FBI, 바이낸스 해킹 배후로 북한 지목…피해 규모와 보안 쟁점 정리

FBI, 바이낸스 해킹 배후로 북한 지목…약 64억 달러 탈취 사건의 핵심과 보안 과제

바이낸스에서 발생한 대규모 가상자산 탈취 사건과 관련해 미국 연방수사국(FBI)이 북한의 책임을 공식 발표했다. 이번 사건은 지갑의 개인키 보호뿐 아니라 개발자 단말기, 운영시스템 접근권한, 출금 승인 과정까지 함께 살펴봐야 한다는 과제를 남겼다.

2026년 11월 2일 확인 기준. 조사 결과와 자금 동결·보충 규모는 발표 시점과 집계 기준에 따라 달라질 수 있다.

64억 3,000만 달러

엘립틱이 추산한 탈취 자산 규모

약 89%

체이널리시스 발표를 인용한 보도상 올해 해킹 피해액의 북한 연계 추정 비중

약 95%

바이낸스의 11월 1일 공지상 피해 자산 보충 비율

먼저 확인할 내용

• FBI는 10월 31일 북한의 사이버 활동인 트레이더트레이터를 사건 배후로 지목했다.
• 피해 규모는 바이낸스 약 63억 달러, 엘립틱 약 64억 3,000만 달러로 집계 기준에 차이가 있다.
• 개발자 노트북 침해 가능성이 제기됐지만 전체 침입 경로는 조사 중이다.
• 자금 동결, 피해 자산 보충, 탈취 자금 회수는 서로 다른 의미다.
• 출금 재개는 자산·네트워크별 단계적 절차로 안내됐다.

1. FBI가 공식 발표한 내용은 무엇인가

FBI는 2026년 10월 31일 바이낸스 공격 관련 공식 경보를 통해, 10월 29일경 발생한 60억 달러 이상의 가상자산 탈취가 북한의 소행이라고 밝혔다. 해당 악성 사이버 활동은 ‘트레이더트레이터(TraderTraitor)’로 명명했다.

FBI는 미국 비밀경호국(USSS), 국세청 범죄수사국(IRS-CI)과 함께 탈취 자산이 주로 이더리움으로 전환되는 움직임을 관찰했다고 설명했다. 이후 DeFi와 즉시 교환 서비스 등을 통한 추가 자금세탁 가능성도 경고했다.

관련 지갑 주소를 공개하고 가상자산 서비스 사업자들에게 해당 주소 또는 그 주소에서 유래한 자금과의 거래를 차단하도록 협조를 요청했다. 이는 공격 배후 발표와 자금 이동 차단을 병행하는 대응이다.

2. 피해액이 63억 달러와 64억 달러로 다르게 나오는 이유

대규모 가상자산 사고에서는 조사기관과 거래소가 서로 다른 피해액을 발표할 수 있다. 포함하는 거래 범위, 토큰 가격의 평가 시점, 사고 관련 자금으로 분류하는 기준 등을 확인해야 하기 때문이다.

발표 주체에 따라 구분한 피해 규모

발표 주체	안내한 규모	해석할 때 주의할 점
FBI	60억 달러 이상	배후 지목과 수사 협조를 위한 공식 발표
바이낸스	약 63억 달러	거래소가 공지한 피해 자산 규모
엘립틱	약 64억 3,000만 달러	온체인 분석을 바탕으로 한 추산

본문에서는 각 수치를 발표 주체와 함께 표기했다. 차이가 발생한 정확한 이유를 임의로 단정하지 않고, 관련 기관의 후속 조사와 평가 기준을 함께 확인하는 것이 적절하다.

3. 북한 연계 피해 89%는 ‘금액 비중’이다

체이널리시스 발표를 인용한 11월 1일 보도에 따르면, 올해 보고된 가상자산 해킹 피해액 중 북한 연계 공격으로 추정되는 비중은 약 89%다.

이 수치는 해킹 사건 100건 중 89건이 북한 소행이라는 뜻이 아니다. 전체 피해금액에서 북한 연계로 분류한 피해금액이 차지하는 비율이다. 피해액이 매우 큰 사건 하나가 포함되면 전체 비중도 크게 변할 수 있다.

