Executive Summary

세계에서 가장 큰 가상자산 거래소가 하룻밤 사이에 8조 원대를 잃었다는 소식이다. 열 개 블록체인에 흩어져 있던 바이낸스(Binance) 자산이 동시에 공격자 주소로 옮겨졌고, 블록체인 분석업체 TRM Labs는 피해액을 약 63억 6천만 달러로 추산했다. 가상자산 역사상 가장 큰 탈취다. 이 글은 그 돈이 어떤 경로로 빠져나갔고 범인을 북한으로 지목한 근거가 무엇인지를 본다.

더 눈에 띄는 대목은 범인을 좁힌 속도다. 공격이 끝나고 하루도 안 돼 체이널리시스·TRM Labs·엘립틱이 북한 해킹 조직 트레이더트레이터(TraderTraitor)를 지목했는데, 근거는 내부 제보나 압수한 서버가 아니라 블록체인에 그대로 남은 거래 기록이었다. 탈취 자금이 한 달 전 비트겟 해킹에서 나온 자금과 같은 지갑 체계에서 섞이는 흐름이 보였고, 비트겟 건은 이미 같은 조직의 소행으로 분류돼 있었다. 다만 훔친 돈을 옮겨 현금으로 바꾸는 움직임이 이 조직치고는 평소보다 느리다는 신중론도 함께 나왔다.

6절까지는 바이낸스의 공식 발표, 블록체인 분석업체들이 공개한 보고서, 그리고 그 내용을 전한 국내외 보도를 따라간다. 이 사건을 데이터를 맡은 쪽의 질문으로 옮긴 7절은 이 글의 해석이다.

주요 수치

출처: TRM Labs·Elliptic 분석과 이를 전한 TechCrunch 보도.

63.6억 달러

바이낸스에서 빠져나간 금액

한화 8조 4천억 원대다. 지난해 바이비트 해킹(약 15억 달러)의 네 배가 넘는다

17분

자금 대부분이 빠져나간 시간

열 개 블록체인에서 거의 동시에 진행됐다. 길게 잡아도 20분 안쪽이다

37분

테더가 첫 지갑을 묶기까지

공격자가 자금을 옮긴 뒤 걸린 시간이다. 1억 1,800만 USDT가 첫 대상이었다

89%

올해 해킹 피해액 중 북한 연계 추정 비율

체이널리시스 추산이다. 공격 한 건당 평균 피해액도 다섯 해 사이 세 배 넘게 늘었다

1

열 개 블록체인에서 한꺼번에 빠져나갔다

2026년 10월 29일 20시 5분(세계표준시), 한국시간으로는 30일 새벽 5시 5분쯤 바이낸스 지갑의 자산이 공격자가 통제하는 주소로 옮겨지기 시작했다. 이더리움, 비트코인, 트론, 솔라나, XRP 레저를 포함한 열 개 블록체인이 대상이었고, 돈 대부분은 17분에서 20분 사이에 빠져나갔다. 거래소 한 곳의 자산이 서로 다른 열 개 장부에서 같은 시각에 움직였다는 뜻이다.

규모를 보면 이 사건이 왜 역사상 최대로 기록됐는지가 드러난다. TRM Labs가 추산한 피해액은 약 63억 6천만 달러로, 한화로는 8조 4천억 원을 넘는다. 직전까지 최대 규모였던 2025년 2월 바이비트 해킹이 약 15억 달러였으니 단숨에 네 배를 넘겼다. 거래소 한 곳에서 하루 만에 빠져나간 돈으로는 전례가 없다.

아래 표는 공개된 자료로 확인되는 시점들을 모은 것이다. 분 단위까지 적힌 것은 블록체인에 거래 시각이 남기 때문이고, 동결 시각은 엘립틱이 체인 기록을 되짚어 계산한 값이다.

