“바이낸스 해킹, 충분히 막을 수 있었다”…코인엑스 창업자가 지적한 보안 허점 3가지

본문

양하이포는 바이낸스 해킹 피해가 개발·운영 환경 분리 미흡, 실질적 2FA 부재, MPC 서명 검증 부족 등 기본 보안 관리 실패로 커졌다고 주장했다. [블록미디어 함지현 기자] 63억달러(약 8조4000억원) 규모의 바이낸스 해킹 사건을 두고 복잡한 공격 기술보다 거래소 의 기본적인 보안 관리 부실이 피해를 키웠다는 지적이 나왔다. 4일 디지털자산 거래소 코인엑스(CoinEx)와 채굴풀 비아BTC(ViaBTC) 창업자인 양하이포(Yang Haipo)는 엑스(X)를 통해 바이낸스 해킹 사건에서 충분히 예방할 수 있었던 세 가지 보안 허점이 드러났다고 주장했다. 그는 “이번 사건의 핵심 문제가 첨단 보안 기술의 부재가 아니라 기본적인 보안 원칙을 지키지 않은 운영상의 실패에 있다”고 평가했다.

양하이포는 각 서명 참여자가 거래 내용을 독립적으로 검증하지 않고 상위 시스템의 요청을 그대로 승인한다면 MPC를 적용했더라도 실질적인 보안 효과가 떨어진다고 주장했다.

Anyone with production access should operate from a dedicated machine used for nothing else, with no third-party software installed on it — coding, chat, and web browsing all belong on a separate device. A single key was enough to operate production services, which means that once the key leaked, the attacker had full production access. 또한 공격자들이 내부 지갑 서명 서비스에 무단 접근한 뒤 이더리움 의 EIP-7702 기능을 악용해 핫월렛 의 실행 권한 일부를 공격자 측 스마트컨트랙트 에 위임했다고 설명했다.

이와 관련해 바이낸스는 피해 시스템 재구축과 직원 접근 권한 변경, 지갑 서비스 보안 강화 등의 조치를 시행했으며 외부 전문기관의 독립적인 보안 검증도 추진하고 있다. 이번 논란은 대형 가상자산 거래소의 보안 경쟁에서 첨단 기술 도입뿐 아니라 접근 권한 관리와 거래 승인 절차의 독립성이 중요하다는 점을 부각시키고 있다. 코인엑스는 장기적인 시장 침체와 거래량 감소, 규제·보안 비용 증가를 이유로 지난 9월15일 사업 종료를 발표했다. 당시 양하이포는 거래소 운영에 따른 보안 및 규제 위험을 통제하기가 갈수록 어려워지고 있다고 밝힌 바 있다.