하룻밤 새 63.6억 달러가 바이낸스를 떠났다. 표적은 당신의 지갑이 아니었다

2026년 10월 29일, 몇 시간 사이에 약 63억 6천만 달러가 바이낸스(Binance) 핫월렛에서 빠져나갔습니다. 대부분의 고객에게 중요한 질문은 내 코인이 위험에 노출되었는지, 그리고 이번 주에 무엇을 해야 하는지입니다.

바이낸스 해킹, 내 암호화폐는 위험했을까? 지금 무엇을 해야 할까?

고객 개인의 프라이빗 키는 공격 대상이 아니었습니다. TRM Labs에 따르면 공격자는 2026년 10월 29일 바이낸스가 관리하는 핫월렛에서 10개 블록체인에 걸쳐 약 63억 6천만 달러를 탈취했습니다 . 바이낸스는 손실을 자체 자금으로 보전하겠다고 밝혔습니다 . 보상을 받기 위해 고객이 따로 할 일은 없습니다. 지금 해야 할 일은 이런 해킹 뒤에 흔히 이어지는 사기를 피하는 것입니다.

핵심 요약: 2026년 10월 29일 바이낸스 해킹으로 거래소 자체 핫월렛에서 약 63억 6천만 달러가 빠져나갔습니다. 개별 사용자의 키는 탈취되지 않았습니다. 바이낸스가 SAFU 기금, 보험 기금, 자체 재무 자금으로 손실을 메우고 있어 고객이 조치할 필요는 없습니다. "해킹 보상"을 안내하거나 지갑을 "인증"하라는 메시지는 모두 무시하세요.

역대 최대 규모의 암호화폐 탈취 사건입니다. 총 63억 6천만 달러는 약 15억 달러였던 2025년 바이비트(Bybit) 해킹의 대략 네 배입니다 . TRM Labs에 따르면 탈취는 UTC 20시 05분에 시작되었고, 23시 05분에 두 번째 공격이 이어졌습니다. 피해를 입은 체인은 이더리움, 비트코인, 트론, XRP 레저, 솔라나, 아비트럼, 아발란체, 옵티미즘, 베이스, 폴리곤입니다 .

2026년 11월 4일 현재에도 수치는 계속 바뀌고 있으며, 세부 내용은 출처마다 다릅니다.

• 총 탈취액: 추정치는 약 63억 달러에서 64억 달러 사이입니다. TRM Labs는 63억 6천만 달러로 집계했습니다 .
• 동결된 자금: TRM Labs는 약 27억 달러가 동결되었다고 밝혔습니다. 위키백과는 테더(Tether)와 서클(Circle)이 약 30억 달러를 동결했다고 전합니다 .
• 보전 현황: 바이낸스는 10월 31일 피해 자산의 약 90%가 보전되었다고 밝혔습니다. BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD, ZEC는 100% 보전 대상으로 발표했습니다 .

"보전"은 바이낸스가 자체 자금으로 잔고를 뒷받침한다는 뜻입니다. 탈취된 자금을 되찾았다는 뜻은 아닙니다. TRM Labs는 공격자가 여전히 약 24억 달러를 쥐고 있다고 추정합니다 .

그래서 내 지갑이 표적이 아니었다고 말하는 것입니다. 자금은 바이낸스가 관리하는 지갑에서, TRM Labs가 "바이낸스 핫월렛 서명 인프라의 침해"라고 부르는 경로로 빠져나갔습니다. 이더리움에서는 공격자가 사전 서명된 승인 50건과 함께 EIP-7702 위임을 사용했습니다 . 고객의 2단계 인증, 비밀번호, 출금 화이트리스트는 계정 단위의 보호 장치라서 이번 공격을 막을 수 없었습니다. 거래소 자체가 뚫렸을 때 나를 지켜 주는 것은 거래소의 준비금, 그리고 내가 거래소에 맡겨 둔 금액의 크기입니다.

이번 주에 할 수 있는 실천 방법은 다음과 같습니다.

• 보상을 "신청"하려고 아무것도 하지 마세요. 바이낸스는 손실을 자체 자금으로 보전한다고 밝혔습니다.
• 환불, 지갑 점검, 이전(마이그레이션)을 안내하는 메시지는 모두 피싱으로 보세요.
• 한 거래소에 얼마나 맡겨 둘지 다시 생각해 보세요. 보관 방식 선택과 실제로 효과가 있는 계정 설정은 뒤에서 다룹니다.

10월 29일 무슨 일이 있었나: 사상 최대 규모 암호화폐 해킹의 전개

2026년 10월 29일, 공격자가 블록체인 열 곳에 걸친 바이낸스(Binance) 지갑에서 약 63억 6천만 달러를 빼냈습니다. 암호화폐 도난 사건으로는 역대 최대 규모입니다. 블록체인 분석 업체 TRM Labs에 따르면 도난은 UTC 20시 05분에 시작됐고, 23시 05분에 두 번째 물결이 이어졌습니다 . 공격자가 파고든 곳은 거래소의 온라인 "핫(hot)" 지갑입니다. 핫 지갑은 출금을 빠르게 처리하려고 거래소가 인터넷에 연결해 두는 지갑입니다. 개별 이용자가 보관한 개인 키를 뚫은 것은 아닙니다. 피해액은 2025년 바이빗(Bybit)에서 털린 약 15억 달러의 네 배 정도입니다 .

