암호화폐 투자 사기 피해자 8,103명에게 경고를 전달했습니다. FBI는 이 중 77%가 사기 사실을 인지하지 못했다고 밝혔으며, 당국의 개입으로 약 5억 1,150만 달러의 손실을 막은 것으로 추산했다. 공격이 프로토콜, 거래소, 오프체인 시스템을 넘나드는 사례가 늘어나면서 바이낸스는 모니터링, 규정 준수 및 복구 운영을 확대했다. 보도에 따르면 이 거래소는 매년 약 3억 달러를 규정 준수 업무에 지출하고 있으며, 약 1,500명의 직원이 관련 업무를 담당하고 있다. 바이낸스의 사기 탐지 운영팀은 2025년부터 2026년 1분기까지 잠재적인 사기 및 비정상적인 활동을 통해 105억 3천만 달러를 차단한 것으로 알려졌다.