10.29 바이낸스 가상자산 탈취 사고
더 많은 작업
10.29 바이낸스 가상자산 탈취 사고(2026 Binance Hack)는 2026년 10월 29일 세계 최대 가상자산 거래소 바이낸스(Binance)의 내부 시스템이 침해되어 약 63억 달러 규모의 가상자산이 비인가 출금된 대규모 침해사고이다. 여러 블록체인의 핫월렛에서 자산이 탈취되었으며, 역대 최대 규모의 가상자산 해킹 사고로 기록되었다.
2026년 10월 29일 바이낸스가 관리하는 여러 블록체인 지갑에서 외부 공격자가 통제하는 주소로 대규모 가상자산이 전송되었다. 바이낸스는 사고를 공식 인정하고 약 63억 달러의 자산이 영향을 받았다고 발표했다.[1]
블록체인 분석업체 TRM Labs는 10개 블록체인에서 약 63억 6,000만 달러 상당의 가상자산이 탈취된 것으로 분석했다. 이는 2025년 2월 발생한 바이비트(Bybit) 해킹 사고의 약 15억 달러를 크게 넘어서는 규모다.[2]
| 항목 | 내용 |
|---|---|
| 발생일 | 2026년 10월 29일(UTC) |
| 대상 | 바이낸스(Binance) |
| 사고 유형 | 내부 시스템 침해, 비인가 출금, 가상 자산 탈취 |
| 피해 규모 | 바이낸스 발표 약 63억 달러 |
| 영향 범위 | 이더리움, 비트코인 등 복수의 블록체인 핫월렛 |
| 추정 침입 경로 | DevOps 엔지니어의 노트북 침해 및 추가적인 내부 시스템 침해 |
| 추정 공격 조직 | 북한 연계 TraderTraitor(보안업체 분석, 미확정) |
| 자산 동결 | 약 30억 달러(2026년 10월 30일 바이낸스 발표) |
| 고객 보상 | 바이낸스가 SAFU 기금과 회사 자금으로 전액 보전하겠다고 발표 |
| 조사 상태 | 사고 원인 및 자산 회수 조사 진행 중 |
사고의 주요 거래는 미국 동부시간 10월 29일 오후, 한국시간으로는 10월 30일 새벽에 발생했다. 따라서 해외에서는 주로 10월 29일 발생한 사고로 기록된다.
TRM Labs가 공개한 온체인 거래 분석에 따르면 공격자는 적어도 사고 발생 36시간 전부터 관련 주소와 코드를 준비했다. 10월 29일 20시 5분경(UTC)부터 약 20분 동안 대규모 자산 이동이 집중적으로 발생했으며, 이후에도 일부 지갑에서 추가 유출이 이어졌다.[2]
| 일시(UTC) | 주요 경과 |
|---|---|
| 10월 28일 | 공격자가 사용하는 주소에 토네이도 캐시(Tornado Cash)를 통한 자금 유입 등 사전 준비 정황 확인 |
| 10월 29일 20:05경 | XRP 레저의 바이낸스 지갑에서 약 2억 3,346만 XRP가 공격자 주소로 이동 |
| 20:10경 | 솔라나 등 다른 블록체인의 지갑에서도 비인가 출금 발생 |
| 20:20경 | 비트코인 핫월렛에서 18,270 BTC 유출. 이더리움 지갑에 대한 EIP-7702 권한 위임 거래도 발생 |
| 20:24경 | 이더리움 지갑에서 약 167,464 ETH와 약 16억 1,500만 USDT를 포함한 대규모 자산 유출 |
| 21:01경 | 테더(Tether)가 공격자 주소의 USDT 동결 시작 |
| 21:04경 | 서클(Circle)이 약 8억 2,300만 USDC 동결 |
| 23:05경 | 아발란체와 폴리곤 지갑에서 추가 유출 확인 |
| 10월 30일 | 바이낸스가 약 63억 달러의 영향 규모와 초기 침입 경로를 공식 발표 |
| 10월 30일 | 바이낸스가 추가 침해 지점을 확인했다고 밝히고, 비인가 출금 차단과 자산 추적·동결 작업 지속 |
위 거래 시각은 TRM Labs가 분석한 블록체인 거래 기록을 기준으로 하며, 바이낸스의 내부 시스템에 공격자가 최초로 침입한 시각과는 구분된다.
