바이낸스 63억 달러 해킹은 어떻게 20분 만에 일어났을까?

1.1 개요

2022년 10월 6일, 암호화폐 시장을 쥐락펴락하던 세계 최대 거래소 바이낸스 생태계에서 사상 초유의 해킹 사건이 발생했다. 해커는 시스템의 허점을 정확히 파악하고 단 20분 만에 공격을 완수했다. 피해 규모는 최초 공격 시점에서 약 200만 개의 BNB(당시 가치 기준 약 5억 7,000만~6억 달러 상당)로 추산되었으나, 시장 파장과 잠재적 손실을 포함해 한때 63억 달러에 달하는 위협으로 언급되기도 했다.^{[1]초기 발표 피해액은 약 1억 달러 수준으로 알려졌으나 온체인 데이터 분석 결과 해커가 생성한 BNB의 액면가가 5억 7천만 달러를 웃돈다는 사실이 밝혀지며 시장에 충격을 주었다.} 이 사건은 블록체인 보안의 가장 취약한 고리로 지목되던 '크로스체인 브릿지'의 허점을 적나라하게 드러낸 대표적인 사례로 남아있다.

1.2 공격의 발단: 크로스체인 브릿지의 허점

공격의 표적이 된 것은 BNB 체인의 핵심 인프라 중 하나인 'BSC Token Hub'였다. 이는 서로 다른 블록체인 네트워크 간에 자산을 이동시켜 주는 일종의 '다리(Bridge)' 역할을 하는 크로스체인 브릿지다. 브릿지는 시스템 특성상 서로 다른 체인의 스마트 계약을 검증하기 위해 복잡한 암호화 알고리즘을 사용한다.

해커는 이 브릿지가 자금 이동 요청을 검증하는 방식에서致命적인 시스템적 결함을 발견했다. 자산을 실제로 보류하고 전송하는 과정에서 암호화 증명(Proof)을 검증하는 이더리움 메르클-파트리샤 트리(Merkle-Patricia Tree) 라이브러리의 코드 오류를 파악한 것이다.^{[2]메르클-파트리샤 트리는 검증 과정이 워낙 복잡하여 수많은 가상자산 프로젝트에서 오픈소스 라이브러리를 그대로 가져다 쓰는 경우가 많다. 이 사건은 잘 만들어진 표준 코드조차 맹신할 수 없음을 증명한 사례다.}

1.3 20분간의 공격 시나리오

공격은 놀라울 정도로 정교하고 신속하게 진행되었다. 해커는 기존에 정상적으로 처리된 트랜잭션을 복사한 뒤, 암호화 검증 알고리즘을 속일 수 있는 '위조된 증명(Forged Proof)'을 생성했다.

시스템은 해커가 제출한 조작된 증명을 진짜로 인식했다. 이로 인해 브릿지 스마트 계약은 실제로 존재하지 않는 자금을 해커의 계좌로 생성하여 지급하도록 명령을 내렸다. 해커는 20분이라는 찰나의 시간 동안 각각 100만 BNB에 달하는 대규모 출금 요청을 두 차례 성공시켰다.

단 20분 만에 공격이 완료될 수 있었던 이유는 해커가 사전에 모든 검증 우회 코드를 준비해 두고, 시스템이 이상 징후를 감지해 자동 차단하기 전에 순식간에 명령을 실행했기 때문이다.

1.4 사건 발생 이후의 대응과 수습

공격 발생 직후 바이낸스 측과 블록체인 보안 분석가들은 BNB 체인상에서 이상 규모의 자금이 이동하는 것을 감지했다. 바이낸스의 수장 자오창펑(CZ)은 즉시 사태 파악에 나섰고, 네트워크의 검증인(Validator)들에게 긴급히 연락을 취했다.

바이낸스는 중앙집권적 조치의 끝판왕을 보여주며 네트워크 자체를 일시 정지시키는 강수를 두었다. 26명의 핵심 검증인들과의 신속한 합동 대응을 통해 BNB 체인 전체를 멈춰 세움으로써 해커가 탈취한 자금 대부분을 네트워크 외부로 빼돌리는 것을 막아냈다.^{[3]https://www.bnbchain.org/en/blog/bnb-chain-ecosystem-update — 당시 블록체인 업계에서는 26명의 검증인에게 단 몇 시간 만에 연락을 돌려 네트워크를 멈춰 세운 바이낸스의 비상 연락망 수준에 감탄하면서도, 그 강력한 통제력에 혀를 찼다.}

결과적으로 해커가 제3의 체인으로 탈취하고 현금화하는 데 성공한 자금은 약 1억 달러 수준으로 동결되었으며, 4억 3,000만 달러 이상의 자금은 체인 정지와 함께 동결되어 해커의 손에서 벗어났다.

1.5 사건의 의의와 영향

이 사건은 탈중앙화를 표방하는 블록체인 네트워크가 역설적으로 가상자산을 지키기 위해 완전한 중앙집권적 통제(체인 셧다운)를 감행했다는 점에서 큰 논란을 낳았다. 효율적인 대응으로 초대형 파산을 막았다는 긍정적 평가와 함께, 거대 거래소가 마음만 먹으면 블록체인 전체를 멈출 수 있다는 탈중앙화의 본질적 한계를 드러냈다는 비판이 공존한다.

