요약: 2026년 10월 29일, 약 63억 달러가 Binance 지갑에서 빠져나갔고, 그 대부분은 약 20분 만에 일어났습니다. 아무것도 뚫리지 않았습니다. 블록체인이 해킹된 것이 아니며, Binance는 개인 키가 유출됐다는 증거를 찾지 못했습니다. Binance의 초기 조사 결과는 DevOps 엔지니어 한 명의 감염된 노트북을 가리킵니다. 그 노트북이 출금 제출 권한을 신뢰받는 서비스에 닿았습니다. 이체는 정상 승인 절차를 건너뛰고 정당한 경로로 이동했기 때문에 평소 거래처럼 보일 수 있었습니다. 분석 업체 두 곳이 북한의 TraderTraitor를 의심하지만, 이는 확인되지 않았습니다.
무슨 일이 있었나
Binance는 10월 30일 보안 업데이트에서 "The estimated total impact sits at around $6.3B,"(추정 피해 총액은 약 63억 달러)라고 밝혔습니다. BBC는 이를 "what is thought to be the largest hack in history - worth up to $6.3bn (£4.7bn)"(사상 최대 규모로 여겨지는 해킹으로, 최대 63억 달러(47억 파운드) 규모)이라고 불렀습니다.
비교를 위해 BBC의 사이버 담당 기자 Joe Tidy는 이전 기록들을 나열했습니다: "Last year $1.5bn (£1.12bn) was taken from Bybit. Before that it was $600m (£433m) from Poly Network in 2021 and $540m (£412m) from Ronin in 2022."(작년에는 Bybit에서 15억 달러(11억 2천만 파운드)가 털렸다. 그 전에는 2021년 Poly Network에서 6억 달러(4억 3,300만 파운드), 2022년 Ronin에서 5억 4천만 달러(4억 1,200만 파운드)였다.)
속도도 빨랐습니다. TRM Labs: "On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC"(2026년 10월 29일, 공격자는 10개 블록체인의 Binance 지갑에서 약 63억 6천만 달러를 빼냈으며, 대부분은 20:05 UTC부터 약 20분 사이에 이뤄졌다). TRM의 Ari Redbord는 BBC에 이렇게 말했습니다: "That speed is the product of long preparation."(그 속도는 오랜 준비의 결과다.)
블록체인도, 키도 아니었다
놀라운 점은 무엇이 뚫리지 않았느냐입니다. BBC의 Mitchell Labiak: "The short version is that the blockchain wasn't hacked. Rather, the exchange on which people trade cryptocurrency was hacked."(간단히 말해 블록체인이 해킹된 것이 아니다. 사람들이 암호화폐를 거래하는 거래소가 해킹된 것이다.)
그리고 Binance: "We have found no evidence of any wallet private key leak."(지갑 개인 키가 유출됐다는 증거는 찾지 못했다.)
노트북 한 대에서 시작됐을 수도 있다
Binance의 초기 답변입니다: "Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions."(Binance의 초기 조사에 따르면 이번 보안 사고에는 감염된 DevOps 엔지니어의 노트북이 관련됐을 수 있으며, 이를 통해 공격자가 서비스 컨테이너에 접근해 승인되지 않은 출금 거래를 제출할 수 있었다.)
기기가 한 대가 아니었을 수도 있습니다. BBC가 전한 Binance 공동 CEO Richard Teng의 말: "This was not carried out by one person. Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach."(이는 한 사람이 저지른 일이 아니다. 초기 조사에서는 감염된 노트북 한 대가 관련됐을 수 있다고 봤지만, 이후 조사에서 추가 침투 지점이 드러났다.)
Binance는 그 서비스에 어떻게 접근했는지 공개하지 않았고, 이 글도 추측하지 않습니다.
왜 막기 어려운가
Teng은 이체가 "did not pass through our normal approval controls"(정상적인 승인 통제를 거치지 않았다)고도 말했습니다.
Aikido의 Mackenzie Jackson은 BBC에 일반적인 구조를 이렇게 설명했습니다: "From one laptop, an attacker can open one internal system, then another, until they reach a service trusted to send out withdrawals. Those withdrawals travel through a legitimate route, so they can look routine."(노트북 한 대에서 공격자는 내부 시스템을 하나 열고, 또 하나를 열어, 출금을 보내도록 신뢰받는 서비스에 닿을 수 있다. 그 출금은 정당한 경로로 이동하므로 평소 거래처럼 보일 수 있다.)
BBC가 요약한 Jackson의 말: "He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it. Those machines hold the digital keys that unlock a company's systems, so an attacker can act as that engineer."(그는 해커들이 회사 인프라를 노리던 데서 그 인프라를 운영하는 사람들의 기기를 노리는 쪽으로 옮겨 갔다고 말한다. 그 기기에는 회사 시스템을 여는 디지털 열쇠가 들어 있어, 공격자가 그 엔지니어 행세를 할 수 있다.)
누구인가: 의심, 확인 아님
BBC가 전한 TRM Labs의 말: "Several features of this attack match earlier North Korea-linked heists"(이번 공격의 여러 특징이 이전의 북한 연계 탈취 사건과 일치한다). 그중 하나가 Bybit입니다. FBI: "North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025."(북한은 2025년 2월 21일경 암호화폐 거래소 Bybit에서 약 15억 달러 상당의 가상 자산을 탈취한 책임이 있다.)
