Binance $63억 해킹, EIP-7702 위임 공격, 2026-10-30
2026년 10월 29일 UTC 20:20–23:36 사이, Binance의 글로벌 핫 월렛이 체계적으로 비워졌으며, 8개 블록체인에서 총 약 $62.8–63억 상당의 자산이 유출됨—암호화폐 거래소 역사상 최대 규모의 단일 해킹 사건. 더욱 충격적인 건 공격 수법: 공…
서두: 63억 달러—암호화폐 거래소 역사상 최대 규모 해킹 사건, 그리고 전례 없는 공격 벡터를 이용한 범행
2026년 10월 29일 UTC 20:20부터 23:36까지, Binance의 글로벌 핫 월렛이 체계적으로 비워졌으며, 총 8개 블록체인에서 약 62.8–63억 달러 상당의 자산이 이체됨—이는 암호화폐 거래소 역사상 단일 해킹 사건 중 최대 규모(기존 기록은 2019년 Binance 자체 해킹 시 7,000 BTC ≈ 4,100만 달러로, 153배 증가). 더욱 충격적인 건 공격 수법이다: 공격자는 어떤 개인 키도 수학적으로 해독하지 않았고, 대신 해킹된 한 DevOps 엔지니어의 노트북을 통해 서명 서비스 권한을 탈취한 후, EIP-7702 위임 인증 메커니즘을 활용해 Binance 최대 이더리움 핫 월렛 ‘Binance 14’가 50건의 type-4 트랜잭션에 서명하게 했다. 이를 통해 월렛의 코드 실행 권한을 공격자가 배포한 sweep 계약에 영구적으로 위임한 것이다. 전체 공격은 서명 위임부터 2.5억 달러 상당의 ETH+USDT가 단일 sweep으로 이체되기까지 총 3분 24초가 소요됐다. Blockaid AI 탐지 시스템은 sweep 발생 후 2분 이내에 경보를 발령했으며, 11분 내에 서명 권한 탈취 및 EIP-7702 위임 메커니즘을 확인했고, 1시간 내에 모든 공격자 주소를 식별해 표시했다. Binance 공식 성명에 따르면 총 피해 규모는 약 63억 달러이며, 현재 체인 상 파트너들과 협력해 약 30억 달러를 동결시켰다(Tether 15.67억 달러 + Circle 8.22억 달러 + Ripple RLUSD + Paxos + World Liberty 등). 그러나 여전히 약 32.7억 달러 상당의 BTC/ETH/XRP/SOL 등 스테이블코인이 아닌 자산은 자유롭게 이체 가능하다. Binance는 입금과 출금을 전면 중단했으며, 모든 손실은 SAFU 기금과 회사 자금으로 부담할 것이라고 밝혔다. “사용자 자금은 안전합니다.”
공격 시간표: EIP-7702 위임에서 2.5억 달러 단일 sweep 이체까지 3분 24초
공격자의 기술적 경로(다중 출처 교차 검증: Blockaid 기술 분석 보고서 2026-10-30 UTC 02:30, ChainCatcher Dickson Wu 2026-10-30 UTC 08:00, Binance 진전 발표 UTC 10-30 10:00):
- UTC 10-28 심야 — 사전 준비: 공격자 주 지갑이 Tornado Cash에서 가스비만 충당할 수 있는 0.1 ETH를 3차례 분할 인출;
- UTC 10-29 13:51–16:47 — 연습: 공격자가 자신이 통제하는 3개 테스트 지갑에서 delegate-and-sweep 절차를 완전히 실행, 매번 2–6달러 규모로 EIP-7702 위임 및 sweep 함수를 테스트;
- UTC 10-29 15:59 — sweep 계약 배포: 계약 주소
0x63e8…6fAe, 소스코드 미검증, operator 주소는 공격자 주소, sweep() 함수 포함(모든 토큰 + ETH 일괄 이체 + 위임된 계좌가 다른 계약을 호출할 수 있도록 하는 forwarding 함수); - UTC 10-29 20:20:59 — 핵심 트랜잭션: 공격자가 Binance 14에 type-4 트랜잭션을 전송, Binance 14가 50건의 EIP-7702 위임에 서명(nonce 18914775–18914824, 연속 50개), 모두 sweep 계약에 위임. 이 중 49건은 nonce 만료로 무효화되었고, 1건만 현재 nonce와 정확히 일치해 위임이 성공—이 시점에서 Binance 14는 여전히 정상적으로 출금을 처리 중이었고, 서명 시스템은 자신이 방금 코드 실행 권한을 공격자에게 넘겨준 사실조차 인지하지 못함;