시점 무슨 일이 있었나
공격 약 36시간 전 공격자가 믹서 토네이도캐시에서 소액을 빼내 공격용 지갑을 미리 충전
10월 29일 20:05 (UTC) 바이낸스 지갑에서 공격자 주소로 자금 이동 시작
이후 17~20분 열 개 블록체인에서 자금 대부분 유출 완료
자금 이동 후 37분 테더가 첫 공격자 지갑(1억 1,800만 USDT)을 동결
10월 30일 07:46 (한국시간) 업비트가 바이낸스 출금 주의 공지. 빗썸·코인원도 같은 날 아침 유사 공지
10월 30일 TRM Labs·체이널리시스·엘립틱이 북한 연계 조직을 배후로 지목
10월 31일 기준 업계 공조로 28억~30억 달러 동결, 나머지 33억 달러가량은 미동결 추정

출처: TRM Labs·Elliptic 분석, CoinDesk·이투데이 보도. 동결 규모는 집계 시점에 따라 달라진다.

2

열쇠는 새지 않았는데 문이 열렸다

거래소가 털렸다고 하면 보통 개인키가 떠오른다. 가상자산의 소유권은 개인키라는 비밀값으로 증명되고, 그 값을 쥔 쪽이 자산을 옮길 수 있기 때문이다. 그런데 바이낸스가 1차 조사에서 내놓은 설명은 개인키 유출이 아니었다. 데브옵스 엔지니어 한 명의 노트북이 탈취됐고, 공격자가 그 노트북을 발판 삼아 서비스 컨테이너에 접근해 승인되지 않은 출금 거래를 제출할 수 있었다는 것이다.

차이가 중요하다. 개인키가 새면 공격자가 직접 서명을 만든다. 이번에는 공격자가 서명을 만들 필요가 없었다. 거래소 내부에서 출금 요청을 받아 유효한 서명을 붙여 내보내는 경로를 장악했기 때문에, 블록체인 쪽에서 보면 바이낸스가 스스로 보낸 정상 거래와 구별되지 않는 출금이 쏟아진 셈이다. 자물쇠를 부순 것이 아니라 열쇠를 쥔 직원에게 명령을 내리는 자리에 올라선 쪽에 가깝다.

바이낸스가 밝힌 1차 조사 결과의 침해 경로 엔지니어 노트북 탈취 서비스 컨테이너 접근 획득 출금 요청 제출 유효한 서명이 붙은 출금 이 경로 어디에도 개인키 유출 단계가 없다 블록체인 쪽에서 보면 거래소가 스스로 보낸 출금과 모양이 같다 바이낸스는 이후 단독범의 소행이 아닌 복합적 공격이라고 설명을 정정했다
▲ 페블러스 원본 도식 | 출처: 바이낸스 1차 조사 발표와 이를 전한 SecurityWeek·CNBC 보도

이 설명은 하루 만에 한 번 바뀌었다. 공동 CEO 리처드 텅은 단독범의 소행이 아니며 노트북 탈취는 초기 단서일 뿐이라고 밝히면서, 추가 조사에서 더 넓은 범위의 침해가 드러났다고 정정했다. 회사가 쓴 표현은 복합적 공격이었다. 지금 공개된 것은 첫 조사의 요약이고, 더 상세한 기술 보고서는 나중에 내겠다고 예고한 상태다.

공격 준비는 그보다 훨씬 앞서 있었다. 공격자는 자금 출처를 가리는 믹서 토네이도캐시에서 소액을 인출해 공격에 쓸 지갑을 미리 채워 두었고, 그 작업은 늦어도 36시간 전에 끝나 있었다. TRM Labs는 믹서로 조달한 자금으로 운영 지갑을 미리 만들어 두고 서명을 모아 두었다가 한 번에 쏟아 내는 이 방식이 바이비트 해킹, 그리고 2026년 4월 켈프다오(KelpDAO) 해킹과 같은 틀이라고 봤다.