자금은 대부분 짧은 시간 안에 빠져나갔습니다. 위키백과의 사건 정리를 보면 유출액 대부분이 UTC 기준 오후 8시 05분부터 8시 20분 사이, 약 15분 동안 나갔습니다 . 23시 05분의 두 번째 물결은 첫 유출이 시작되고 몇 시간이 지난 뒤에도 공격자가 접근 권한을 쥐고 있었음을 시사합니다. TRM Labs가 꼽은 피해 네트워크는 열 곳입니다 .

• 이더리움(Ethereum)
• 비트코인(Bitcoin)
• 트론(Tron)
• 엑스알피 레저(XRP Ledger)
• 솔라나(Solana)
• 아비트럼(Arbitrum)
• 아발란체(Avalanche)
• 옵티미즘(Optimism)
• 베이스(Base)
• 폴리곤(Polygon)

공격자는 체인마다 다른 수법을 썼습니다. TRM Labs에 따르면 이더리움에서는 사전 서명된 승인 50건과 EIP-7702 위임을 이용해, 스위퍼(sweeper) 컨트랙트로 핫 지갑을 장악했습니다 . EIP-7702는 일반 지갑이 실행 로직을 스마트 컨트랙트에 넘길 수 있게 하는 이더리움 업그레이드입니다. 지갑이 이 위임에 한 번 서명하면, 스위퍼 컨트랙트가 그 지갑을 자동으로 비울 수 있습니다. 나머지 아홉 개 체인에서는 훔친 자금이 평범한 서명 이체로 옮겨졌습니다. TRM Labs는 이를 특정 블록체인의 버그가 아니라 "바이낸스 핫 지갑 서명 인프라의 침해"를 가리키는 정황으로 봅니다. 쉽게 말해 공격자가 바이낸스인 것처럼 거래에 서명할 수 있었다는 뜻입니다.

공격자가 어떻게 침투했는지에 대한 바이낸스의 설명은 바뀌었습니다. 처음에 거래소는 소프트웨어 엔지니어의 노트북이 감염됐다고 지목했습니다. 11월 3일에는 공격 경로가 스피어 피싱, 즉 특정 직원을 속이려고 만든 맞춤형 메시지였다고 밝혔습니다 . 이후 보도에서는 조사 결과 침해 지점이 한 곳이 아니었다고 전하고 있어, 전체 그림은 앞으로 더 바뀔 수 있습니다. 어느 쪽이든 공격은 암호학의 결함이 아니라 사람과 기기에서 시작됐습니다. 이는 여러분 자신의 보안에도 중요한 대목이라, 뒤에서 다시 다룹니다.

누가 저질렀는지에 대해서는 조사 기관들의 판단이 일치합니다. TRM Labs와 체이널리시스(Chainalysis)는 모두 이번 공격을 북한 정부가 뒤에서 지원하는 해킹 조직 트레이더트레이터(TraderTraitor)의 소행으로 보고 있고, FBI도 북한을 지목했습니다 . 11월 3일 북한은 개입 사실을 공식 부인했습니다 . 배후가 누구든 바이낸스 고객이 해야 할 일은 달라지지 않습니다. 다만 공격의 속도와 규모, 그리고 이후 자금이 세탁된 방식은 이 배후로 설명이 됩니다. 이 부분은 다음 섹션에서 다룹니다.

자금은 어디로 갔고, 바이낸스는 얼마를 메웠을까?

탈취된 자금은 몇 시간 안에 쪼개져 세탁됐습니다. 약 27억~30억 달러가 동결됐고, 공격자는 여전히 약 24억 달러를 쥐고 있습니다. TRM Labs에 따르면 남은 자금은 대부분 42만 개 이상의 ETH와 18,270 BTC입니다 . 한편 바이낸스는 피해를 입은 고객 잔고를 자체 자금으로 보전하고 있다고 밝혔습니다. 다만 이것은 탈취된 코인을 되찾았다는 뜻이 아닙니다.

TRM Labs는 세탁 수법을 세 가지로 설명합니다. 첫째, 공격자는 마켓메이커를 통해 탈취한 스테이블코인을 10% 넘게 할인된 가격에 ETH로 바꿨습니다. 둘째, 대출 프로토콜 Aave(에이브)에 USDT를 예치했습니다. 셋째, 비트코인은 "필 체인(peel chain)" 방식으로 잘게 나눴습니다. 큰 잔고를 수많은 소액 전송으로 쪼개 추적을 어렵게 만드는 방법입니다 . 10% 이상의 손실을 감수하면서까지 서둘러 ETH로 갈아탄 데서 공격자의 우선순위가 드러납니다. 발행사가 동결할 수 있는 토큰에서, 발행사가 손쓰기 전에 빠져나오는 것이었습니다.

동결로 상당 부분이 회수됐으니 그렇게 서두를 만도 합니다. TRM Labs는 스테이블코인 발행사와 Arbitrum(아비트럼) 보안 위원회가 동결한 금액을 약 27억 달러로 추산합니다. 위키백과의 해킹 항목은 테더와 서클이 약 30억 달러를 동결했다고 적고 있습니다 . 수치는 아직 수정되는 중이라 약 27억~30억 달러의 범위로 보는 것이 가장 안전합니다. 동결은 발행사가 막을 수 있는 토큰에만 통합니다. BTC와 ETH에는 중앙 발행사가 없고, 그래서 남은 24억 달러 대부분이 이 두 자산에 몰려 있습니다.

바이낸스는 손실을 자체적으로 떠안겠다고 밝혔습니다. 10월 31일에는 피해 자산의 약 90%가 보전됐으며, 아래 자산은 "100%" 보전됐다고 발표했습니다 .

• BTC, ETH, BNB, SOL, XRP
• USDT, USDC, USD1, RLUSD
• ZEC

CNBC에 따르면 재원은 세 곳입니다. SAFU(Secure Asset Fund for Users, 사용자 자산 보호 기금) 준비금, 선물 보험 기금의 일부, 그리고 회사 자금입니다. 각각에서 얼마가 나왔는지는 바이낸스가 밝히지 않았습니다 . "보전됐다"는 말은 바이낸스가 자체 자금으로 고객 잔고를 뒷받침한다는 뜻입니다. 탈취된 코인은 여전히 공격자의 지갑에 있거나 발행사에 의해 동결된 상태입니다.

출금은 11월 1일 비트코인부터 재개됐습니다 . 고객들은 빠르게 움직였습니다. 위키백과는 첫 9시간 동안 46.5억 달러가 출금됐고, 같은 시기 비트코인은 4~5% 가량 떨어져 8만 달러 아래로 내려갔다고 전합니다 . 트레이더가 얻을 교훈은, 거래소가 고객 손실을 전부 메워주더라도 출금이 며칠간 막힐 수 있고 그 시기에 가격이 급락할 수도 있다는 점입니다. 잔고를 잃지 않더라도 둘 다 보유 중인 포지션에 영향을 줍니다.

패턴일까? 바이낸스·메르카도 비트코인·1억 600만 달러 EU 도난 사건 비교

그렇습니다. 일주일도 안 되는 사이에 별개의 사건 세 건이 일어났고, 공통점이 하나 있습니다. 공격자가 거래소가 관리하는 핫월렛이나 거래소가 보관하던 계정의 자금을 노렸다는 점입니다. 개인이 직접 보관하는 개인키(자기 보관) 자금을 가져간 사례는 없습니다. 핫월렛은 출금을 빠르게 처리하려고 인터넷에 계속 연결해 두는 거래소 지갑입니다. 브라질의 메르카도 비트코인(Mercado Bitcoin)은 11월 2일 최소 10개 블록체인에서 핫월렛 자금을 잃었습니다. 11월 1~2일에는 유럽의 한 기관이 여러 거래소 계정에서 1억 600만 달러 넘게 잃은 것으로 보도됐습니다 . 세 사건은 규모, 실행 주체, 피해액이 얼마나 확인됐는지가 서로 다릅니다.

메르카도 비트코인(브라질), 11월 2일. 공격자가 최소 10개 체인에 걸쳐 이 거래소의 핫월렛을 털었습니다. CoinDesk에 따르면 메르카도 비트코인은 피해액을 약 3,800만~4,000만 달러로 보고, 테더(Tether)·서클(Circle)·체이널리시스(Chainalysis)의 도움으로 1,100만 달러를 동결했다고 밝혔습니다 . 온체인 분석가들은 이보다 높게 봅니다. Bitquery는 4,860만 달러가 빠져나갔고 대부분 UTC 06:24~06:50 사이에 발생했으며, 그중 2,950만 달러가 이더리움에서 나갔다고 집계합니다 . Arkham은 약 4,600만 달러로 추정합니다 . 거래소는 모든 서비스를 중단했습니다. 고객 정보는 유출되지 않았고 "어떤 고객도 자금을 잃지 않게 하겠다"고 약속했습니다.

Bitquery는 이곳에 자금을 둔 사람이라면 걱정할 만한 사실 두 가지를 확인했습니다. 첫째, 거래소는 UTC 12:56에 공격을 차단했다고 밝혔지만, 이더리움 입금 주소 3만 6,042개를 훑는 작업은 UTC 16:56경까지 계속됐습니다. 둘째, 동결된 금액은 1,140만 달러(24%)뿐입니다. 나머지 3,720만 달러(76%)는 여전히 위험한 상태이며, 대부분 발행사가 동결할 수 없는 BTC, ETH 등의 토큰입니다 . 공격 배후로 지목된 쪽은 없고, 바이낸스 해킹과 연결할 공개 증거도 없습니다.

EU 기관, 11월 1~2일. 블록체인 조사원 잭XBT(ZachXBT)는 기업·트레이딩 회사·펀드일 수 있는 신원 미공개의 EU 기관이 여러 중앙화 거래소 계정에서 1억 600만 달러 넘게 잃었을 수 있다고 보고했습니다 . 공격자는 USDC, USDT, ETH를 출금한 뒤 즉시 스왑 서비스와 와규(Wagyu) 변환 서비스를 거쳐 옮겼고, 추적을 끊으려고 일부를 모네로(Monero)로 바꿨습니다. CoinDesk에 따르면 잭XBT는 연결된 주소 11개를 공개하며 "높은 확신을 갖고 말하건대 라자루스 그룹(Lazarus Group)이 아니다"라고 밝혔습니다 . 이후 보도에서는 그의 추정치가 1억 3,300만 달러를 넘어섰다고 하지만, 이 수치는 확인되지 않았습니다. 피해 자체도 독립적으로 검증되지 않았고, 해당 기관과 거래소 모두 입장을 내지 않았습니다. 일반 개인 고객은 피해를 입지 않은 것으로 보입니다.

내 자산의 위험을 따질 때는 공통 패턴만큼 차이점도 중요합니다. 바이낸스 피해액은 온체인으로 확인됐고 국가 단위 공격 주체의 소행으로 지목됐습니다. 메르카도 비트코인은 출처에 따라 피해 총액이 1,000만 달러가량 엇갈리고, 배후로 지목된 쪽도 없습니다. EU 사건은 아직 조사원 한 명의 보고에 그칩니다. 세 사건 모두 스테이블코인이 가장 동결하기 쉬운 자산이었습니다. 반면 네이티브 BTC와 ETH로 빼 간 자금은 대부분 아직 공격자 손에 있습니다.

거래소 보관 vs 직접 보관, 내 자산엔 어느 쪽이 맞을까

자주 거래하는 코인은 거래소에 두고, 오래 보유할 코인은 가급적 하드웨어 지갑에 담아 직접 보관하세요. 이번 해킹 이후 보도에서 가장 많이 나온 조언입니다. 10월 29일 바이낸스 침해 사고에서는 거래소가 직접 운영하는 열 개 블록체인의 핫월렛에서 약 63억 6천만 달러(USD 6.36 billion)가 빠져나갔고 , 이용자 개인의 키가 뚫린 것은 아닙니다 (source: TRM Labs, 2026-10). 어느 쪽을 택해도 위험이 사라지지는 않습니다. 위험이 놓이는 자리만 달라질 뿐이라, 알맞은 비율은 코인을 어떻게 쓰는지에 따라 달라집니다.

보관 방식의 차이는 코인을 움직일 수 있는 개인키를 누가 쥐고 있느냐입니다. 거래소 보관에서는 플랫폼이 키를 갖고 고객 자산을 한데 모아 관리합니다. 직접 보관에서는 본인이 키를 갖고, 보통 직접 관리하는 지갑에 둡니다. 결국 어느 쪽 사고를 더 감당할 수 있는지가 핵심입니다. 거래소가 해킹당하거나 출금이 막히거나 무너지는 경우와, 내가 키를 잃어버리거나 잘못된 거래에 서명하는 경우를 비교해 보세요.

"그 시스템이 한 번 뚫리면 모두의 자금이 위험해질 수 있습니다." — 이만 샤피에이(Iman Shafiei), Keystone Research Group (source: CNN)

이것이 저축 자산을 한 플랫폼에 몰아두면 안 되는 이유입니다. 이번에는 바이낸스가 부족분을 자체 준비금으로 메웠습니다. 출금은 11월 1일까지 중단됐다가 비트코인부터 재개됐습니다 (source: CNBC, 2026-10). 며칠씩 내 돈에 손댈 수 없다면, 당장 돈이 필요한 사람에게는 그 자체가 큰 비용입니다.

직접 보관에는 직접 보관만의 책임이 따릅니다. 키를 쥐고 있으면 서명 위험도 함께 떠안기 때문입니다. 해킹 이후 보도(source: Forbes, 2026-11)는 두 가지를 권합니다.

• 하드웨어 지갑은 제조사에서 직접 구매하세요. 되팔린 제품이나 중고 기기는 누군가 손을 댔을 수 있습니다.
• 승인하기 전에 기기 자체 화면에서 주소와 금액을 확인하세요. 컴퓨터 화면은 악성코드로 위조될 수 있습니다. 믿을 수 있는 것은 기기 화면입니다.

비율을 정하기 위한 다섯 가지 질문

• 보유 규모: 잔액이 클수록 한 플랫폼이 무너졌을 때 치르는 대가도 커집니다. 잃으면 안 되는 금액을 거래소 한 곳에 두어서는 안 됩니다.
• 거래 빈도: 매일 거래한다면 빠른 접근이 필요하니 거래소에 두는 쪽이 유리합니다. 거래가 드물다면 굳이 그럴 이유가 없습니다.
• 기술 숙련도: 직접 보관은 12단어 또는 24단어 시드 구문을 오프라인으로 안전하게 보관하고, 거래마다 기기에서 확인할 수 있어야 제대로 작동합니다.
• 보유 기간: 몇 달, 몇 년씩 들고 있는 코인은 얻는 이점은 적은데 그 내내 거래소 위험을 안고 있게 됩니다.
• 감수할 수 있는 실패의 종류: 내 기록 관리보다 준비금을 가진 회사를 믿겠다는 사람도 있고, 중간에 제3자를 두고 싶지 않은 사람도 있습니다.

유형별 정리: 누가 무엇을 어디에 둘까

• 적극적인 트레이더: 운용 자금은 거래소에 두고, 수익은 정해진 주기로 직접 보관으로 옮기세요. 장단점: 거래는 빠르지만, 거래소에 남은 잔액은 플랫폼 해킹과 출금 중단에 그대로 노출됩니다.
• 장기 보유자: 대부분은 제조사에서 직접 산 하드웨어 지갑에 두고, 거래소는 사고팔 때만 쓰세요. 장단점: 플랫폼 위험은 작지만, 시드 구문을 잃어버리거나 잘못된 거래를 승인하면 아무도 되돌려 줄 수 없습니다.
• 혼합형: 목적별로 나누세요. 거래용 소액은 한두 곳의 거래소에 두고, 저축용 자산은 직접 보관에 두는 방식입니다. 장단점: 관리할 것은 늘지만, 한 번의 사고로 전부 날아가지는 않습니다.
• 아직 키 관리가 부담스러운 경우: 계정 보호 장치가 탄탄한 대형 거래소에 머물면서, 소액으로 직접 보관을 연습하세요. 장단점: 당분간 플랫폼 위험은 안고 가지만, 키를 다루다 초보자 실수를 하는 일은 피할 수 있습니다.

어떤 유형이든 이번 같은 해킹에 얼마나 노출되는지는 거래소에 얼마를 두느냐가 좌우합니다. 계정 자체를 지키는 방법은 별개의 문제이며, 두 유형 모두에게 중요합니다.

어떤 계정 보호 수단이 실제로 효과가 있을까? 2단계 인증, 화이트리스트, API 키, 피싱 방지 코드

가장 효과가 큰 수단은 로그인에 쓰는 FIDO2 하드웨어 보안 키(또는 패스키)와, 시간 지연이 걸린 출금 주소 화이트리스트입니다. 이 두 가지만으로도 개인 계정을 탈취하는 방식의 공격 대부분을 막을 수 있습니다. 피싱 방지 코드와 출금 권한이 없는 API 키는 그 뒤에 남는 가장 흔한 빈틈을 막아 줍니다. 다만 10월 29일 바이낸스 탈취 사건은 이 중 어느 것으로도 막을 수 없었습니다. 공격자가 고객 로그인이 아니라 거래소 자체의 핫월렛 서명 시스템을 장악했기 때문입니다 . 이 수단들은 또 다른 위험, 즉 내 계정이 직접 뚫리는 상황에서 나를 지켜 줍니다.

2단계 인증(2FA)은 비밀번호에 더해 요구하는 두 번째 신원 확인 절차입니다. 방식마다 강도가 다릅니다. Forbes와 CNN이 해킹 이후 정리한 안내에 따르면 강한 순서는 다음과 같습니다 .

1. FIDO2 하드웨어 키 또는 패스키: 키가 진짜 사이트의 도메인에 묶여 있어서, 비슷하게 만든 피싱 페이지는 유효한 응답을 받아 낼 수 없습니다.
2. 인증 앱(TOTP): SMS보다 훨씬 낫습니다. 그래도 가짜 페이지에 6자리 코드를 실시간으로 입력하도록 속을 수는 있습니다.
3. SMS 코드: 공격자가 내 전화번호를 자기 기기로 옮기는 유심 스와프 공격에 노출됩니다. 다른 방법이 전혀 없을 때만 쓰세요.

출금 주소 화이트리스트는 자금이 미리 승인한 주소로만 나갈 수 있게 하는 기능입니다. 새 주소를 추가하면 대기 시간이 시작되도록 설정하는 것이 좋습니다. 누군가 내 세션을 가로채더라도 곧바로 자기 지갑으로 코인을 보낼 수 없고, 그 지연 시간 동안 알림을 확인해 계정을 잠글 수 있습니다. 내가 하지 않았는데 "새 주소가 추가되었습니다"라는 알림이 오면 비상 상황으로 보세요.

피싱 방지 코드는 거래소 설정에서 직접 정하는 짧은 문구입니다. 거래소는 진짜 이메일마다 이 문구를 넣어 보냅니다. 거래소를 사칭한 이메일에 내 문구가 없다면 가짜입니다. 해킹 직후에는 "해킹 보상"을 약속하거나 지갑을 "인증"하라고 요구하는 메시지가 자주 나타나기 때문에 특히 중요합니다. 바이낸스는 손실을 자사 자금으로 보전하고 있으며, 이용자가 따로 할 일은 없다고 밝혔습니다 .

API 키는 트레이딩 봇이나 자산 관리 도구가 내 계정에서 작업할 수 있게 해 줍니다. 키마다 꼭 필요한 권한만 주세요. 보통은 잔고 조회와 주문 실행이면 충분합니다. 봇용 키에는 출금 권한을 절대 켜지 마세요. 거래소가 지원한다면 키마다 내 서버의 IP 주소로 사용 범위를 제한하세요. 거래 권한만 있는 키가 유출되더라도 공격자는 잘못된 주문을 낼 수 있을 뿐, 자금을 빼 갈 수는 없습니다.

이 수단들에는 분명한 한계가 있습니다. 보호하는 것은 내 계정의 문이지, 거래소의 금고가 아닙니다. TRM Labs는 바이낸스 탈취를 열 개 블록체인에 걸쳐 추적한 끝에, 거래소 핫월렛 서명 인프라가 침해된 것으로 파악했습니다. 이더리움에서는 미리 서명된 EIP-7702 인증 50건이 확인됐고, 공격자는 이를 통해 스위퍼 컨트랙트로 핫월렛을 제어했습니다 . 바이낸스는 이후 침투 경로가 고객이 아니라 직원을 노린 스피어 피싱이었다고 밝혔습니다 . 이런 사건에서는 계정을 아무리 철저히 지켰어도, 플랫폼이 잃어버린 자금에 대한 청구권만 남을 뿐입니다. 그때 피해를 좌우하는 것은 2FA 설정이 아니라 거래소에 얼마를 맡겨 뒀는지, 그리고 거래소의 준비금이 얼마나 두터운지입니다.

통제할 수 없는 것은 무엇이고, 거래소 해킹 피해는 어떻게 줄일까요?

거래소 자체 핫월렛이 뚫리는 것은 우리가 막을 수 없습니다. 다만 그 일이 터졌을 때 거래소에 얼마를 맡겨 두었는지는 우리가 정할 수 있습니다. 바이낸스(Binance)는 2026년 10월 31일 기준으로 피해 자산의 약 90%를 SAFU 기금, 선물 보험 기금 일부, 회사 자체 재무 자산으로 충당할 수 있다고 밝혔습니다 (source: CNBC, 2026-10). 이 안전망은 바이낸스의 재무 상태에서 나온 것입니다. 이용자 본인의 설정은 여기에 아무 영향을 주지 못했습니다. 준비금이 얇은 소규모 거래소라면 같은 대응을 하지 못할 수도 있습니다.

자금을 되찾을 가능성은 어떤 자산을 털렸는지에 따라서도 달라집니다. 스테이블코인 동결이란 테더(Tether)나 서클(Circle) 같은 발행사가 특정 주소에 있는 토큰을 묶어 두는 조치입니다. 발행사가 통제하는 토큰에서만 가능합니다. 비트코인과 이더리움에는 발행사가 없어서 아무도 동결할 수 없습니다. 최근 두 건의 해킹이 이 차이를 보여 줍니다.

• 바이낸스: 약 27억~30억 달러가 동결되었고, 대부분 스테이블코인이었습니다 . TRM Labs는 공격자가 아직 약 24억 달러를 쥐고 있다고 추정합니다. 대부분 42만 ETH 이상과 18,270 BTC입니다 .
• 메르카도 비트코인(Mercado Bitcoin): Bitquery는 1,140만 달러(24%)가 동결되었고 3,720만 달러(76%)는 여전히 위험한 상태라고 집계합니다. 대부분 BTC, ETH 등 발행사가 동결할 수 없는 토큰입니다 .

실제로 거래소에 USDT나 USDC로 맡겨 둔 돈은 같은 금액을 BTC나 ETH로 맡겨 둔 경우보다 해킹 뒤 회수될 가능성이 높습니다. 다만 이는 거래소가 자체 자금으로 손실을 메우지 못하는 경우에 한한 이야기입니다.

거래소의 서명 시스템을 직접 감사할 수는 없지만, 한 거래소에 노출되는 정도는 줄일 수 있습니다.

• 잔고를 여러 거래소에 나눠 두세요. 두세 곳에서 거래한다면, 한 곳이 뚫려도 거래용 자금 일부만 묶입니다.
• 수익은 정해진 주기로 출금하세요. 매주, 또는 포지션을 닫을 때마다처럼 루틴을 정해 두면 수익이 핫월렛 환경에 쌓이지 않습니다.
• 준비금과 보상 방침을 확인하세요. 이름이 명시된 보험 기금, 공개된 준비금 증명(proof-of-reserves), 손실 보전 정책이 있는지 살펴보세요. 바이낸스와 메르카도 비트코인은 모두 이용자 손실을 보전하겠다고 약속했습니다 (source: CoinDesk, 2026-11). 하지만 모든 거래소에 그런 약속을 지킬 만한 준비금이 있는 것은 아닙니다.

바이낸스를 뚫은 수법은 개인도 노릴 수 있습니다. 공격은 노트북 한 대의 감염과 직원을 겨냥한 스피어 피싱에서 시작되었는데, 공격자가 개인 트레이더에게 쓰는 경로와 같습니다 . 암호화폐 전용으로 깨끗한 기기를 하나 두고, 불법 복제 소프트웨어와 불필요한 브라우저 확장 프로그램을 쓰지 말고, 출처 모를 파일은 열지 마세요. 본인이 직접 시작하지 않은 서명 요청은 절대 승인하지 마세요. 이더리움에서는 승인 한 번이 보이는 것보다 훨씬 큰 권한을 넘길 수 있는데, EIP-7702 위임 수법이 훨씬 큰 규모로 통했던 방식이 바로 이것입니다.