- UTC 10-29 20:24:23 — 2.5억 달러 단일 이체: operator가 sweep()을 호출, Binance 14가 167,464 ETH + 1.615억 USDT + 61종 토큰을 이체 = 단일 트랜잭션 2.5억 달러. Binance 14에는 1 ETH만 남음;
- UTC 10-29 20:24:47 – 21:00 — 다중 체인 동시 청산: 24초 후 Binance 16이 9건 이체로 1.74억 달러(28,006 ETH + 5,570만 USDT + RLUSD 등)를 전송; Arbitrum 4개 핫 월렛이 7,460만 ARB + 8,426 ETH 이체; Avalanche에서 181만 AVAX + 84.1만 USDT 이체; Optimism Binance 55가 4,420만 OP 이체; BTC 체인에서 11건의 트랜잭션이 동일 블록 내에서 18,270 BTC를 19개 신규 주소로 분할(각 주소 1,000 BTC); TRON에서 6.127억 USDT + 4,640만 TRX 이체; XRP Ledger에서 2.335억 XRP 이체; Solana에서 970,522 SOL 이체;
- UTC 10-29 21:01:35 – 23:36 — 스테이블코인 동결 대응 + 마지막 sweep 실패: Tether가 21:01에 처음으로
0x5227주소(9.71억 USDT 포함)를 블랙리스트에 등재; Circle이 21:04에 USDC 8.226억 달러 동결; TRON 체인에서 Tether가 21:09에 3.787억 USDT 동결; 공격자는 Tether 동결 3분 전에 4.35억 USDT를 ETH로 분할 매도; Ripple이 22:00에 RLUSD 4,050만 달러 동결; 23:36에 마지막 sweep() 시도 실패—Binance가 이미 EIP-7702 위임 권한을 철회함.
Blockaid 탐지 시간표: sweep 발생 후 2분 이내 경보 발령(어떤 공개 보고서보다 먼저), 11분 이내에 “서명 권한 탈취 + EIP-7702 위임 메커니즘”을 확인, 1시간 이내에 모든 공격자 주소를 악성 주소로 식별해 고객 전원의 Ecosystem Incidents Feed에 실시간 전파.
탈취 자산 세부 내역(Dickson Wu의 8개 체인 완전 심사, UTC 10-30 08:00)
CertiK 엔지니어 Dickson Wu의 체인 상 심사 내용이 ChainCatcher에 전문 게재됨—현재 가장 정확한 탈취 금액 출처.
| 자산 | 수량 | 달러 기업가치 평가 | 체인 |
|---|---|---|---|
| BTC | 18,270.2 BTC | 14.7억 달러 | Bitcoin |
| ETH | 197,668 ETH | 45.7억 달러 | Ethereum |
| USDT | — | 18.7억 달러 | Ethereum + Tron + Avalanche |
| USDC | — | 8.23억 달러 | Ethereum |
| RLUSD(Ripple) | — | 8,850만 달러 | XRP Ledger |
| wBETH(Binance) | 29,934 wBETH | 7,680만 달러 | Ethereum |
| XAUt(Tether 금) | 12,574 XAUt | 5,050만 달러 | Ethereum |
| UNI | — | 4,960만 달러 | Ethereum |
| ENA(Ethena) | — | 4,470만 달러 | Ethereum |
| PEPE | — | 4,010만 달러 | Ethereum |
| LINK | — | 2,960만 달러 | Ethereum |
| USD1(World Liberty) | — | 2,780만 달러 | Ethereum |
| ARB | 7,460만 ARB + 8,426 ETH | 3,180만 달러 | Arbitrum |