닮은 사건이 한 달 전에도 있었다. 2026년 9월 24일 거래소 비트겟(Bitget)에서 3억 5,160만 달러어치가 핫월렛과 웜월렛을 통해 빠져나갔다고 TRM Labs는 집계했다. 이때도 개인키는 유출되지 않았다. 비트겟 설명으로는 공격자가 지갑 백엔드 시스템을 장악해 전송 정보를 바꿔치기한 뒤 거래소의 승인·서명 절차를 그대로 통과시켰다. 서명이 나오는 길목을 쥐었다는 점에서 이번 바이낸스에서 벌어진 일과 틀이 같다.

정리하면 바이낸스와 비트겟 두 건 모두 암호 기술이 깨진 사고가 아니라 접근 권한이 뚫린 사고다. 암호를 더 튼튼하게 만드는 일과 누가 어느 시스템에 닿을 수 있는지를 관리하는 일은 서로 다른 일이고, 이번에 무너진 쪽은 뒤쪽이다.

3

무엇을 보고 북한을 지목했나

공격 자체는 거의 완벽했는데 그다음이 달랐다. 돈이 빠져나간 지 24시간이 되기 전에 블록체인 분석업체 세 곳이 각각 북한 연계 조직을 배후로 지목했다. 전통 금융에서 벌어진 사고였다면 자금 흐름을 확인하는 데만 여러 나라의 영장과 몇 달의 시간이 들었을 일이다.

속도의 이유는 수사력이 아니라 데이터의 성질에 있다. 블록체인은 설계상 모든 거래가 공개되고, 한 번 기록되면 지워지지 않으며, 시간순으로 이어 붙는다. 어느 주소에서 어느 주소로 얼마가 언제 갔는지가 누구에게나 열려 있는 장부에 남는다는 뜻이다. 분석업체들은 그 장부 위에서 주소를 꼭짓점으로, 거래를 선으로 놓고 그래프를 그린다. 과거 사건에서 북한 연계로 분류해 둔 주소 뭉치가 이미 그 그래프 안에 있었다.

결정적인 장면은 체이널리시스가 짚었다. 바이낸스에서 나온 자금이, 한 달 전인 2026년 9월 비트겟(Bitget) 해킹에서 나온 자금과 온체인에서 실시간으로 섞이고 있었다. 체이널리시스는 비트겟 건을 이미 트레이더트레이터의 소행으로 분류해 둔 상태였다. 두 사건의 돈이 같은 지갑 체계로 흘러들어 한데 섞였다는 사실 자체가 동일범을 가리키는 증거가 됐다.

두 사건의 돈이 한자리에서 만났다 2026년 9월 비트겟 탈취 자금 이미 북한 연계로 분류돼 있던 주소 2026년 10월 바이낸스 탈취 자금 신원 미상의 새 주소에서 출발 같은 지갑 체계에서 실시간으로 섞임 동일범 증거 공개 장부에 남은 거래 기록만으로 하루 안에 그려진 그림이다
▲ 페블러스 원본 도식 | 출처: 체이널리시스 분석을 전한 The Defiant 보도

나머지 두 곳도 같은 곳을 가리켰다. TRM Labs는 온체인 기록과 체인 밖 정보를 함께 놓고 공격을 트레이더트레이터의 소행으로 결론 내리면서 확신 수준이 높다고 적었다. 트레이더트레이터는 미국 재무부가 지목한 라자루스 그룹 산하의 정예 조직으로 알려져 있다. 미국 연방수사국이 2025년 2월 바이비트 사건의 배후로 공식 지목하면서 쓴 호칭이기도 하다. 엘립틱도 자체 분석으로 같은 조직일 가능성이 높다고 봤다. 독립 블록체인 수사관으로 알려진 ZachXBT 역시 라자루스일 가능성이 높다는 견해를 냈다.

다만 모두가 같은 확신을 보인 것은 아니다. CoinDesk는 이 조직의 평소 행태에 비하면 자금을 옮기고 현금화하는 속도가 느리다는 지적을 함께 전했다. 귀속은 증거의 무게를 재는 판단이고, 분석업체들이 쓴 표현도 확신 수준이나 가능성이라는 말이었다. 법정에서 확정된 사실과는 층위가 다르다.

