✅ 보고서 제목: 바이낸스(Binance) 핫월렛 침해 사고 및 멀티체인 자산 탈취 정황 분석 보고서

✅ 보고서 요약

• 2026년 10월 29일 바이낸스 핫월렛에서 시작된 보안 침해로 10개 이상의 블록체인에서 약 63억~64억 달러 규모의 자산이 탈취되었습니다.
• FBI와 주요 블록체인 분석기업은 이번 공격을 북한 배후 APT 그룹 TraderTraitor의 소행으로 평가하였습니다.
• 공격자는 Ethereum의 EIP-7702 권한 위임 기능을 악용해 핫월렛 자산을 반복적으로 탈취하였으며, 바이낸스는 출금 중단과 자산 동결, 피해 전액 보전 등의 대응에 나섰습니다.

📌 바이낸스 핫월렛 침해 사고 개요

• 자산 유출 시작: TRM Labs에 따르면, 2026년 10월 29일 20:05 UTC경 XRP Ledger의 Binance 지갑에서 무단 자산 이전이 시작되었습니다. 이는 온체인에서 관찰된 유출 시작 시각이며, 최초 내부 침투 시각은 공개되지 않았습니다.
• 피해 규모: Binance는 약 63억 달러의 피해를 발표하였으며, TRM Labs는 당시 가격 기준 약 63억 6천만 달러, Elliptic은 약 64억 3천만 달러로 집계하였습니다.
• 영향 범위: TRM Labs는 Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche 및 Polygon 등 10개 블록체인에서 자산 유출을 추적하였으며, Elliptic은 11월 1일 업데이트에서 NEAR 등을 포함해 11개 체인의 피해를 집계하였습니다.
• Attribution: FBI는 10월 31일 이번 자산 탈취의 책임 주체를 북한으로 발표하고, 배후 그룹을 TraderTraitor로 지목하였습니다. Chainalysis와 TRM Labs 역시 TraderTraitor의 소행일 가능성이 높다고 평가하였으며, Elliptic은 FBI 발표 이전부터 TraderTraitor를 유력한 배후로 평가하였습니다.
  • 위협행위자 TraderTraitor는 누구인가요? 암호화폐 탈취를 목적으로 활동하는 북한 배후의 APT 그룹으로, 2022년 4월 미국 정부의 보안 권고를 통해 알려졌습니다. 주로 암호화폐 거래소, DeFi 플랫폼 및 관련 기업을 대상으로 디지털 자산을 탈취하며, 보안업체에 따라 UNC4899, Jade Sleet 및 Slow Pisces 등의 명칭으로 추적됩니다.
    • 관련보고서: TraderTraitor의 GopherGrabber 악성코드에 대한 상세 분석
    • 관련보고서: 북한 배후 조직의 자금세탁 인프라 및 네트워크 분석

📌 바이낸스 핫월렛 침해 사고 내용

• 1. Binance가 공개한 초기 조사 결과 및 추가 설명
  • Binance는 DevOps 엔지니어의 노트북 침해를 통해 공격자가 서비스 컨테이너에 접근하고 무단 출금 거래를 제출했을 가능성을 제시하였으나, 당시 개인키 유출 증거는 확인되지 않았다고 밝혔습니다.
  • 이후 추가 침해 지점을 확인하였으며, 공격이 단일 엔지니어의 권한이 아닌 복합적인 과정을 거쳐 이루어졌다고 설명하였습니다. 다만 최초 침투 수단과 내부 이동 경로는 공개되지 않았습니다.
• 2. 온체인에서 관찰된 사전 준비 및 자산 유출
  • TRM Labs는 10월 28일부터 Tornado Cash를 통한 운영 자금 수신과 공격 코드 배포·시험 등 사전 준비 정황을 확인하였습니다. 다만 해당 기록만으로 내부 침투 시점이나 방법을 판단할 수는 없습니다.
  • 10월 29일 20:05(UTC)경 XRP Ledger에서 자산 유출이 시작되었으며, 주요 유출은 약 20분간 집중되었습니다. 이후 23:05경 Avalanche와 Polygon에서도 추가 유출이 관찰되었습니다.
• 3. Ethereum의 EIP-7702 권한 위임 악용
  • 공격자는 10월 29일 20:20경 서로 다른 연속 nonce를 지정한 사전 서명 위임 승인 50개를 하나의 거래에 포함해 제출하였으며, 실행 시점의 nonce와 일치하는 승인이 적용되었습니다.
  • 위임된 핫월렛에서 공격자의 스위퍼 계약 코드가 실행되면서 자산이 탈취되었으며, 위임이 유지되는 동안 신규 유입 자산도 추가 서명 없이 반복적으로 이전되었습니다.
  • 해당 핫월렛이 다른 Binance 스마트 계정에 보유한 실행 권한까지 악용되어 8억 2,300만 USDC가 추가 인출되었습니다. ThreatMon에 따르면 악성 위임은 10월 30일 00:10:35에 해제되기까지 약 3시간 50분간 유지되었습니다.
• 4. 다른 지갑의 유효 서명 거래 및 침해 원인 평가
  • TRM Labs는 다른 체인의 Binance 지갑과 Ethereum의 별도 핫월렛에서도 유효한 서명이 포함된 일반 자산 전송 거래를 확인하였습니다.
  • 서로 다른 체인과 서명 방식의 지갑에서 단시간 내 거래가 실행된 점을 근거로, 공격자가 핫월렛 서명 시스템에 임의 거래의 서명을 요청할 수 있었을 가능성을 제시하였습니다. 다만 이는 분석기관의 추정으로, 개인키 원문 유출 여부는 확인되지 않았습니다.
• 5. 탈취 자산의 전환 및 자동화 의심 정황
  • 공격자는 동결 가능한 스테이블코인을 ETH 등으로 교환하고, 대출 및 크로스체인 서비스를 이용하여 자금을 이동하였습니다.
  • Chainalysis는 단시간 내 수천 건의 거래와 반복적인 1 TRX 지급, 순환 송금 패턴 등을 근거로 자동화된 자금 이동 가능성을 제시하였습니다.
  • 또한 탈취 자금이 북한 소행으로 평가된 9월 Bitget 사건의 탈취 자금과 온체인에서 혼합된 정황을 근거로, 이번 공격을 TraderTraitor 소행으로 평가하였습니다.
• 6. Binance 및 외부 기관의 대응
  • Binance는 출금을 일시 중단하고 영향을 받은 주소의 권한을 철회하였으며, 블록체인 파트너와 협력해 관련 자산을 동결하였다고 밝혔습니다.
  • 10월 30일 기준 공지에서는 약 30억 달러가 온체인에서 동결되었다고 발표하였으며, 사용자 손실을 SAFU 기금과 회사 자금으로 전액 보전하겠다고 발표하였습니다.