체이널리시스 발표 인용 보도에 제시된 주요 통계

지표	수치	기준
올해 북한 연계 피해액 비중	약 89%	2026년 보고된 해킹 피해액 기준
2021년 북한 연계 피해액 비중	약 15%	2021년 피해액 기준
누적 전체 해킹 피해액	223억 4,000만 달러	2021년부터 2026년 10월 29일까지
누적 북한 연계 추정 피해액	132억 4,000만 달러	같은 기간 전체 피해액의 약 59%

15%에서 89%로의 변화는 74%포인트 증가다. 다만 기관별 추적 범위와 배후 분류 방식이 다를 수 있어 다른 보고서의 통계를 동일한 모집단으로 간주해 합산해서는 안 된다.

4. 개발자 노트북과 출금 운영환경이 주목받는 이유

바이낸스는 10월 30일 공식 공지에서 초기 조사상 침해된 노트북이 관련됐을 가능성을 언급했다. 이후 조사에서는 추가 침해 지점도 발견했다고 밝혔다.

같은 공지에서 당시까지 지갑 개인키가 유출됐다는 증거는 발견하지 못했다고 설명했다. 이는 개인키 유출이 최종적으로 배제됐다는 결론과는 다르다. 전체 공격 경로와 기여 요인은 후속 조사가 필요한 상태다.

개인키를 직접 훔치지 않아도 위험할 수 있다

일반적인 위협 모델에서는 개인키 자체를 외부로 반출하지 않고도, 정당한 권한을 가진 시스템에 악성 거래의 서명을 요청하는 방식으로 자산 이동을 유도할 가능성을 고려해야 한다. 따라서 키 저장장치와 별도로 서명 요청의 출처와 내용을 검증해야 한다.

‘정상 서명’과 ‘정당한 출금’은 구분해야 한다.

서명이 암호학적으로 유효하다는 사실은 해당 거래가 조직의 승인 정책과 사용자의 의도에 부합한다는 것까지 보장하지 않는다. 승인자가 확인한 정보와 실제 서명·전송되는 거래가 일치하는지도 중요하다.

위 설명은 사건을 이해하기 위한 보안 관점의 해석이다. 특정 컨테이너 취약점이나 제품 결함이 원인으로 확정됐다는 의미는 아니다.

5. 지갑을 분산하면 추적이 불가능해질까

제공된 기사에서는 공격자가 자금을 수천 개 지갑으로 분산하고 여러 블록체인과 교환 서비스를 거쳐 이동시킨 정황을 설명한다. 이런 방식은 분석해야 할 경로를 늘리지만 거래 기록 자체를 없애지는 않는다.

엘립틱도 사건 분석 보고서에서 반복적인 자금 이동과 자동화된 처리가 의심되는 패턴을 제시했다. 다만 자동화 정황만으로 AI가 자금세탁을 수행했다고 결론 내릴 수는 없다고 설명했다.

자금 이동 방식별로 살펴볼 분석 항목

관찰 대상	분석 관점
여러 지갑으로 분산	자금의 공통 출처와 이후 합류 지점 확인
토큰 교환	교환 전후 자산과 거래 시점 연결
블록체인 간 이동	출발 체인과 도착 체인의 대응 거래 분석
반복·정형화된 전송	자동화 가능성과 공통 운영 패턴 검토

온체인 연결고리는 중요한 조사 자료지만, 특정 주소와 사람·조직의 관계를 판단하려면 다른 수사 정보도 필요할 수 있다. 이번 사건의 공식 배후 판단은 FBI 발표와 구분해 읽어야 한다.

6. 동결·회수·보충은 서로 다른 숫자다

사건 이후 발표에서 가장 혼동하기 쉬운 부분은 피해 자산의 처리 상태다. 자금을 동결했다는 발표와 거래소가 피해 자산을 보충했다는 발표를 같은 의미로 받아들이면 실제 회수 규모를 잘못 이해할 수 있다.