Binance 건에 대해서는 분석 업체 두 곳이 용의자를 지목합니다. TRM Labs: "TRM attributes the attack to TraderTraitor, North Korea's elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence."(TRM은 확실한 온체인·오프체인 정보를 바탕으로 이번 공격을 북한의 정예 해킹 조직 TraderTraitor의 소행으로 본다. 우리는 이 판단을 높은 확신을 갖고 내린다.) Chainalysis: "Chainalysis investigators assess the $6.4 billion hack of Binance … to be the work of North Korean cybercrime group TraderTraitor."(Chainalysis 조사관들은 Binance의 64억 달러 해킹을 … 북한 사이버 범죄 조직 TraderTraitor의 소행으로 평가한다.)
하지만 Elliptic은 이렇게 짚습니다: "No government or law enforcement agency has confirmed attribution, and Binance has not commented on who was responsible."(어떤 정부나 법 집행 기관도 배후를 확인하지 않았고, Binance도 누구의 책임인지 언급하지 않았다.) BBC도 "We don't yet know who was behind the attack"(공격의 배후가 누구인지는 아직 모른다)라고 했습니다. 그러니 의심일 뿐, 확인된 것은 아닙니다.
그 뒤에 일어난 일
Binance는 "temporarily suspended withdrawals while security checks are completed"(보안 점검이 끝날 때까지 출금을 일시 중단했다)고 하며 이렇게 말했습니다: "Binance will cover all losses from the SAFU fund and the company's funds. User funds are safe."(Binance는 모든 손실을 SAFU 펀드와 회사 자금으로 보전한다. 사용자 자금은 안전하다.) 또 이렇게 알렸습니다: "We have worked with blockchain partners to freeze affected assets, with ~$3 billion frozen on-chain so far."(블록체인 파트너들과 함께 피해 자산을 동결했으며, 지금까지 온체인에서 약 30억 달러가 동결됐다.)
시간이 중요합니다. 탈취는 몇 분이면 끝나지만, 자금 세탁에는 몇 주가 걸립니다. Chainalysis: "Following major theft events between 2022-2025, stolen funds follow a structured, multi-wave laundering pathway that unfolds over approximately 45 days"(2022~2025년의 주요 탈취 사건 이후, 도난 자금은 약 45일에 걸쳐 진행되는 체계적이고 여러 단계로 이뤄진 세탁 경로를 따른다). 규모로 보면: "North Korean hackers stole $2.02 billion in cryptocurrency in 2025, a 51% year-over-year increase"(북한 해커들은 2025년에 20억 2천만 달러어치 암호화폐를 훔쳤으며, 이는 전년 대비 51% 증가한 것이다)(Chainalysis).
그리고 돈을 되찾는 데는 오래 걸립니다. Bybit 건에 대해 Decrypt는 18개월이 지난 시점에 "around $48.4 million has been recovered and about $30.5 million frozen across more than 28 exchanges and custodians"(약 4,840만 달러가 회수됐고, 28곳이 넘는 거래소와 수탁 기관에서 약 3,050만 달러가 동결됐다)라고 보도했습니다. 15억 달러 중 약 3%가 회수된 셈입니다(직접 계산: 4,840만 달러 ÷ 15억 달러).
대책
- 요청하는 시스템 바깥에서 승인하기. FBI는 회사 금융 자산을 옮기기 전에 "Require multiple factors of authentication and approvals from several different unconnected networks"(서로 연결되지 않은 여러 네트워크에서 다중 인증과 승인을 거치도록 하라)고 권고합니다.
- 누가 무엇에 서명할 수 있는지 나누기. TRM Labs: "Signing infrastructure and approval paths should be separated by chain and wallet tier."(서명 인프라와 승인 경로는 체인과 지갑 등급별로 분리해야 한다.)
- 돈 가까이에 있는 기기를 잠그기. "For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company's network"(대량의 암호화폐에 접근할 수 있는 회사에 대해 FBI는 회사 네트워크에 연결된 기기를 차단할 것을 권고한다), 즉 승인된 프로그램 외에는 아무것도 내려받거나 실행하지 못하게 하라는 것입니다.
가장 큰 탈취는 암호 기술을 깨지 않습니다. 돈을 옮기도록 신뢰받는 절차를 장악하며, 그 절차는 사람과 그들의 노트북을 거쳐 갑니다.
출처
- Binance, Security Incident Update, 2026년 10월 30일
- TRM Labs, North Korea steals $6.36 billion from Binance in the largest hack in history, 2026년 10월 29일
- Chainalysis, Binance exploit: latest findings and response, 2026년 10월 30일
- Elliptic, Binance: the largest hack in history, 2026년 10월 30일
- BBC News, North Korea thought to be behind $6.3bn crypto hack, as firm begins recovering some funds(라이브 페이지), 2026년 10월 30일
- Chainalysis, Crypto hacking and stolen funds 2026, 2025년 12월
- Decrypt, Bybit sues North Korea over $1.5B hack, wins order freezing assets, 2026년 8월 10일
- FBI, PSA 250226(Bybit), 2025년 2월 26일
- FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 2024년 9월 3일
영상은 코드로 애니메이션을 만들었고, 대본은 AI의 도움을 받아 썼습니다. 위의 모든 수치는 출처와 대조해 확인했습니다. 설명을 위한 연출: 노트북 화면을 채우는 감염, 단계별로 건너가는 경로, 거래 기록. 이 글은 위험과 대책을 설명할 뿐, 공격 방법을 설명하지 않습니다. 영상은 영어로 되어 있습니다. 영상은 Shotloop으로 만들었습니다. 코드로 설명 영상을 만들고 한 샷씩 고칠 수 있는 제가 만든 무료 Mac 앱입니다.