이건 정말 충격적이라 꼭 언급해야 할 사안입니다. 바이낸스의 핫 월렛(hot wallet)이 완전히 강탈당했습니다. 심지어 그들 자신의 시스템이 해커의 지갑 주소에 무려 2억을 스스로 입금했습니다!
더 황당한 것은, 단 4분 만에 33억 달러가 사라졌다는 점입니다! 바이낸스가 트위터(X)를 통해 출금을 일시 중단했을 때도 해커들은 백그라운드에서 미친 듯이 코인을 인출하고 있었습니다... 저는 이 과정을 완벽하게 설명하는 영상을 만들었습니다.
이는 바이낸스 역사상 최대 규모의 도난 사건으로 기록될 만하며, 핫 월렛이 강탈당한 과정은 그들 자신의 시스템이 해커에게 자발적으로 돈을 지급했기 때문입니다.
바이낸스의 핵심 핫 월렛에서 새벽에 33억 달러 상당의 자산이 사라진 온체인(on-chain) 기록 전체가 공개되었습니다. 가장 소름 끼치는 부분은 금액의 크기가 아니라, 해커들이 이미 시스템의 서명 메커니즘(signature mechanism)을 완벽하게 파악했다는 점입니다.
해커들은 새벽 4시 20분부터 온체인 공격을 시작하여 핵심 월렛이 완전히 강탈당하기까지, 전체적인 체인 기록은 핵심 서명 시스템이 이미 침투되었을 가능성을 드러냈습니다.
대중들은 거래소가 해킹당했다면, 프론트엔드(frontend)가 피싱으로 주소를 바꿨거나 내부자가 자금을 빼돌린 경우라고 생각하기 쉽습니다.
하지만 이번에 온체인에서 복원된 작업의 본질은 이더리움(Ethereum)의 새로운 프로토콜인 EIP-7702를 겨냥한 차원 축소 수확(降維收割, downscaling harvest)이었습니다.
해커들은 수천만 건의 거래가 전송되었던 핵심 핫 월렛에 프록시 위임(proxy delegation)을 걸어두었고, 이 위임은 유효 기간이 있어 스마트 컨트랙트가 지갑 명의로 자산을 마음대로 조정할 수 있게 되었습니다. 그 결과, 단 4분 만에 첫 번째 물량인 25억 달러가 즉시 0으로 사라졌습니다.
더 치명적인 것은 자동화 프로세스의 지연이었습니다. 핵심 월렛이 비워진 후에도 자산을 자동으로 모으는 스크립트가 기계적으로 작동하고 있었고, 심지어 또 다른 핫 월렛에서는 새벽 5시경에 자발적으로 2억 USDT를 추가 입금했는데, 이것은 단 72초 만에 해커에게 빛의 속도로 가로채였습니다.
4시 20분의 가장 결정적인 공격 거래에서, 한 번에 핫 월렛의 합법적인 개인 키(private key) 서명이 포함된 50개의 권한이 패키징되었습니다. 이는 해커가 이미 완벽하게 갖춰진 합법적 서명 세트를 보유하고 있었음을 의미합니다.
경각심을 가져야 합니다. 스테이블 코인(stablecoin)은 중앙화된 수단을 통해 직접 차단하거나 동결할 수 있지만, 해커 주소에 있는 약 20만 개의 ETH는 어떤 기관의 통제도 받지 못하며 온체인에서 회수하기가 매우 어렵습니다.
가장 치명적인 취약점은 코드에 오타가 하나 더 적힌 것이 아니라, 여러분이 자랑스럽게 여겼던 자동화 방어 시스템이 이미 적에게 점령당한 서명 인장을 맹목적으로 신뢰하는 데 있습니다.