피해 자산 관련 용어 구분

용어	의미	동일하게 볼 수 없는 상태
추적	자금 이동 경로와 관련 주소를 파악하는 과정	이동 차단이나 회수 완료
동결	자산을 추가로 이동하지 못하도록 제한하는 조치	피해자에게 반환 완료
회수	탈취 자산을 되찾는 것	최종 반환·분배 절차 완료 여부는 별도 확인
보충	거래소가 자체 재원 등으로 부족한 자산을 채우는 것	해커에게서 같은 금액을 되찾았다는 의미

엘립틱의 11월 1일 갱신 자료는 약 28억 5,000만 달러의 동결·압수 자금을 확인했다고 설명한다. 앞선 10월 30일 자료의 약 28억 4,000만 달러와는 발표 시점이 다르다. 해당 수치를 최종 회수액으로 표현해서는 안 된다.

7. 바이낸스 후속 발표는 보충 95%·출금 단계적 재개

제공된 기사에 포함된 약 90% 보충 수치는 후속 공지에서 갱신됐다. 바이낸스는 11월 1일 복구 업데이트에서 피해 자산의 약 95%를 보충했다고 밝혔다. 이는 거래소 측 발표이며 탈취 자산의 회수율은 아니다.

같은 공지는 11월 1일 UTC 06시부터 09시 사이, 한국시간 오후 3시부터 6시 사이에 1단계 출금 재개를 준비한다고 안내했다. 자산과 네트워크별로 준비 상태를 확인하며 순차적으로 재개하는 방식이다.

따라서 출금 재개 소식만으로 모든 자산과 네트워크의 출금이 정상화됐다고 판단해서는 안 된다. 실제 이용 가능 여부는 해당 자산의 출금 화면과 공식 네트워크 상태 안내에서 확인해야 한다.

8. 국내 거래소와 보안 운영팀이 점검할 영역

이번 사건에서 도출할 수 있는 운영상 시사점은, 단말기 침해가 실제 자산 이동 권한으로 이어지는 경로를 줄여야 한다는 것이다. 아래 항목은 공개 내용을 바탕으로 정리한 일반적인 방어 관점이며, 바이낸스에서 특정 통제가 부재했다고 단정하는 내용은 아니다.

단말기부터 출금까지 연결해서 확인할 보안 통제

영역	점검 방향	운영 질문
개발자 단말기	단말기 탐지·대응, 실행 통제, 세션 보호	단말기 침해 시 운영환경 접근을 신속히 차단할 수 있는가?
계정·접근권한	최소권한, 관리자 권한 분리, 세션 만료·회수	개발 권한으로 출금 시스템까지 접근할 수 있는가?
운영환경	배포 권한, 서비스 계정, 비밀정보와 관리 경로 점검	침해된 서비스가 어느 시스템까지 호출할 수 있는가?
거래 승인	수취 주소·금액·체인·호출 내용의 독립 검증	승인 화면과 실제 서명 대상이 일치하는가?
이상거래 대응	평소와 다른 출금 패턴과 다중 체인 유출 탐지	비정상 출금을 자동 제한하고 담당자에게 알릴 수 있는가?
증거 보존	접근·배포·승인·출금 로그의 외부 보존	침해된 시스템의 로그가 지워져도 경로를 추적할 수 있는가?

DB·서버 접근제어 기록, IAM 변경 이력, 단말기 탐지 이벤트, 애플리케이션 호출과 출금 로그를 시간순으로 연결하면 운영환경에서 자산 이동까지 이어지는 경로를 분석하는 데 도움이 된다. 장비별 정상 상태 확인을 넘어 권한과 거래 흐름을 함께 검증하는 접근이 필요하다.

9. 앞으로 확인할 내용

FBI의 배후 발표와 별개로, 최초 침입부터 출금 실행까지의 전체 기술 경로는 후속 조사에서 확인해야 한다. 바이낸스도 조사가 끝나면 추가 사고 보고서를 공개하겠다고 안내했다.

• 노트북 외에 확인된 추가 침해 지점과 실제 공격 경로
• 출금 승인·서명 과정에서 악용된 권한과 통제 지점
• 동결 자산 중 실제 회수·반환된 규모
• 남은 피해 자산 보충과 자산·네트워크별 출금 복구 상태

이번 사건은 가상자산 보안을 키 보관 문제만으로 좁혀 보기 어렵다는 점을 보여준다. 자산을 움직일 수 있는 계정과 시스템, 승인 과정까지 연결해서 보호하고, 사고 이후 발표에서도 배후 판단·피해 추산·동결·회수를 구분해 읽어야 한다.