10월 29일 밤(세계 표준시), 세계 최대 코인거래소 바이낸스의 고객 출금용 지갑에서 코인이 한꺼번에 빠져나갔다. 바이낸스가 추정한 피해는 약 63억 달러, 10월 23일 환율 기준 원화로 약 8조 3천억 원이다. 지금까지 최대였던 2025년 2월 바이비트 해킹(약 15억 달러)의 네 배가 넘는다.
흔한 반응은 “고객 돈 8조 원이 털렸다”다. 하지만 고객에게 중요한 건 따로 있다. 털린 건 바이낸스가 관리하던 지갑이고, 바이낸스는 손실을 전부 메우겠다고 했다. 남은 질문은 그 돈이 어디서 나오고, 언제 고객이 돈을 다시 꺼낼 수 있느냐다.
- 무슨 일이 일어났나
빠져나간 곳은 핫월렛(인터넷에 연결돼 고객 출금을 바로 처리하는 지갑)이다. 첫 집계로 이더리움 쪽 35억 1천만 달러, 비트코인 1만 8,270개(14억 4천만 달러), 트론 쪽 6억 3천만 달러가 옮겨졌다. 블록체인 분석업체 TRM 랩스는 범인이 10개 블록체인에서 20분 만에 돈을 빼 갔다고 분석했다.
바이낸스는 10월 30일 공지에서 운영 담당 개발자(데브옵스 엔지니어)의 노트북이 뚫렸을 가능성을 원인으로 들었다. 지갑 개인 키(코인을 옮길 수 있는 비밀번호 같은 값)가 샌 증거는 찾지 못했다고 했다.
같은 날 뒤이은 발표에서 바이낸스는 침입 지점을 더 찾았다고 밝혔다. 노트북 한 대만의 문제가 아니었다는 뜻이지만, 어디가 더 뚫렸는지는 공개하지 않았다. 조사가 끝나면 자세한 기술 보고서를 내겠다고 했다.
범인은 아직 확인되지 않았다. TRM 랩스는 북한 해킹 조직 ‘트레이더트레이터’를 “높은 확신”으로 지목했고, 체이널리시스도 북한 소행으로 봤다. 다만 분석업체의 판단일 뿐 수사기관 발표는 아니고, 바이낸스도 아직 책임자를 특정하지 않았다.
- 범인 지갑의 돈은 어떻게 막았나
첫 대응은 거래소가 아니라 스테이블코인(1개가 1달러에 맞춰진 코인) 발행사에서 나왔다. 테더는 첫 집계 기준 범인 주소의 USDT 9억 7,510만 개를, 서클은 같은 지갑의 USDC 8억 2,300만 개를 동결했다. 서클의 동결은 첫 거래 40분 뒤인 21시 4분이었다.
은행이 사기 계좌에 지급정지를 거는 것처럼 생각하면 된다. 다만 은행은 계좌를 막지만, 발행사는 코인에 처음부터 넣어 둔 정지 기능으로 그 주소의 코인을 움직이지 못하게 한다.
바이낸스는 약 30억 달러가 온체인에서 동결됐다고 밝혔다. 반면 비트코인에는 발행사도 정지 기능도 없어 1만 8,270개는 아무도 멈추지 못했다.
- 동결된 30억 달러는 돌아온 돈인가
아니다. 동결은 범인이 못 쓰게 묶어 둔 것이지, 바이낸스 금고로 돌아온 것이 아니다.
동결된 코인이 언제, 어떤 절차로 바이낸스에 돌아올지는 바이낸스도 발행사도 밝히지 않았다. 쉽게 말해 탈취액의 절반가량을 묶어 두긴 했지만, 그 돈으로 고객 손실을 메울 수 있을지는 아직 모른다.
- 고객 손실은 누가, 어떻게 메우나
바이낸스는 “모든 손실을 SAFU 기금과 회사 자금으로 메우겠다”, “이용자 자금은 안전하다”고 밝혔다. SAFU는 바이낸스가 해킹 같은 사고에 대비해 따로 쌓아 둔 이용자 보호 기금이다.
문제는 크기다. SAFU는 비트코인으로 약 10억 달러어치를 들고 있다. 피해 추정액 63억 달러의 6분의 1 정도다. 나머지 대부분은 회사 자금에서 나와야 한다. 비상금 통장으로는 모자라 월급 통장까지 헐어야 하는 규모다.