배경 수치도 이 결론을 받쳐 준다. 체이널리시스는 2026년 가상자산 해킹 피해액의 약 89%가 북한 연계로 추정된다고 집계했다. 북한 연계 공격 한 건당 평균 피해액은 2021년 5,065만 달러에서 2026년 1억 8,565만 달러로 올랐다. 공격 횟수보다 한 번에 가져가는 규모가 커졌다는 뜻이다.

4

돈을 멈출 수 있는 쪽은 따로 있다

추적이 빠르면 대응도 빨라진다. 다만 공격자 지갑에 든 돈을 실제로 멈춰 세운 쪽은 거래소가 아니라 스테이블코인 발행사였다. 테더와 서클은 공격자 지갑을 실시간으로 따라가며 자산을 묶었다. 엘립틱 분석에 따르면 테더는 공격자가 자금을 옮긴 지 약 37분 만에 첫 지갑에 든 1억 1,800만 USDT를 동결했고, 그 첫 동결에서 다시 17분 사이에 네 개 주소를 추가로 묶었다. 뒤쪽 17분은 돈이 빠져나간 17분과 다른 구간이다.

이것이 가능한 이유는 스테이블코인의 구조에 있다. USDT나 USDC는 발행사가 장부를 운영하는 자산이라, 발행사가 특정 주소를 묶으면 그 주소에 든 코인은 움직이지 않는다. 비트코인이나 이더에는 그런 장치가 없다. 공격자가 여러 블록체인에 자금을 흩었어도, 그중 스테이블코인으로 들고 있던 몫은 발행사의 결정 한 번으로 묶인 셈이다.

바이낸스 창업자 자오창펑(CZ)은 테더가 약 9억 7,100만 달러, 서클이 약 8억 2,300만 달러를 신속히 동결한 데 감사를 표했다. 그는 더 이상 바이낸스닷컴을 경영하지 않지만 주주로서 전액 보상을 기대한다고도 덧붙였다. 10월 31일 기준 업계 공조로 묶인 금액은 28억~30억 달러로 집계됐고, 나머지 33억 달러가량은 아직 묶이지 않은 것으로 추정된다.

바이낸스 창업자 자오창펑(CZ)이 발언하는 모습
▲ 2022년 베트남 NFT 서밋 무렵의 자오창펑 | 사진: Aevozer, Wikimedia Commons (CC BY-SA 4.0)
구분 금액 비고
테더 동결 약 9억 7,100만 달러 첫 동결은 자금 이동 37분 뒤
서클 동결 약 8억 2,300만 달러 자오창펑이 공개 감사를 표한 두 곳 중 하나
업계 전체 동결 (10월 31일 기준) 28억~30억 달러 두 발행사 외 다른 사업자의 조치를 포함한 추산
미동결 추정 약 33억 달러 동결 장치가 없는 자산이 여기 포함된다

출처: Elliptic 분석과 TechCrunch·CBS News 보도. 동결 금액은 집계 시점과 기관에 따라 달라진다.

바이낸스 쪽 대응도 같은 날 이어졌다. 공동 CEO 이허는 보안 문제를 조사 중이며 사용자 자금은 안전하다고 밝혔고, 피해액은 전액 회사 자금으로 보상하겠다고 했다. 보안 점검과 자금 동결, 수사기관 공조를 위해 입출금을 일시 중단했다가 48시간 안에 출금을 재개하겠다는 계획도 함께 내놨다.

주목할 것은 그가 책임을 인정한 방식이다. SBS 보도가 전한 발언은 이렇게 옮겨졌다.

저희가 잘못한 부분이 많이 있습니다. 보안에 더 일찍, 더 많이 투자하고, 더욱 엄격한 기준을 세웠어야 했습니다.

이허, 바이낸스 공동 CEO. SBS 보도가 전한 한국어 번역이다.

