바이낸스 해킹 원인이 초보적인 실수 때문인가? 공격 과정 복기로 커뮤니티에서 양극단 논쟁 촉발

바이낸스가 앞서 해킹 사건에 대한 공식 사후 분석을 발표하며 공격 경로, 손실 세부 내역 및 타임라인을 공개했다. 약 63억 4천만 달러 규모의 해킹 사건의 공격 체인은 약 4~5개월에 걸쳐 진행되었으며, 6월에 지갑 운영 엔지니어가 AI 프로그래밍 도구를 검색하다가 변조된 Homebrew 설치 패키지를 다운로드했고, 9월에는 또 다른 엔지니어가 채용 플랫폼에서 가짜 면접 초대를 받고 단말 보호를 우회하여 '과제' 파일을 다운로드하다가 감염되었다. 해커는 이후 내부 AI 도구를 통해 횡적 이동을 하여 컨테이너 배포 토큰을 확보하고 최종적으로 지갑 서명 서비스에 접근했다.

사후 분석이 나오자 암호화폐 커뮤니티는 빠르게 두 파로 나뉘었다. 한쪽은 바이낸스가 보안 아키텍처, 키 관리 또는 비상 대응에서 명백한 실수를 저질렀으며 회피 가능한 직무 태만에 해당한다고 본다. 다른 쪽은 고도로 복잡한 APT, 공급망 오염 및 사회공학 공격에 직면하여 이러한 사건은 본질적으로 방지하기 어려우며 책임은 플랫폼보다 공격자에게 더 있다고 강조한다.

슬로우미스트 창립자 위셴의 입장은 '방지 불가'에 더 가깝다. 그는 바이낸스가 공개한 해킹 과정은 고도 지속적 위협(APT) 공격으로, 단순히 엔지니어의 조작 실수나 과도한 권한으로만 이해할 수 없다고 밝혔다. 이러한 공격은 정보 정찰, 사회공학, 악성 코드 탐지 회피, 신뢰 체인 악용, 횡적 오염, 클라우드 환경 침투 및 리스크 통제 우회 등 여러 단계를 연결할 수 있으며, 제로데이 취약점을 교차 활용할 수도 있다. 최초의 사회공학은 공격 체인의 한 고리일 뿐이며, 단순해 보이는 수법도 특정 환경에서는 심각한 결과를 초래할 수 있다.

코인엑스 창립자 양하이포는 세 가지 '회피 가능했던' 기술적 비판을 제시했다:

첫째, 프로덕션 환경 미격리: 프로덕션 권한을 가진 기기는 제3자 소프트웨어, 채팅 도구를 설치해서는 안 되며, 인터넷 검색 및 면접 과제 다운로드에 사용해서도 안 되고 전용 프로덕션 기기여야 한다. 개발과 운영 환경이 엄격히 분리되지 않으면 공격 진입점이 된다.

둘째, 운영 스택에 의미 있는 2FA 부재: 단일 키로 핵심 작업을 완료할 수 있다면 실질적인 두 번째 관문이 없는 것이나 마찬가지이며, 하드웨어 키, Session Manager 등 강제 세션 통제가 더 안전한 방법이다.

셋째, MPC 다중 서명이 '유명무실': 명목상 다자 서명이 있지만 서명자가 원래 거래 의도를 독립적으로 검증할 수 없다면 하나의 노드가 뚫릴 경우 전체 메커니즘이 붕괴될 수 있다. 그의 견해로는 바이낸스가 환경 격리, 권한 최소화 및 독립 검증을 철저히 했다면 이러한 공격 진입점은 크게 축소될 수 있었을 것이다.

OKX CEO Star는 '다층 심층 방어가 명실상부한가'라는 관점에서 접근하며, 플랫폼 책임을 희석하고 전통 은행의 안전성을 폄하하여 자신의 실수를 변호하려 한다고 보았다. Star는 바이낸스가 '단 2%의 자금만 유출되었다'고 반복 강조하지만 이 수치는 플랫폼 보안 우려에 답하지 못한다고 지적했으며, 바이낸스가 위기 기간에 마케팅 활동을 통해 신규 예금을 유치한 점에 의문을 제기하고, 암호화폐 플랫폼과 전통 은행이 직면한 위협, 공격 표면 및 잠재적 결과가 다르므로 이러한 배경을 떠나 양자의 안전성을 비교하는 것은 오해를 불러일으킨다고 지적했다. Star는 이 사건이 전통 자본 시장, 기관 투자자 및 규제 기관의 눈에 암호화폐 업계의 신뢰를 훼손할 수 있으며, 바이낸스가 주장하는 '다층 보안 방어'에도 의문을 제기한다고 보았다.

보안 감사관 pashov는 Binance 개발자들이 공격자의 진입로를 막을 수 있었으며, 플랫폼의 실무 규율이 개선될 필요가 있다고 본다. 그는 지적했다. Mac에 어떤 소프트웨어를 설치하든 반드시 공식 소스에서 다운로드하고 출처를 여러 번 확인해야 하며, 업무용 컴퓨터는 절대 면접에 사용해서는 안 되고, 면접 코드를 반드시 실행해야 한다면 샌드박스 환경에서 실행해야지 프로덕션 권한이 있는 기기에서 직접 실행해서는 안 된다. 단순하고 지루한 규율도 엄격히 시행되면 공격 성공률을 크게 낮출 수 있다.

암호화폐 투자자 blanker는 Binance 사후 분석을 보고도 여전히 "정말 너무 허술하다"고 느꼈다. 전 직원 필수 배스천 호스트, 동적 MFA, 자리 비울 때 반드시 화면 잠금은 거래 플랫폼의 기본 사양이어야 하며, Binance의 기본 보안 위생은 더 엄격해질 수 있었고 이번 사건은 방비하기 어려운 것이 아니었다.

전 PayPal 사장 David Marcus는 Binance 공격 사건이 운영 보안 문제이지 암호학이나 체인 자체의 실패가 아니며, 플랫폼 정산 속도가 빨라진 후 기존 보안 모델이 현재 요구를 따라가지 못한다고 본다.

Dragonfly 파트너 Haseeb Qureshi는 암호화폐 플랫폼 인프라 설계가 기본적으로 "공격당할 것"을 전제해야 한다고 보며, 24시간 AI 모니터링과 진정한 "원클릭 셧다운" 비상 스위치를 갖추어 사건 발생 시 당황하지 않도록 해야 한다고 말한다.

Telaga Charity 창립자 ashen은 여러 의문점을 나열했다: 엔지니어가 업무용 컴퓨터로 구직 면접에 참석했다는 것, 거래 플랫폼 키와 권한에 접근 가능한 기기에 소프트웨어를 마음대로 설치했다는 것, 공격이 AI로 직접 뚫린 것이 아니라는 것, 가상 머신 격리가 보이지 않는다는 것, 그리고 "차라리 AI로 사람을 바꿔 사회공학 공격을 줄이는 게 낫겠다"고 농담했다. 그는 감염된 컴퓨터 한 대가 수십억 달러의 핫월렛을 흔들 수 있다는 것은 권한 격리와 기기 통제 자체에 결함이 있음을 보여주며, 왜 하드웨어 키, 전용 기기 또는 복사를 금지한 원격 가상 머신이 없었는지 경각심을 가져야 한다고 본다.

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia