바이낸스 보안사고 조사 공개 — '보충 98%'와 '회수'는 다른 숫자다

바이낸스는 10월 29일 보안사고의 초기 조사 보고서를 11월 3일 공개했다. 보고서상 영향을 받은 가상자산 규모는 약 63억4000만달러(약 8조5463억원), 이 가운데 동결 또는 차단된 금액은 약 28억5000만달러(약 3조8418억원)다. 동결·차단액은 조정과 시장가격 변동에 따라 달라질 수 있고, 이용자에게 반환된 금액과 같은 뜻이 아니다. 미국 연방수사국(FBI)은 10월 31일 북한을 탈취 주체로 발표하고 해당 활동을 'TraderTraitor'로 지칭했다. FBI 발표는 공격 주체에 관한 것이고, 바이낸스 조사는 내부 보안 절차와 사고 경로를 다룬다.

숫자를 읽을 때 구분이 필요한 지점이 하나 더 있다. 바이낸스는 11월 4일 업데이트에서 영향받은 자산의 약 98%를 보충했고 필요한 금액의 100%가 넘는 자체 자금도 마련했다고 밝혔다. 남은 2%는 유동성이 낮아 매입에 시간이 더 걸릴 수 있다고 했다. 여기서 98%는 거래소가 영향받은 자산을 채운 비율이며, 탈취 자산의 98%를 되찾았다는 뜻이 아니다. 보충액과 회수액은 별개로 봐야 한다. 같은 업데이트에서 준비금 증명(PoR) 스냅샷 대상 자산을 10종에서 44종으로 늘렸다고 했고, 전체 영지식 증명 생성에 약 50~60시간이 걸릴 것으로 예상했다. 11월 6일 기준 확대된 증명의 완료 여부는 확인되지 않았다.

창펑 자오 바이낸스 창업자는 11월 3일 옥스퍼드연합 행사에서 공격이 정교했다는 설명만으로 사고 원인이 모두 설명되지는 않으며 사전에 막을 기회와 지켜지지 않은 기본 보안 절차도 있었다는 취지로 말했다. 복잡한 정보 시스템의 안전을 100% 보장할 수는 없다는 입장도 밝혔다. 사고 후 대응뿐 아니라 사고 전 통제 절차를 함께 봐야 한다는 논점이다.

이용자가 확인할 것은 세 가지다. 첫째, 거래소 공지의 숫자가 '영향 규모'인지 '동결·차단'인지 '보충'인지 '이용자 반환'인지 이름을 그대로 읽는다. 둘째, 준비금 증명은 특정 시점 스냅샷이므로 기준 시각과 대상 자산 종수, 증명 완료 여부를 확인한다. 셋째, 보상 절차가 공지된 경우 신청 창구와 기한이 거래소 공식 공지에 있는지 본다.