바이낸스는 초기 조사에서 DevOps 엔지니어의 노트북이 침해되었으며, 이를 통해 공격자가 내부 서비스 컨테이너(Service Container)에 접근하여 허가되지 않은 출금 거래를 제출했을 가능성이 있다고 발표했다.
이후 조사에서는 추가적인 침해 지점이 확인되었다. 바이낸스 공동 최고경영자 리처드 텡(Richard Teng)은 공격이 엔지니어 한 명의 권한만으로 수행된 단순한 작업이 아니며, 여러 단계로 이루어진 복잡한 침해였다고 설명했다.[3]
바이낸스는 현재까지 지갑의 개인키(Private Key)가 외부로 유출되었다는 증거는 발견하지 못했다고 밝혔다. 이는 개인키 자체의 탈취가 확인되었다는 의미가 아니라, 공격자가 내부 시스템을 통해 유효한 출금 서명이나 거래 실행 권한을 악용했을 가능성을 시사한다.[1]
다만 실제 최초 침입 방법, 내부 권한 확대 과정, 각 시스템의 침해 범위는 최종 기술 분석 보고서가 공개되지 않아 확정되지 않았다.
핫월렛(Hot Wallet)은 인터넷에 연결되어 거래소의 가상자산 입출금을 처리하는 지갑이다. 이용자 요청에 따라 신속하게 자산을 전송할 수 있지만, 거래 서명과 출금 처리 시스템이 침해되면 대규모 자산 이동으로 이어질 수 있다.
TRM Labs는 서로 다른 서명 방식을 사용하는 여러 블록체인에서 거의 동시에 정상적인 형식의 서명 거래가 발생했다는 점에 주목했다.
이 분석에 따르면 공격자가 모든 블록체인의 개인키를 각각 확보했기보다는 바이낸스의 출금 거래 서명 인프라에 접근해 공격자가 지정한 거래에 유효한 서명을 생성하도록 했을 가능성이 있다.[2]
이러한 분석은 바이낸스가 발표한 개인키 유출 증거 부재와 양립하지만, 서명 인프라 침해의 구체적인 방법까지 최종 확인된 것은 아니다.
이번 사건에서 기술적으로 주목받은 부분은 이더리움의 EIP-7702를 이용한 권한 위임이다.
EIP-7702는 일반 외부 소유 계정(Externally Owned Account, EOA)이 승인한 스마트 계약의 코드를 자신의 계정에서 실행하도록 위임할 수 있게 하는 이더리움 개선 제안이다.[4]
TRM Labs의 분석에 따르면 공격자는 다음과 같은 방식으로 바이낸스의 이더리움 핫월렛을 악용했다.[2]
- 바이낸스 핫월렛의 유효한 EIP-7702 승인 서명을 확보했다.
- 서로 다른 논스(Nonce)에 대응하는 승인 서명 50개를 사전에 준비했다.
- 이 가운데 유효한 승인을 사용해 지갑의 실행 권한을 공격자가 통제하는 스마트 계약으로 위임했다.
- 이후 해당 지갑의 자산을 공격자 주소로 전송했다.
- 최초 유출 이후에도 지갑에 새로 유입된 자산을 반복적으로 전송했다.
특히 하나의 거래에서 약 167,464 ETH와 다수의 토큰이 유출되었으며, 위임 권한이 유지되는 동안 추가 자산 이동이 발생했다.
이 공격은 EIP-7702 프로토콜 자체의 취약점이 확인된 사례라기보다는 정상적인 서명·권한 위임 기능을 공격자가 비인가 목적으로 사용한 사례로 분석된다.