| AVAX + USDt | 181만 AVAX + 84.1만 USDt | 2,430만 달러 | Avalanche |
| TRX + TRON USDT | 4,640만 TRX + 6.127억 USDT | 6.28억 달러 | Tron |
| XRP | 2.335억 XRP | 2.97억 달러 | XRP Ledger |
| SOL | 970,522 SOL | 9,610만 달러 | Solana |
| OP | 4,420만 OP | 480만 달러 | Optimism |
| 기타 50개 이상 토큰 | UNI/ENA/PEPE/LINK 등 | 약 5.8억 달러 | 멀티체인 |
| 합계 | — | 62.8억 달러 | — |
자산 동결 대응 전: 28억 달러 동결 완료, 여전히 32.7억 달러 자유 이체 가능
스테이블코인 발행사와 Binance가 가능한 한 모든 자산을 긴급 동결했지만, 스테이블코인이 아닌 자산은 전혀 통제할 수 없습니다:
| 동결 주체 | 자산 | 동결 금액 | 출처 |
|---|---|---|---|
| Tether(Paolo Ardoino) | USDT(Ethereum + Tron + Avalanche) | 15.67억 달러 이상 | CEO X 게시물 21:16 |
| Circle(Jeremy Allaire) | USDC | 8.23억 달러 이상 | CEO X 게시물 21:04 |
| Ripple(하이) | RLUSD | 4,050만 달러 | 하이 X 게시물 22:00 |
| Paxos | PAXG | 1,907 PAXG | 온체인 거래 |
| World Liberty | WLFI + USD1 | 4,850만 달러 + 2,780만 달러 | 온체인 거래 |
| Binance 자체 | wBETH | 29,934 wBETH ≈ 7,500만 달러 | 온체인 거래 |
| 총 동결 금액 | — | 약 28억 달러 | — |
| 아직 자유 이체 가능한 자산 | BTC + ETH + XRP + SOL + OP + ARB + AVAX | 약 32.7억 달러 | 주로 스테이블코인이 아닌 자산 |
Tether의 반동결 작전: 공격자는 Tether가 첫 번째 블랙리스트를 발표하기 전(21:01, 0x5227 주소에 있는 9.71억 USDT 대상) 이미 20:33에 2억 USDT를 0x0ddf…697e 주소로 분산시켰습니다. 이 중 약 1,000만 달러어치는 DEX에서 판매되었고, 1.9억 달러는 0x8d53…639a 주소로 이체된 후 Aave에 예치되어 ETH를 차입했습니다. Circle은 21:04:59에 USDC 8.226억 달러를 동결했지만, 공격자는 Ripple이 RLUSD를 동결하기 전(22:00) 이미 4,050만 달러의 RLUSD를 0xe702…958d 주소로 이체해 4,800만 달러어치를 판매하고 ETH로 교환했습니다. 마지막 매도 주문은 Ripple의 RLUSD 동결과 같은 블록 내에서 발생했습니다.
시장 반응: BNB 하루 -10%, 바이낸스 플랫폼에서만 $3.45억 규모 강제 청산 발생
| 지표 | 데이터 |
|---|---|
| BTC 당일 최대 하락폭 | 최대 -5% (즉시 $77,000 아래로 하락 → 이후 $79,000 이상으로 회복) |
| ETH 하락폭 | -6% |
| BNB 하락폭 | -10% (~$780에서 ~$700으로 하락) |
| SOL 하락폭 | -3% |
| USDT/USDC 스테이블코인 | 앵커 유지, 탈앵커 없음 |
| 1시간 내 강제 청산 규모 | $6.277억 (이 중 롱 포지션 청산 $6.066억) |
| 바이낸스 플랫폼 단독 기여분 | $3.448억 강제 청산 |
| 기타 거래소 영향 | 바이비트/OKX/MEXC 모두 출금 일시 중단 없이 정상 운영 |
사용자 자금은 안전한가? 바이낸스는 “SAFU + 사내 자금 전액 보장”이라며, 순손실은 커스터디 자산의 약 0.69% 수준
