바이낸스 탈취, 과거 공격자가 노린 것은 직원의 자산 이동 권한
바이낸스의 60억달러 이상 가상자산 탈취가 던진 질문은 누가 자산 이동을 승인하느냐다. 과거 트레이더트레이터 사건을 따라가면 직원의 업무 권한과 승인 환경이 거래소 사업의 존속까지 흔드는 경로가 드러난다.
뉴스 핵심
- DMM 사건에서 가짜 채용시험을 받은 사람은 거래소 직원이 아니라 지갑 소프트웨어 업체 Ginco 직원이었다.
- 바이비트 전례는 승인 절차를 운영하는 소프트웨어 환경도 공격 대상이 될 수 있음을 보여준다.
- DMM의 계좌·예탁자산 이관은 탈취 사고가 고객 관계와 사업의 존속에도 흔적을 남긴 사례다.
가상자산 공격자는 왜 채용 담당자로 왔나
채용시험으로 받은 코드가 자산 탈취의 입구가 됐다. 2024년 3월 말, 가짜 LinkedIn 채용 담당자가 접근한 상대는 일본 거래소 DMM Bitcoin 직원이 아니었다. 지갑 소프트웨어 업체 Ginco에서 일하며 지갑 관리 시스템에 접근할 수 있는 직원이었다.
공격자는 GitHub에 올린 악성 Python 코드를 시험 과제로 건넸다. 직원은 그것을 실행했고 기기가 침해됐다. 취업을 위한 업무처럼 보이는 행동이 회사 시스템으로 이어지는 통로를 열었다. 공격자가 노린 것은 지원자의 돈보다 그 사람이 업무상 쓸 수 있는 권한이었다고 볼 수 있다.
거래소 간판 밖에도 자산 관리에 닿는 사람이 있었다.
바이낸스 60억달러, 배후와 침투 경로는 다르다
FBI는 2026년 10월 29일 전후 바이낸스에서 발생한 60억달러 이상 탈취를 북한 트레이더트레이터 활동으로 지목했다. 트레이더트레이터는 별도 회사처럼 독립된 조직의 이름이라기보다, 미국 정부가 북한의 가상자산 대상 공격 활동을 식별하는 데 써 온 명칭이다.
여기서 배후를 지목하는 일과 침투 경로를 밝히는 일은 갈라진다. 같은 공격 활동으로 분류됐다고 해서 바이낸스에서도 가짜 채용시험이 사용됐다고 말할 수는 없다. 이번 사건의 구체적인 최초 침투 경로는 아직 확정 전이다.
과거 사건을 가져오는 이유는 범행 장면을 대신 채우기 위해서가 아니다. 직원의 기기에서 시작된 침해가 자산 이동 권한까지 닿을 수 있다는 경로를 이해하기 위해서다. 바이낸스 사건에서도 풀어야 할 핵심 질문은 공격자가 어떤 권한을 얻어 자산을 움직였느냐다.
바이비트의 승인 절차는 어떻게 악용됐나
바이비트(Bybit) 사건에서는 거래 승인에 쓰는 소프트웨어 환경이 침해돼 정상적인 승인 절차가 악용된 것으로 분석됐다. FBI는 2025년 2월 약 15억달러가 탈취된 이 사건도 트레이더트레이터의 공격으로 규정했다.
이 전례가 까다로운 이유는 승인이 있었다는 사실만으로 안전을 설명할 수 없어서다. 승인하는 사람이 정해진 절차를 밟더라도 그 사람이 의지하는 소프트웨어 환경이 공격받았다면 절차의 결과까지 믿기 어렵다. 사람의 권한과 그 권한을 행사하는 환경을 함께 봐야 한다.
바이낸스에서도 내부 거래 서명 시스템이 침해됐을 가능성이 제기됐다. 이는 확정된 공격 과정이 아닌 분석 단계의 가설이다. 바이비트 전례는 그 가설을 이해하게 해 주지만, 바이낸스에서도 같은 일이 벌어졌다는 증거를 대신하지는 않는다.
가상자산 보안의 경계는 거래소 밖까지 간다
Ginco와 DMM Bitcoin은 서로 다른 회사였다. 고객이 계좌를 연 곳은 거래소였지만, 공격자가 접근한 직원은 지갑 소프트웨어 업체에 있었다. 고객에게 보이는 사업자와 실제 자산 관리에 참여하는 주체가 일치하지 않는 구조가 드러난다.
그래서 이 사건을 직원이 수상한 파일을 실행한 이야기로만 줄이면 중요한 대목을 놓친다. 속임수는 출발점이고, 그 뒤에는 직원이 접근할 수 있는 시스템이 있었다. 공격자의 입장에서 가치 있는 것은 직함보다 그 계정으로 어디까지 들어갈 수 있느냐다.
가상자산 보안의 경계도 그 권한을 따라 그려야 한다. 거래소 자체의 방어뿐 아니라 자산 관리에 연결된 외부 업체의 기기와 계정까지 살펴야 한다는 판단이 여기서 나온다. 고객의 자산을 맡는 책임은 간판 안에 있지만, 공격의 입구는 간판 밖에 있을 수 있다.