시장점유율 40% 안팎으로 세계 1위를 지켜 온 거래소가 보안 투자 부족을 스스로 인정한 발언이다. 업계에서 가장 많은 돈과 인력을 쓸 수 있는 회사도 이 자리에서는 부족했다는 뜻이기도 하다.

5

한국 거래소는 왜 출금 주의를 띄웠나

한국시간 10월 30일 아침, 국내 거래소들이 잇따라 공지를 띄웠다. 업비트가 07시 46분에 바이낸스 보안 사고로 디지털 자산 일부가 탈취된 정황을 확인했다며 바이낸스로 출금할 때 각별히 유의하라고 알렸고, 빗썸과 코인원도 8시 무렵 비슷한 내용을 냈다. 세 곳 모두 필요하면 바이낸스행 출금을 제한할 수 있다는 점, 법적 절차에 따라 자산 동결에 협조할 수 있다는 점을 함께 적었다.

여기서 분명히 해 둘 것이 있다. 이 공지는 국내 거래소가 뚫렸다는 뜻이 아니다. 업비트·빗썸 등 국내 거래소 고객 자산이 직접 탈취된 정황은 확인되지 않았다. 공지의 목적은 두 가지 간접 위험이다. 하나는 사고 수습 기간에 바이낸스로 보낸 자산이 묶이거나 지연될 수 있다는 것, 다른 하나는 이런 사건 뒤에 늘 따라붙는 가짜 보상 신청 사이트가 개인 지갑 정보를 노린다는 것이다.

  • • 국내 고객 자산의 직접 피해는 확인되지 않았다. 공지는 바이낸스로 나가는 출금에 대한 주의 안내이고, 국내 거래소 자체의 침해를 알린 것이 아니다
  • • 간접 영향은 가격 쪽에서 먼저 왔다. 사고 직후 주요 코인 가격이 흔들리면서 국내 투자자도 평가손실을 겪었다
  • • 가짜 보상 신청 사이트를 조심해야 한다. 전액 보상 발표가 나오자마자 이를 흉내 낸 피싱이 돌 수 있다. 보상 안내는 거래소 공식 채널에서만 확인하는 편이 안전하다

당국의 움직임도 같은 주에 있었다. 금융위원회는 이 사건 하루 전인 10월 28일, 빗썸을 비롯한 주요 가상자산사업자의 해킹 사고와 관련해 금융감독원·금융보안원과 긴급 점검회의를 열고 현장조사에 들어갔다. 바이낸스 사고 이전에 잡힌 일정이지만, 그 직후 세계 1위 거래소가 뚫리면서 점검의 무게가 달라졌다. 금융위는 전자금융거래법이 적용되지 않는 가상자산업권에도 은행 수준의 보안조치를 의무화하는 방향을 추진하겠다는 방침을 밝혔다.

국내 업계가 이 사건을 민감하게 받아들이는 데는 기억도 한몫한다. 지난해 11월 27일 업비트에서 솔라나 계열 자산 24종 약 445억 원어치가 지정하지 않은 지갑으로 빠져나갔고, 북한 해킹조직 라자루스가 유력한 배후로 지목됐다. 2019년에 이더리움 34만여 개 약 580억 원어치를 잃은 것도 같은 11월 27일이었다. 보안 전문 매체 보안뉴스는 이를 6년 만에 재현된 사고라고 적었다.

그때와 이번을 가르는 대목은 회수다. 업비트 사고에서는 해커가 탈취 자산을 모두 솔라나로 바꿔 놓은 것으로 추적됐고, 사고 직후 집계로 업비트가 동결을 마친 자산은 445억 원어치 가운데 23억 원어치였다. 솔라나에는 4절에서 본 스테이블코인 발행사의 동결 장치가 없다. 이번 바이낸스 건에서 묶인 28억~30억 달러 가운데 테더와 서클 몫이 17억 달러를 넘는 것과 견주면 차이가 뚜렷하다.

