코인엑스 창업자 “바이낸스 해킹으로 드러난 세 가지 취약점, 완전히 예방 가능했다”

업계 베테랑들의 견해

경쟁 거래소인 코인엑스(Coinex)의 창립자는 암호화폐 역사상 최대 규모의 해킹 사건에 대해 의견을 제시하며, 바이낸스 해킹 사건이 “전적으로 피할 수 있었던 적어도 세 가지 중대한 실수”를 드러냈다고 말했다. 양 씨는 또한 이번 사건이 첨단 기술의 부족보다는 운영 규율의 실패 때문이라고 덧붙였다.

그의 발언은 바이낸스가 10월 29일 핫 월렛에서 약 63억 4천만 달러 상당의 자산을 탈취당한 해킹 사건의 여파를 수습하고 있는 시점에 나왔다. FBI는 이번 공격을 북한의 ‘트레이더트레이터(Tradertraitor)’ 그룹의 소행으로 지목했다.

세 가지 실수

양이 지적한 세 가지 실수는 다음과 같다:

• 업무용과 개인용 컴퓨팅이 분리되지 않았음: 양은 개발 및 운영 환경이 “완전히 격리되지 않았다”고 말했다. 그는 프로덕션 시스템에 접근 권한이 있는 직원들은 전용 기기를 사용했어야 했다고 주장했다(모든 코딩, 채팅, 웹 브라우징을 별도의 기기에서 처리해야 함). 이 점은 바이낸스가 최근 발표한 사후 분석 보고서에 명시된 내용과 정확히 일치한다.
• 단 하나의 인증 정보로 운영 환경을 가동할 수 있었다: 양 씨는 단 하나의 인증 정보만으로도 운영 서비스를 가동할 수 있었다고 말했는데, 이는 단 한 번의 정보 유출만으로도 공격자가 완전한 접근 권한을 얻게 된다는 것을 의미한다. 그는 아마존 웹 서비스(AWS)의 세션 매니저와 유사한 브라우저 기반 세션 매니저를 도입하고, 하드웨어 보안 키를 2단계 인증 수단으로 활용해야 한다고 제안했다. 그래야만 단 하나의 인증 정보가 유출되더라도 보안 침해로 이어지지 않을 것이라고 했다.
• 다중 서명은 명목상에 불과하다. 양 씨의 세 번째 지적은 서명 권한을 여러 당사자 간에 분산시키는 방식인 바이낸스의 다자간 연산(MPC) 설정을 겨냥한 것이었다. 그는 서명자들이 거래를 실질적으로 검증하지 않았기 때문에, 하나의 노드가 침해당하는 것이 단일 서명과 동일한 효과를 냈다고 말했다. 그는 다중 서명이 제대로 작동하려면 각 서명자가 상류에서 들어오는 요청을 무조건 신뢰하는 대신, 거래 내용을 독립적으로 확인해야 한다고 주장했다.

바이낸스의 사건 설명

바이낸스 측의 설명은 양 씨의 비판 요지를 뒷받침한다. 리처드 텡 공동 CEO는 CNBC와의 인터뷰에서 가짜 면접 이후 공격자들이 “당사의 내부 AI 도구를 맹렬히 뚫고 들어와” “지갑 거래를 승인하는 시스템”에 접근했다고 밝혔다. Bitcoin.com News가 보도한 바와 같이, 사후 분석 결과 이번 침해 사고는 가짜 채용 면접과 해킹당한 인공지능(AI) 도구와 관련이 있는 것으로 밝혀졌다.

이후 거래소는 영향을 받은 지갑 시스템을 재구축하고, 장비를 교체하며, 인증 정보를 무효화하고, 지갑 서비스의 위험 관리 체계를 강화했다. 텡은 또한 폭스 비즈니스(Fox Business)와의 인터뷰에서 “회사가 전적인 책임을 진다”고 밝히는 한편, 피해를 입은 자산의 98%가 복구되었다고 덧붙였다.

이번 해킹을 리스크 관리 실패로 규정하는 목소리는 양 씨뿐만이 아니다. 제로 지식 그룹(Zero Knowledge Group)의 설립자 오스틴 캠벨은 암호화폐 매체를 통해 “암호화폐 업계는 기술 분야 외부의 보안을 위해 설계된 적이 없다”고 말한 뒤, 10억 달러 규모의 자금 이체에 대해 24시간 보류 조치를 취할 것을 촉구했다.

직접적인 이해관계를 가진 비평가

양 씨의 비판은 이례적인 배경을 가지고 있다. 지난 9월, 그는 코인엑스(Coinex)가 2026년 12월 22일까지 출금을 허용한 채 질서 있는 폐쇄 절차를 시작할 것이라고 발표한 바 있다. 그는 당시 거래소 운영에 따른 보안 및 규정 준수 위험을 통제하기가 점점 더 어려워졌다고 말하며, “제한된 수익을 위해 무한한 위험을 감수하는 것은 더 이상 합리적인 선택이 아니다”라고 덧붙였다. 즉, 바이낸스의 실패를 분석한 이 창업자는 자신의 회사에서는 같은 위험을 감수할 가치가 없다고 판단한 것이다.

마지막으로, 양의 해결책 중 어느 것도 특이한 것은 아니라는 점을 언급할 필요가 있다. 즉, 기기 분리, 하드웨어 키, 독립적인 서명자 확인 등은 모든 주요 기업에 대한 표준적인 조언이다. 바이낸스만큼의 자원을 가진 기업이 바로 그런 허점을 통해 무너졌다는 사실이 그의 게시물을 더욱 뼈아프게 만든다.

어쨌든 대가는 막대했다. 한 분석에 따르면 바이낸스는 벌금과 해킹으로 인해 5년 치 이익의 약 절반을 잃었을 것으로 추정된다. 해커들이 훔친 자금을 12,000개의 지갑에 흩뿌린 상황에서, 다른 거래소들도 양이 방금 제기한 것과 같은 질문에 직면할 가능성이 높다. 과연 그들의 기본 체계가 제대로 갖춰져 있는가?