공격은 몰려서 일어나는 경향도 있습니다. CoinDesk는 결제 처리 업체 BTCPay가 바이낸스 공격 이후 공격을 받았다고 보도했습니다 . 대형 해킹이 벌어진 뒤 몇 주 동안은 사용 중인 지갑 연결 도구, 결제 플러그인, 외부 연동 서비스를 모두 위험도가 높은 공격 대상으로 여기세요.

해킹 이후 보안 체크리스트와 사기 주의 목록

침해 사고 뒤에 자금을 지키는 일은 대부분 한 번 앉아서 만들어 둘 수 있는 습관에 달려 있습니다. 먼저 시드 문구부터 챙기세요. 시드 문구는 재설정이 불가능한 유일한 인증 정보입니다. 12개 또는 24개의 복구 단어만 손에 넣으면 해커는 하드웨어 지갑을 뚫을 필요가 없습니다. 이 단어들은 종이나 금속판에 적어 오프라인으로 보관하세요. 웹사이트, 브라우저 확장 프로그램, '고객 지원' 양식에는 절대 입력하면 안 됩니다. 보유 규모는 온라인에서든 직접 만나서든 이야기하지 마세요. 해킹 사후 보도들은 알려진 보유자를 노린 물리적 '렌치 공격'이 늘고 있다고 경고합니다 (source: Forbes, 2026-11).

다음 위험은 뉴스 헤드라인을 따라다니는 사기입니다. '해킹 보상'을 제안하거나 환불 자격을 얻으려면 '지갑을 인증하라'고 요구하는 메시지는 모두 무시하세요. 바이낸스는 피해 자산을 SAFU 펀드, 선물 보험 기금 일부, 회사 자금으로 보전한다고 밝혔기 때문에, 이용자가 따로 할 일은 없습니다 (source: CNBC, 2026-10). 이와 다르게 말하는 링크, DM, 이메일은 모두 피싱입니다. 바이낸스는 이번 침해 자체가 스피어 피싱에서 시작됐다고 밝혔습니다 .

10분이면 끝나는 체크리스트

1. 장기 보유 자산은 거래소 밖으로 옮기세요. 거래소에는 실제 거래에 쓰는 잔액만 남겨 두세요. 저축분은 제조사에서 직접 구매한 하드웨어 지갑으로 보내고, 승인하기 전에 기기 자체 화면에서 주소를 확인하세요.
2. 하드웨어 보안 키를 활성화하세요. 거래소가 지원한다면 SMS나 앱 기반 2단계 인증을 FIDO2 키나 패스키로 바꾸세요.
3. 지연 시간이 있는 출금 화이트리스트를 켜세요. 그러면 계정을 탈취한 사람이 새 주소로 곧바로 자금을 보낼 수 없습니다.
4. API 키를 점검하세요. 쓰지 않는 키는 삭제하고, 트레이딩 봇 키에 출금 권한이 없는지 확인하세요.
5. 피싱 방지 코드를 설정하세요. 설정하면 거래소가 보낸 진짜 이메일에 본인만의 코드가 표시됩니다. 코드가 없는 이메일은 가짜로 보세요.
6. 기기와 세션을 점검하세요. 모르는 세션은 로그아웃하고, 오래된 기기는 제거하고, 가상자산용으로 쓰는 컴퓨터에는 불필요한 확장 프로그램과 소프트웨어를 두지 마세요.

앞으로 지켜볼 것

• 바이낸스의 최종 피해 규모. TRM Labs는 유출액을 약 63억 6천만 달러로 추정합니다 . 바이낸스는 각 재원이 얼마씩 보전하는지 아직 금액별로 밝히지 않았습니다.
• 추가로 드러날 침해 조사 결과. 바이낸스의 설명은 이미 한 번 바뀌었습니다. 처음엔 노트북 침해라고 했다가 스피어 피싱으로 달라졌습니다 .
• 공격자에게 남은 자금. TRM은 약 24억 달러가 아직 공격자 통제 아래 있다고 추정합니다. 대부분 ETH와 BTC여서 어떤 발행사도 동결할 수 없습니다 (source: TRM Labs, 2026-10).
• EU 관련 도난 사건의 확인 여부. 2026년 11월 4일 현재, ZachXBT가 보고한 1억 600만 달러 넘는 피해에 대해 해당 기관도, 어떤 거래소도 공식적으로 확인하지 않았습니다 (source: Decrypt, 2026-11).
• 메르카도 비트코인(Mercado Bitcoin) 사건의 배후. 아직 책임자가 지목되지 않았습니다. Bitquery는 해당 피해액 가운데 3,720만 달러가 아직 위험에 노출돼 있다고 추정합니다 (source: Bitquery, 2026-11).

세 사건 모두 아직 진행 중이고, 피해 합계도 출처마다 다릅니다. 하나의 수치만 보고 움직이기 전에 최신 보도를 다시 확인하세요. 최종 수치가 어떻게 나오든 핵심 교훈은 같습니다. 거래소가 뚫리는 것은 막을 수 없습니다. 내가 통제할 수 있는 것은 거래소에 얼마를 맡겨 두는지, 그리고 내 계정이 얼마나 탈취하기 어려운지입니다.