다른 블록체인에서는 EIP-7702가 아닌 일반적인 서명 거래를 통해 자산이 유출되었으므로, 사고 전체를 EIP-7702 취약점 하나로 설명할 수는 없다.
TRM Labs는 공격 당시 가상자산 가격을 기준으로 총 약 63억 6,000만 달러의 자산이 탈취된 것으로 분석했다.[2]
| 블록체인 | 추정 유출 규모 | 주요 자산 |
|---|---|---|
| 이더리움 | 약 37억 9,000만 달러 | ETH, USDT, USDC 및 기타 토큰 |
| 비트코인 | 약 14억 7,000만 달러 | 18,270 BTC |
| 트론 | 약 6억 2,800만 달러 | USDT, TRX |
| XRP 레저 | 약 2억 9,600만 달러 | XRP |
| 솔라나 | 약 9,600만 달러 | SOL |
| 아비트럼·옵티미즘·베이스 | 합계 약 3,900만 달러 | ETH, ARB 등 |
| 아발란체 | 약 2,800만 달러 | AVAX 등 |
| 폴리곤 | 약 1,000만 달러 | USDT 등 |
이는 TRM Labs의 조사 시점과 자산 평가 방법을 적용한 추정치다. 다른 분석업체는 일부 거래의 분류나 가격 평가 시점에 따라 서로 다른 규모를 제시하고 있다.
또한 최초 탈취 자산의 평가액과 최종적으로 회수하지 못한 순손실액은 다르다. 동결된 자산과 회수된 자산을 구분해야 하며, 바이낸스가 밝힌 약 63억 달러가 그대로 확정적인 최종 손실액을 의미하는 것은 아니다.
바이낸스는 사고 직후 입출금 서비스에 대한 긴급 점검을 실시하고 영향을 받은 주소의 권한을 철회했다. 블록체인 분석업체 및 수사기관과 협력하여 공격자의 자산 이동을 추적했다.[1]
테더, 서클, 리플(Ripple), 월드 리버티 파이낸셜(World Liberty Financial) 등 가상자산 발행사들도 공격자 관련 주소의 토큰을 동결했다.
TRM Labs는 초기 대응에서 약 27억 달러 상당의 자산이 동결된 것으로 분석했다. 바이낸스는 이후 약 30억 달러가 블록체인상에서 동결되었다고 발표했다.[2][1]
특히 USDT와 USDC 같은 중앙 발행형 스테이블코인은 발행사가 특정 주소의 토큰 이동을 제한할 수 있어 신속한 동결이 가능했다.
반면 비트코인이나 ETH 같은 자산은 일반적으로 발행사의 중앙 동결 권한이 존재하지 않아 탈취 이후의 이동을 직접 차단하기 어렵다.
이에 공격자는 일부 스테이블코인을 탈중앙화 거래소와 대출 프로토콜을 이용해 ETH 등으로 전환한 것으로 분석되었다.
다만 자산 동결이 곧 바이낸스의 자산 회수를 의미하지는 않는다. 실제 반환 여부는 발행사, 네트워크 운영 주체, 수사기관 등의 후속 절차에 따라 결정될 수 있다.
바이낸스는 사고와 관련한 이용자 손실을 전액 부담하겠다고 발표했다. 보상 재원으로는 이용자 보호 기금인 SAFU(Secure Asset Fund for Users)와 회사 자체 자금을 제시했다.
2026년 10월 30일 추가 안내에서는 다음과 같은 대응 현황을 밝혔다.[5]
- 입금 서비스는 정상 운영 중이라고 안내했다.
- 출금 서비스는 관련 시스템과 주소의 보안 점검을 위해 중단 상태를 유지했다.
- 출금 서비스를 약 48시간 이내에 재개할 것으로 예상한다고 밝혔다.
- 사고 대응이 완료되면 상세 기술 보고서와 준비금 증명(Proof of Reserves)을 갱신하여 공개하겠다고 밝혔다.