동결 비율은 자산의 종류에서 갈렸다 2025 업비트 (솔라나 — 동결 장치 없음) 약 5% (23억 / 445억 원) 2026 바이낸스 (스테이블코인 비중 — 동결 장치 있음) 약 44~47% (28~30억 / 63.6억 달러) 같은 추적 기술이라도 탈취 자산이 발행사가 있는 자산인지 아닌지에 따라 동결 가능 비율이 크게 달라진다
▲ 페블러스 원본 도식 | 출처: Elliptic 분석, 업비트 사고 수치는 보안뉴스 등 국내 보도 종합

거래소 한 곳의 침해가 그 거래소 고객에서 끝나지 않고 다른 거래소의 출금 정책과 감독 당국의 일정까지 흔든다는 점은 이번에도 확인된 셈이다.

6

이 사건을 읽을 때 같이 봐야 할 것

사고가 난 지 사흘째인 지금 공개된 정보는 대부분 잠정치다. 숫자를 그대로 옮기기 전에 알고 있어야 할 조건이 넷이다.

  • • 피해액은 추산이고 기관마다 다르다. 이 글에서 쓴 63억 6천만 달러는 TRM Labs 추산이고, 다른 집계는 64억 달러대로도 적는다. 원화 환산액은 환율에 따라 더 크게 흔들린다
  • • 공격 경로는 피해 당사자의 발표에 기대고 있다. 노트북과 서비스 컨테이너 이야기는 바이낸스가 내놓은 1차 조사 결과이고, 회사가 하루 만에 복합적 공격이라고 정정했다. 상세 기술 보고서는 아직 나오지 않았다
  • • 귀속은 확정이 아니라 판단이다. 세 분석업체가 같은 결론을 냈지만 표현은 확신 수준이 높다거나 가능성이 높다는 쪽이었고, 자금 세탁 속도를 근거로 한 신중론도 나왔다
  • • 동결 규모는 시점에 따라 바뀐다. 28억~30억 달러는 10월 31일 기준 집계이고, 추가 동결이나 상향 조정이 뒤따를 수 있다

출처에 대해서도 한 줄 적어 둔다. 이 글은 국내 보도 가운데 SBS 기사를 한국 쪽 사실관계의 기준으로 삼았고, 해외 수치는 TRM Labs·엘립틱의 공개 분석과 TechCrunch·CoinDesk·CNBC·CBS News 보도에서 확인했다. 지난해 업비트 사고와 9월 비트겟 사고의 수치는 보안뉴스 칼럼과 TRM Labs 분석에서 따로 확인했다. 같은 사건을 다룬 영상 자료는 제목과 내용이 SBS 기사와 일치했지만 영상 자체의 게시 정보까지는 확인하지 못해, 본문 사실관계는 기사 쪽을 따랐다.

7

페블러스가 이 사건을 주목하는 이유

이 사건에는 데이터에 관한 두 장면이 겹쳐 있다. 하나는 데이터가 범인을 드러낸 장면이고, 다른 하나는 데이터 접근 통제가 무너져 사고가 시작된 장면이다. 같은 사건의 앞뒤인데 서로 반대 방향을 가리킨다.

같은 사건, 반대 방향을 가리키는 두 장면 데이터가 드러낸 장면 공개·불변·시간순 장부 ↓ 하루 만에 범인을 좁힘 (3절) 데이터 접근이 무너뜨린 장면 엔지니어 노트북 탈취 ↓ 정상 거래와 구별 안 됨 (2절) 두 장면을 잇는 한 가지 품질 축 — 기록이 사후에 추적 가능한 모양인가
▲ 페블러스 원본 도식 — 이 글 2·3절 내용을 데이터 품질 관점으로 재구성

먼저 드러낸 쪽이다. 블록체인이 범인을 하루 만에 좁힐 수 있었던 것은 분석업체의 기술이 특별히 뛰어나서라기보다, 그 장부가 공개돼 있고 불변이고 시간순으로 이어져 있기 때문이다. 기록의 구조가 그렇게 돼 있으면 사후 재구성이 가능하다. 거꾸로 말하면 아무리 좋은 분석 도구를 들여도 기록이 끊겨 있거나 고쳐 쓸 수 있으면 같은 일을 못 한다. 데이터 품질을 이야기할 때 정확도와 결측률을 먼저 떠올리지만, 추적 가능성은 사고가 난 다음에야 값이 매겨지는 품질 항목이다.

무너진 쪽은 더 평범하다. 공격의 출발점은 암호학도 합의 알고리즘도 아니고 엔지니어 한 명의 노트북이었다. 그 노트북에서 출금을 만들어 내는 내부 경로까지 닿을 수 있었다는 것은, 어느 계정이 어느 시스템의 어디까지 닿는지가 충분히 좁혀져 있지 않았다는 뜻이다. 수조 원이 걸린 시스템에서도 무너진 자리는 가장 일상적인 접근 권한 관리였다.

그래서 이 사건이 데이터를 맡은 실무자에게 남기는 질문은 셋이다.

  • • 우리 기록은 사고가 난 뒤에 되짚을 수 있는 모양인가. 누가 언제 무엇을 바꿨는지가 남아 있고 그 기록을 나중에 고칠 수 없어야 추적이 성립한다. 블록체인이 특별한 것이 아니라 그 두 조건을 설계에 박아 둔 것뿐이다
  • • 사람이 아니라 경로를 기준으로 권한을 세어 봤는가. 이번 사고에서 문제가 된 것은 엔지니어의 권한 자체가 아니라, 그 단말에서 출금을 만들어 내는 자리까지 이어지는 경로였다. 계정 목록만 보면 이 경로는 보이지 않는다
  • • 정상과 구별되지 않는 요청을 가려낼 기준이 있는가. 유효한 서명이 붙은 출금은 형식만으로는 걸러지지 않는다. 평소와 다른 양과 속도, 평소와 다른 수취 주소처럼 데이터의 분포로 보는 기준이 따로 있어야 한다

페블러스가 AI-Ready Data를 이야기할 때 다루는 것도 결국 이 층위다. 모델이 쓰기 좋은 데이터는 스키마가 정돈된 데이터만이 아니라, 어디서 왔고 누가 손댔는지가 남아 있는 데이터다. 이번 사건은 그 이력이 남아 있을 때 무엇이 가능해지는지를 가장 극적인 규모로 보여 준 사례에 가깝다.

Editor's Note

이 사건에서 오래 남을 숫자는 63억 6천만 달러가 아니라 37분일 것 같다. 돈이 빠져나가는 데 17분이 걸렸고, 그 돈의 일부가 묶이는 데 37분이 걸렸다. 공격과 대응의 시차가 한 시간이 채 안 됐다는 뜻인데, 전통 금융에서는 상상하기 어려운 속도다. 공개 장부라는 설계가 공격자에게 유리하다고 여겨지던 시기가 길었지만, 이번에는 같은 설계가 추적하는 쪽의 무기가 됐다. 물론 그 무기로도 절반이 넘는 돈은 아직 묶지 못했다. 추적 가능성은 사고를 막아 주지 않고, 사고가 난 다음에 무엇을 할 수 있는지를 정할 뿐이다.

여기까지 읽어 주셔서 감사하다. 이 글이 기댄 1차 분석은 TRM Labs와 엘립틱이 공개한 보고서이고, 나머지 출처는 아래 참고문헌에 모아 두었다. 바이낸스가 예고한 상세 기술 보고서가 나오면 공격 경로 부분을 다시 다룰 생각이다. 사내에서 데이터 접근 경로를 어떤 방식으로 점검하고 계신지 나눠 주시면 좋겠다.

(주)페블러스 데이터 커뮤니케이션팀
2026년 10월 31일

R

참고문헌

1차 분석 보고서

해외 보도

국내 보도