자주 묻는 질문

바이낸스 해킹으로 제 돈도 잃었나요?

자금이 바이낸스 계정에 있었다면, 바이낸스가 손실을 직접 떠안겠다고 밝혔습니다. 따로 하실 일은 없습니다. 2026년 10월 31일 거래소는 피해 자산의 약 90%를 보전했다고 밝혔습니다. BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD, ZEC는 100% 지급 준비가 되어 있다고 했습니다. 재원은 SAFU 펀드, 선물 보험 펀드의 일부, 그리고 회사 자금입니다 (source: CNBC, 2026-10). '보전'은 바이낸스가 자기 자금으로 잔고를 채워 줬다는 뜻입니다. 도난당한 자금을 되찾았다는 뜻은 아닙니다. 출금은 2026년 11월 1일 비트코인부터 재개되었습니다 . '해킹 보상'을 내세우거나 지갑을 '인증'하라고 요구하는 메시지는 모두 무시하세요. 사기입니다.

하드웨어 지갑을 썼다면 바이낸스 해킹을 피할 수 있었나요?

네. 본인의 하드웨어 지갑에 보관한 코인은 공격자가 2026년 10월 29일 털어 간 바이낸스 핫월렛에 없었습니다. TRM Labs는 이번 도난이 열 개 블록체인에 걸친 '바이낸스 핫월렛 서명 인프라의 침해'에서 비롯되었다고 봅니다 (source: TRM Labs, 2026-10). 자기 보관(셀프 커스터디)이 위험을 없애 주지는 않습니다. 서명 위험이 본인에게 넘어올 뿐입니다. 기기는 제조사에서 직접 구매하고, 시드 문구는 오프라인에 보관하며, 승인하기 전에 기기 자체 화면에서 모든 주소와 금액을 확인하세요 (source: Forbes, 2026-11).

지금 바이낸스에 코인을 두어도 안전한가요?

바이낸스는 보전한 자산이 지급 준비되어 있다고 밝혔습니다. 2026년 11월 1일 출금을 재개했고, 위키피디아에 따르면 처음 아홉 시간 동안 46억 5천만 달러가 출금되었습니다 (source: Wikipedia, 2026-11). 계정 보안만으로는 거래소가 뚫리는 것을 막을 수 없으니, 현실적인 기준은 얼마를 맡겨 두느냐입니다. 어느 거래소든 활발히 거래하는 잔고만 두세요. 장기 자산은 자기 보관으로 갖고 계시고요. 플랫폼에 돈을 더 넣기 전에 최신 준비금과 보험 펀드 공시를 읽어 보세요. Keystone Research Group의 이만 샤피에이(Iman Shafiei)는 CNN에 거래소 보관 방식에서는 "그 시스템이 한 번 해킹되면 모든 사람의 자금이 위험해질 수 있다"고 말했습니다 (source: CNN, 2026-10).

도난당한 BTC나 ETH도 동결하거나 되찾을 수 있나요?

발행사 차원에서는 불가능합니다. 동결할 수 있는 것은 발행사가 통제하는 토큰뿐입니다. 바이낸스 해킹 이후 테더(Tether)와 서클(Circle) 같은 스테이블코인 발행사는 아비트럼(Arbitrum) 보안 위원회의 도움을 받아 자사 토큰을 동결했습니다. 동결 규모는 추정치가 약 27억 달러(TRM Labs)에서 약 30억 달러(위키피디아)까지 다양합니다 . 어떤 회사도 BTC나 ETH는 동결할 수 없습니다. 그래서 TRM Labs는 공격자가 아직 약 24억 달러를 쥐고 있다고 추정하며, 대부분 42만 개 이상의 ETH와 18,270 BTC입니다 . 메르카도 비트코인(Mercado Bitcoin) 사건도 같은 양상입니다. Bitquery에 따르면 1,140만 달러가 동결되었고 3,720만 달러는 여전히 위험한 상태이며, 대부분 발행사가 동결할 수 없는 토큰입니다 (source: Bitquery, 2026-11).

거래소 계정을 가장 잘 지키는 방법은 무엇인가요?

비밀번호 하나가 털리거나 피싱 링크 하나를 눌러도 계정이 비워지지 않도록 방어를 겹겹이 쌓으세요 (source: Forbes, 2026-11):

• 강력한 2단계 인증(2FA): FIDO2 하드웨어 보안 키나 패스키가 가장 좋고, 그다음이 인증 앱입니다. SMS가 가장 취약합니다.
• 출금 주소 화이트리스트: 켜 두세요. 가능하면 지연 시간을 함께 설정해 새 주소로는 바로 송금되지 않게 합니다.
• 피싱 방지 코드: 설정해 두면 거래소가 보낸 진짜 이메일과 가짜를 구별할 수 있습니다.
• API 키: 트레이딩 봇 키에는 절대 출금 권한을 주지 마세요.
• 깨끗한 기기: 암호화폐 전용으로 최신 상태를 유지한 기기를 쓰세요. 바이낸스 침해는 노트북 한 대의 감염과 스피어 피싱에서 시작되었습니다 .