또한 이 사건 이후 바이낸스는 BNB 체인의 암호화 검증 라이브러리를 전면 교체하고 검증인 거버넌스를 강화하는 등 대대적인 보안 업데이트를 진행했다. 20분 만에 벌어진 이 63억 달러 규모의 위협은 크로스체인 기술의 보안적 한계와 블록체인 생태계의 비상 대응 체계에 대한 중요한 화두를 던진 사건으로 기록되어 있다.

2.1 63억 달러가 아닌 5억 7,000만 달러의 해킹 규모와 연쇄 폭락의 저지

당시 언론을 통해 '63억 달러(한화 약 9조 원) 해킹'이라는 자극적인 헤드라인이 도배되었으나, 이는 해커가 생성해 낸 무담보 코인(BNB) 200만 개의 액면가에 기반한 과장된 수치이다. 해커가 교환 시스템(Cross-Chain Bridge)의 허점을 노려 '무에서 유를 창출'하듯 코인을 위조 발행한 것은 사실이나, 암호화폐 시장의 현금 Liquidity(유동성) 한계상 63억 달러라는 거액을 20분 만에 현금화하는 것은 불가능했다. 결과적으로 해커가 실제 다른 암호화폐로 교환해 탈취하는 데 성공한 금액은 약 1억 억~5억 7,000만 달러 상당이었으며, 바이낸스가 전격적으로 체인을 동결하면서 수조 원대 자산의 유출 및 암호화폐 시장의 대폭락이라는 최악의 시나리오를 막아냈다.

2.2 메르켈 트리(Merkle Tree) 검증 알고리즘의 치명적 허점

해커가 공격한 대상은 바이낸스의 자체 블록체인 생태계인 BNB Chain의 브릿지(BSC Token Hub)였다. 해커는 시스템을 직접 붕괴시킨 것이 아니라, 시스템이 사용하는 암호화 검증 라이브러리의 논리적 오차를 정교하게 파고들었다. 블록체인 간 데이터 이동 시 정당성을 입증하는 '메르켈 트리' 검증 과정에서, 해커는 거짓 데이터를 진짜 데이터처럼 보이게 만드는 '포지(Forge, 위조) 입증' 방식을 사용했다. 이로 인해 브릿지 스마트 계약은 해커가 전송한 가짜 입금 요청을 정당한 요청으로 오인하여 20분 만에 100만 BNB씩 총 두 번, 200만 개의 BNB를 해커의 계좌로 자발적으로 즉시 발행해 버렸다.

2.3 창펑자오(CZ)의 20분 초스피드 전화 통화와 '블록체인 셧다운'

20분이라는 짧은 시간 동안 해킹이 완료되자, 바이낸스의 창업자 창펑자오(CZ)는 블록체인의 최대 가치 중 하나인 '탈중앙화'를 스스로 부정하는 전대미문의 결단을 내렸다. 그는 즉시 BNB Chain의 26개 활성 검증인(Validator)들에게 긴급 연락을 취해 네트워크 정지를 요청했다. 완벽한 탈중앙화 네트워크라면 불가능했겠지만, 바이낸스 생태계의 검증인 수가 비교적 적고 중앙화되어 있었기에 가능했던 일이었다. 해킹 발생 수 시간 만에 전체 블록체인 네트워크가 '일시 정지(Pause)' 상태에 돌입했고, 이로 인해 해커의 계좌에 남아있던 대부분의 위조 코인은 동결되어 영구히 동결되었다.

2.4 북한 해커 집단 '라자루스(Lazarus)'의 소행 가능성

사건 직후 블록체인 보안 전문 업체 온체인 분석가들은 해당 공격의 수법과 자금 세탁 패턴이 북한 정권의 지원을 받는 해킹 그룹 '라자루스'의 기존 패턴과 매우 유사하다는 분석을 내놓았다.^{[4]라자루스는 2022년 한 해 동안에만 로닌 네트워크 6억 달러 해킹을 포함해 수십 건의 크로스체인 브릿지 공격을 주도하며 글로벌 가상자산 업계의 공공의 적 1호로 부상했다.} 브릿지의 코드를 수개월간 정밀 분석하여 단 하나의 검증 오차를 찾아낸 점, 탈취 직후 1인치(1inch), 파라스왑(ParaSwap) 등 다중 디파이(DeFi) 프로토콜을 복합적으로 거쳐 자금을 분산시킨 점 등은 세계 최고 수준의 국가 지원 사이버 테러 단체만이 구사할 수 있는 지능형 지속 공격(APT)의 전형이라는 평가다.

2.5 탈중앙화 교의(Dogma)와 자산 보호 간의 역설적 입증

이 사건은 암호화폐 업계에 "시스템의 완전한 탈중앙화가 과연 정의인가?"라는 거대한 화두를 던졌다. 만약 BNB 체인이 비트코인이나 이더리움처럼 완벽히 탈중앙화되어 있어 네트워크를 임의로 멈출 수 없었다면, 63억 달러 규모의 위조 코인이 시장에 유출되어 바이낸스 생태계 자체가 완사(완전 파산)했을 것이다. 즉, 역설적이게도 바이낸스의 '중앙집중적 통제력' 덕분에 유저들의 자산을 지킬 수 있었다는 비판과 옹호가 동시에 공존하는 암호화폐 잔혹사의 대표적 사례로 남아있다.