DMM의 탈취 사건은 고객 계좌 이전으로 남았다
DMM에서는 2024년 5월 3억800만달러가 탈취됐다. 그 뒤의 결말은 코인을 추적하는 이야기만으로 끝나지 않았다. DMM Bitcoin은 2025년 3월 8일 모든 계좌와 예탁자산을 SBI VC Trade로 이관하고 가상자산 교환업에서 철수했다.
계좌를 넘겨받은 SBI VC Trade의 계좌 수는 2025년 2월 말 약 80만에서 3월 말 약 127만으로 바뀌었다. 중복 계좌를 통합한 수치다. SBI는 고객 기반 확대에 따른 수익 증가를 기대했다. 실제 이익이 확정된 것은 아니지만, 고객과 거래할 관계가 옮겨간 것은 분명하다.
외부 업체 직원의 권한에서 출발한 사건을 끝까지 따라가면 거래소 사업의 퇴장과 다른 사업자의 고객 기반 확대가 함께 나타난다. 이는 바이낸스의 미래를 예고하는 장면이 아니다. 자산 관리 권한의 침해가 사업에 얼마나 긴 흔적을 남길 수 있는지 보여주는 전례다.
가상자산을 맡긴다는 것은 승인권을 맡기는 일
거래소에 자산을 맡긴 사람에게 보안 사고는 보유 코인의 가격 문제로만 남지 않는다. DMM 고객에게는 계좌와 예탁자산을 어느 사업자가 이어받는지도 현실의 문제가 됐다. 탈취액과 고객 관계의 이전은 서로 다른 돈의 경로다.
바이낸스 사건에서도 배후의 이름을 아는 것만큼 어떤 권한과 승인 환경이 악용됐는지가 중요하다. 자산이 빠져나간 경로와 손실을 최종적으로 부담하는 주체는 별도로 따져야 한다. DMM의 이관 사례를 바이낸스의 보상 방식이나 결말에 대입해서는 안 된다.
가짜 채용시험이 보여준 급소는 여기에 있다. 고객은 거래소에 코인을 맡겼지만, 공격자는 그 코인을 움직일 수 있는 사람의 업무를 파고들었다. 가상자산을 지킨다는 것은 결국 자산을 옮길 권한이 누구의 어떤 환경에서 행사되는지까지 지키는 일이다.
이 글은 가상자산 보안과 사업 구조를 설명하며 투자 권유가 아닙니다. 거래소 침해는 자산 접근과 보관 관계에 영향을 줄 수 있고, 과거 사건의 이관·대응 방식이 다른 거래소에도 적용된다고 보장할 수 없습니다. 투자 판단과 책임은 독자에게 있습니다.
거래소 이용 가이드바로가기
거래소별 조건과 이용 절차를 비교해 보세요. 제휴 링크가 포함될 수 있습니다.
제휴 고지: 이 페이지의 링크를 통해 가입하거나 거래하면 서학개미가 수수료를 받을 수 있습니다. 표시 순서는 운영자가 지정하며 투자 성과나 안전성을 보장하지 않습니다. 레버리지 거래는 원금보다 큰 손실이 날 수 있으며, 과거 수익과 자동매매 결과가 미래 수익을 보장하지 않습니다.
함께 보기
코인뉴스 최신
더보기넥스트 테크놀로지 홀딩(NXTT) 비트코인 매각 승인, 시총 50배 보유분에 증명이 없다
나스닥 상장사 넥스트 테크놀로지 홀딩(NXTT)이 비트코인 약 5,833개를 팔거나 담보로 빌릴 수 있게 이사회가 승인했다. 가치는 약 4억 4,900만 달러로 시가총액 약 780만 달러의 50배가 넘는데, 수탁사 이름과 지갑 주소가 없어 주주가 확인할 수 있는 것은 발표뿐이다.
1일 전
비트코인 디지털 금 서사, 핵융합 금 연 2톤은 아직 없는 발전소의 계산이다
미국 핵융합 스타트업 마라톤 퓨전이 수은을 금으로 바꿨다고 주장했지만 실제 생산량은 공개하지 않은 극미량이다. 연 2톤이라는 수치는 아직 존재하지 않는 핵융합 발전소를 가정한 시뮬레이션이라, 금값이나 비트코인 가격을 움직일 단계가 아니다.
2일 전
테더맥스·슈퍼트러스트 접속차단 요청, 사이트 없는 이지스벤처스는 빠졌다
FIU가 10월 30일 미신고 가상자산업자 테더맥스와 슈퍼트러스트의 국내 접속차단을 방송미디어통신심의위원회에 요청했다. 수사기관에 통보된 미신고 업자는 47개가 됐지만, 이는 차단된 곳의 수가 아니라 넘겨진 곳의 수다. 이용자는 수수료 부담과 자산 묶임 위험을 지므로 거래소의 FIU 신고 여부를 먼저 확인해야 한다.
2일 전
가상자산 과세 유예 요청, 5대 거래소의 근거는 개인은 많고 외국인은 거의 없는 시장
내년 1월로 예정된 가상자산 과세의 시행·유예 여부를 여당이 1~2주 안에 정한다. 시행되면 연 250만원을 넘는 차익에 22%가 붙어 차익 1,000만원이면 세금은 165만원이다. 유예되면 이 부담은 새 시행일까지 보류된다.
2일 전
