보난자팩토리 "바이낸스 해킹, 개인키 아닌 내부 서명 권한 탈취 정황"

본문

국내 블록체인 분석기업 보난자팩토리가 글로벌 가상자산(디지털자산) 거래소 바이낸스에서 발생한 약 63억달러(약 8조4000억원) 규모의 해킹 사고와 관련해 공격자 30일 보난자팩토리는 자사 트랜사이트(TranSight) 추적팀이 바이낸스 해킹 거래의 논스(Nonce), 수수료 설정, 네트워크 전파 경로 등을 교차 분석한 결과 이 같은 정황을 확인했다고 밝혔다. 보난자팩토리에 따르면 이번 사고에서는 이더리움, 아비트럼, 아발란체 등 여러 블록체인에 걸친 최소 9개 핫월렛이 약 20분 사이 공격받았다. 추적팀이 일반 송금 방식으로 자산이 탈취된 8개 지갑을 조사한 결과, 공격 거래의 논스가 바이낸스의 정상적인 자동 출금 거래 사이에 충돌 없이 삽입된 것으로 나타났다. 공격 거래 직후에도 바이낸스의 자동 출금이 다음 번호부터 정상적으로 이어졌다는 점에서 공격자가 거래소의 기존 서명 체계를 실시간으로 이용했을 가능성이 있다는 설명이다.

일부 탈취 거래에서는 이더리움의 EIP-7702 위임 기능을 활용해 하나의 핫월렛에서 다수의 토큰을 한 번에 이동시킨 정황도 확인됐다. 보난자팩토리는 이 같은 분석을 토대로 공격자가 핫월렛의 개인키 파일을 직접 확보한 것이 아니라 해당 키로 유효한 거래 서명을 생성할 수 있는 내부 권한을 장악했을 가능성에 무게를 뒀다. 공격자가 내부 서비스 컨테이너에 접근해 승인되지 않은 출금 거래를 실행한 것으로 추정하면서도 개인키 자체가 유출됐다는 증거는 발견되지 않았다고 설명했다. 다만 보난자팩토리는 공격자가 실제 내부 서명 체계에 접근한 구체적인 경로와 내부 자료 유출 여부 등은 추가 확인이 필요하다고 밝혔다. 트랜사이트 추적팀은 바이낸스에서 탈취된 자금과 지난 9월 발생한 3억8800만달러(약 5180억1880만원) 규모의 비트겟 해킹 자금이 탈중앙화 유동성 프로토콜 토르체인(THORChain)을 거쳐 동일한 주소에서 혼합된 정황을 발견했다고 밝혔다.

보난자팩토리는 두 사건의 탈취 자금이 동일한 주소에서 섞였다는 점에서 같은 공격 주체가 관여했을 가능성이 있다고 설명했다. 이에 따라 이번 바이낸스 해킹에도 같은 조직이 관여했을 가능성이 제기된다. 보난자팩토리 관계자는 "단순 탈취 자금 추적을 넘어 실제 공격에 쓰인 기술적 수법과 자금 흐름을 종합 분석하고 있다"며 "주요 디지털자산 해킹 사건의 분석 결과를 AI 기반 실시간 추적 서비스 '블랙페이퍼(Blackpaper)'를 통해 지속 공개하겠다"고 밝혔다.