✅ 위협 탐지 권장 사항 및 조치 방안:

• 탐지
  • (비정상 출금) 체인별 및 자산별 정상 거래량을 기준으로 단시간 대규모 출금, 신규 수신 주소, 비정상 수수료 및 거래 패턴을 탐지하고, 여러 체인에서 동시에 발생하는 이상 출금도 상관 분석해야 합니다.
  • (서명 요청) 서명 요청의 호출 주체, 거래 대상, 금액, nonce, calldata 및 권한 위임 여부를 검증하고, 연속 nonce에 대한 다량의 EIP-7702 위임 승인 요청은 고위험 징후로 처리해야 합니다.
  • (권한 위임 상태) 핫월렛의 온체인 코드 및 위임 대상을 감시하고, 비인가 변경이 발생하면 즉시 경보를 발생시켜야 합니다.
  • (개발자 및 DevOps 단말) 인증 및 운영 환경 접근 기록을 분석해 비정상 세션 재사용, 자격 증명 악용, 컨테이너 변경을 탐지해야 합니다.
  • (개발 도구 변조 및 과제 저장소 실행) 개발 도구 구성요소와 비인가 교체, 실행 파일 삭제 및 심볼릭 링크 재생성, 저장소 설치 과정에서 발생하는 셀 실행과 외부 통신을 함께 분석해야 합니다.
  • (내부 AI 도구 및 배포 권한 악용) AI 도구 호출, 배포 토근 사용 및 컨테이너 생성 기록을 연계 분석해 비인가 접근과 월렛 서명 서비스 접근을 탐지해야 합니다.
• 초동 대응
  • (거래 억제) 침해가 의심되는 지갑의 출금 및 서명 요청을 중단하고 영향 범위를 확인해야 합니다.
  • (위임 해제) 출금 중단과 별도로 EIP-7702 위임 상태를 확인해야 합니다. 악성 위임이 존재하면 사전에 검증한 절차에 따라 해제하고 온체인 반영 여부를 확인해야 합니다.
  • (접근 차단 및 증거 보존) 의심 단말과 서비스 계정의 접근을 제한하고, 인증 기록, 서명 요청, 컨테이너 로그 및 거래 원문을 보존해야 합니다.
• 자산 추적 및 협력
  • FBI 및 분석업체가 공개하는 관련 주소를 거래 모니터링에 반영하고, 자금 이동 경로를 추적해야 합니다.
  • 발행사 및 운영자에게 동결 권한이 있는 자산은 관련 기관과 긴급 대응을 진행해야 하며, 동결·확보 여부와 실제 반환 여부는 구분하여 관리해야 합니다.
• 복구 및 재발 방지
  • 서명 요청을 제출하는 시스템과 서명을 승인하는 정책의 권한을 분리하고, 지갑별 거래 한도 및 수신 주소 검증을 적용해야 합니다.
  • 침해 지갑이 다른 스마트 계정에 보유한 실행 권한까지 점검하고, 체인별 및 지갑별 승인 경로와 긴급 위임 해제 절차를 검증해야 합니다.