고객이 따로 보상을 신청해야 하는지, 잔고에 어떻게 반영되는지, 언제 끝나는지는 발표되지 않았다. 바이낸스는 수습이 끝나면 준비금 증명(고객이 맡긴 만큼 코인을 실제로 갖고 있음을 보여 주는 자료)을 새로 내겠다고 했다. 손실을 메운 결과는 이 자료로 확인할 수 있다.
- 지금 고객은 돈을 꺼낼 수 있나
10월 30일 기준 입금은 다시 정상이지만 출금은 아직 막혀 있다. 출금은 보안 점검을 마친 뒤 약 45시간 뒤에 다시 열 계획이라고 최신 발표에서 밝혔지만, 예상일 뿐 확정 날짜는 아니다.
바이낸스에 1,000만 원어치를 둔 사람이라면, 약속대로면 잔고 숫자는 그대로다. 다만 출금이 열릴 때까지 그 돈을 다른 곳으로 옮길 수 없다. 집주인이 보증금을 돌려준다고 했지만 이사 날짜는 아직 안 정한 상태와 비슷하다.
국내에서는 업비트가 바이낸스로 코인을 보낼 때 각별히 유의하라고 공지했고, 필요하면 바이낸스행 출금을 제한할 수 있다고 했다. 이번 사고에 대한 국내 금융당국의 조치는 확인하지 못했다.
- 2019년 해킹 때와 무엇이 다른가
바이낸스는 2019년 5월에도 비트코인 7,000개(약 4천만 달러)를 해킹당했다. 그때는 입출금을 일주일 멈췄고, 잃은 비트코인을 자기 돈으로 메웠다.
이번 피해는 그때의 150배가 넘는다. 해킹 전 바이낸스에 있던 자산 약 1,440억 달러의 4% 정도다. 회사가 메우겠다는 약속은 같지만, 그 약속에 걸린 돈의 크기가 완전히 다르다.
- 비트프레스 인사이트
이번 해킹에서 고객 잔고를 지키는 건 범인 지갑의 동결이 아니다. 동결된 30억 달러는 아직 묶여 있을 뿐이고, 고객 잔고는 바이낸스가 자기 돈으로 메우겠다는 약속에 달려 있다.
그 약속의 무게는 피해액과 보호 기금의 차이에서 나온다. 이번엔 보호 기금이 피해의 6분의 1뿐이라 나머지는 회사 자금이 메워야 한다. 그래서 고객이 당장 겪는 일은 손실이 아니라 출금이 멈춘 시간이다.
거래소가 “전액 보상”을 말할 때 따질 것은 약속 자체가 아니라, 피해가 보호 기금을 얼마나 넘는지와 그 차이를 회사가 감당할 수 있는지다.
출처
https://www.binance.com/en/support/announcement/detail/c5a8729a97ac486d963784d96c5642d7
https://www.coindesk.com/business/2026/10/29/potential-multi-billion-binance-hack-hitting-crypto-markets
https://decrypt.co/382191/binance-suspected-hack-5-billion-tether-circle-freeze-crypto
https://www.theblock.co/news/markets/2026-10-29-binance-investigating-hack-suspicious-outflows-5-billion-432171
https://decrypt.co/382203/binance-finds-additional-points-of-breach-in-6-3b-hack
https://thenextweb.com/news/binance-hack-6-3bn-north-korea-tradertraitor
https://www.news1.kr/finance/blockchain-fintech/6337977
https://www.fnnews.com/news/202610301319493582
https://www.spark.money/research/stablecoin-blacklisting-sanctions-mechanics
https://techcrunch.com/2019/05/15/binance-resumes-trading-following-40m-bitcoin-hack
https://fred.stlouisfed.org/series/DEXKOUS
용어 풀이
핫월렛 — 인터넷에 연결돼 있어 고객 출금을 바로 처리하는 거래소 지갑으로, 편하지만 해킹에 더 많이 노출된다.
SAFU — 바이낸스가 해킹 같은 사고에 대비해 따로 쌓아 둔 이용자 보호 기금이다.
스테이블코인 — USDT·USDC처럼 1개가 1달러에 맞춰지도록 발행사가 달러 자산을 쌓아 두고 찍어 내는 코인이다.
동결 — 발행사가 특정 주소의 스테이블코인을 보내지도 받지도 못하게 막는 것으로, 돈을 되찾은 것과는 다르다.
준비금 증명 — 거래소가 고객이 맡긴 만큼 코인을 실제로 갖고 있음을 보여 주려고 공개하는 자료다.
비트프레스 기사는 투자 판단을 돕기 위한 정보이며, 특정 종목·코인의 매수나 매도를 권하지 않습니다. 투자 결정과 그 결과의 책임은 투자자 본인에게 있습니다.