이용자 자산이 안전하다는 설명과 전액 보전 방침은 바이낸스의 공식 발표 내용이며, 실제 보전 및 복구 완료 여부와는 구분해야 한다.
블록체인 분석업체 TRM Labs는 이번 공격을 북한 연계 해킹 조직인 TraderTraitor의 소행으로 높은 확신을 가지고 판단한다고 발표했다.[2]
TRM Labs가 제시한 주요 근거는 과거 북한 연계 가상자산 탈취 사건과 유사한 사전 준비 활동, 거래 서명 확보 및 실행 방식, 탈취 자산의 이동 정황 등이다.
다른 블록체인 분석업체인 엘립틱(Elliptic)도 이번 공격이 북한 연계 조직에 의한 것일 가능성이 높다고 평가했다. 엘립틱은 일부 탈취 자산이 북한 연계 공격으로 의심되는 다른 사건의 자금과 동일한 주소에 도달한 정황을 제시했다.[6]
TraderTraitor는 2025년 2월 바이비트 해킹 사고와 관련해 미국 연방수사국(FBI)이 북한의 공격 활동으로 공식 지목한 명칭이기도 하다. 당시 FBI는 약 15억 달러의 가상자산 탈취가 북한에 의해 수행되었다고 발표했다.[7]
다만 2026년 10월 30일 기준 바이낸스는 이번 사건의 공격자를 공식적으로 확정하지 않았으며, 보안업체의 공격 조직 귀속 분석과 수사기관의 최종 확인은 구분해야 한다.
이번 사고는 가상자산 거래소의 내부 운영 환경과 출금 서명 시스템이 침해될 경우 발생할 수 있는 대규모 금융 피해를 보여주는 사례다.
- 개인키 유출과 서명 권한 악용의 차이: 개인키를 직접 탈취하지 않더라도 거래 서명 서비스를 악용하면 유효한 출금 거래를 생성할 수 있다.
- 다중 블록체인 피해: 서로 다른 체인의 지갑에서 비슷한 시점에 유출이 발생해 개별 블록체인보다는 거래소 내부의 공통 운영·서명 인프라가 주요 조사 대상이 되었다.
- 정상 기능의 악용: 이더리움에서는 EIP-7702의 권한 위임 기능이 공격에 이용되었으며, 해당 프로토콜 자체에 결함이 있다는 사실이 입증된 것은 아니다.
- 대규모 자산 동결: 스테이블코인 발행사 및 블록체인 네트워크의 긴급 대응을 통해 일부 자산의 이동이 제한되었다.
- 동결과 회수의 차이: 탈취된 자산의 추적·동결·반환은 서로 다른 단계로, 동결 규모만으로 최종 복구 성과를 판단할 수 없다.
2026년 10월 30일 기준 최초 침입 경로와 내부 권한 획득 과정의 세부 사항은 조사 중이다. 바이낸스가 예고한 사고 원인 분석 보고서가 공개되면 초기 발표와 최종 조사 결과를 구분하여 갱신할 필요가 있다.
- ↑ 1.0 1.1 1.2 1.3 Binance, Security Incident Update, 2026년 10월 30일.
- ↑ 2.0 2.1 2.2 2.3 2.4 2.5 2.6 TRM Labs, North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History, 2026년 10월 29일.
- ↑ BleepingComputer, Binance links $6.3 billion crypto theft to compromised DevOps laptop, 2026년 10월 30일.
- ↑ Ethereum Improvement Proposals, EIP-7702: Set Code for EOAs, 2026년 10월 30일 확인.
- ↑ Binance News, Binance Deposits Are No Longer Affected; Pledges to Cover Losses Related to the Incident, 2026년 10월 30일.
- ↑ Elliptic, The largest theft in history: North Korea likely behind the $6.4 billion Binance hack, 2026년 10월 30일, 2026년 10월 30일 확인.
- ↑ Federal Bureau of Investigation, North Korea Responsible for $1.5 Billion Bybit Hack, 2025년 2월 26일.