이번 해킹 대상은 바이낸스의 핫 월렛(hot wallets) — 즉 인터넷에 연결된, 사용자 출금을 신속히 처리하기 위한 월렛이며, 콜드 월렛이나 사용자 개인 계좌가 아님. 핵심 보증 사항:
- 바이낸스 공식 성명: "We have not found any evidence of wallet private key leakage" (개인 키의 수학적 보안은 무사함. 공격은 서명 서비스의 권한 단계에서 발생);
- CZ 성명 (UTC 21:15, 공식 발표보다 먼저): "as a shareholder, I expect all user funds will be fully covered" (주주로서, 모든 사용자 자금이 전액 보상될 것이라고 예상);
- 허이 성명 (공동 창립자): 리플(Ripple)이 RLUSD 4,050만 달러를 동결했으며, 바이낸스가 전면적으로 추적 중임을 확인;
- SAFU 펀드 현황: 2018년 7월 설립, 2026년 2월 마지막 구매 완료 후 전액 15,000 BTC(2026-10-30 기준 약 $12억)로 전환;
- 순손실 추정치 (DefiLlama 창립자 0xngmi): 총 손실 $62.8억 − 이미 동결된 $28억 = 약 $34.8억 미동결; 다만 공격자의 나머지 자산이 후속 조치로 회수될 가능성을 고려하면, 바이낸스의 전면적 순손실은 약 $10억 (커스터디 자산 $1,440–1,650억 대비 0.69%)이며, "바이낸스의 재무제표는 이를 여유 있게 감당 가능";
- 출금 일시 중단: 바이낸스는 입금 및 출금을 전면 일시 중단함 (UTC 10-30 00:30부터). "보안 이슈가 완전히 해결되는 즉시 재개할 예정"이라고 밝혔으나, 구체적 재개 시점은 공개하지 않음.
위험 고지: 출금 일시 중단 자체가 공포 심리를 가중시킬 수 있음 (바이비트는 2025년 $15억 해킹 당시 출금을 계속 허용함. 두 방식의 장단점은 논란 중). 현재까지 대규모 사용자 계좌 동결 또는 자금 유실을 보고한 사례는 없으나, 바이낸스의 전면적 조사는 계속 진행 중임.
역사 비교: 바이낸스 세 차례 해킹 금액 153배 증가, 공격 수법은 피싱에서 공급망 공격으로 진화
| 사건 | 시간 | 손실 금액 | 공격 벡터 |
|---|---|---|---|
| Mt. Gox | 2014 | 약 $4.5억 | 핫 월렛 BTC 도난, 회사 파산 |
| 바이낸스 2019 | 2019-05-07 | 7,000 BTC ≈ $4,100만 | 피싱 + 바이러스 + 사용자 API 키 / 2FA 탈취 (직접 이체) |
| 바이비트 | 2025-02 | 약 $15억 | 북한 라자루스 그룹(Lazarus Group), 다중 서명 UI 위조로 서명 유도 |
| BNB 체인 | 2023-10-07 | 200만 BNB ≈ $5.66억 | 크로스체인 브리지 검증 로직 취약점 |
| 비트겟(Bitget) | 2026-09-24 | 약 $3.875억 | 제3자 보안 제품 제로데이 취약점으로 내부 자격 증명 탈취 |
| 폴리마켓(Polymarket) | 2026-10-30 | 약 $270만 | DebugBear 공급망 해킹 |
| 바이낸스 2026 | 2026-10-29 | $62.8–63억 | DevOps 노트북 해킹 → 서명 서비스 → EIP-7702 위임 권한 (기술 혁신 사례, 업계 최초 대규모 활용) |
성장 추세: 바이낸스 자체 세 차례 해킹 금액: 2019년 $4,100만 → 2023년 BNB 체인 $5.66억 → 2026년 $63억 (153배 증가). 공격 수법 진화: 피싱으로 인한 사용자 자격 증명 탈취 → 다중 서명 UI 위조 → 공급망/내부 자격 증명 탈취 → EIP-7702 위임으로 인해 서명 키의 코드 실행 권한이 탈취됨. 블록에이드(Blockaid) 보고서는 이를 "키가 무엇을 수행할지를 지시하는 사람/시스템" 차원의 공격이라 평가하며, 키 자체의 수학적 보안은 여전히 무사하다고 강조함.
규제 반응: 전 세계적으로 침묵, 원칙적으로 Circle CEO만 법 집행 기관 개입을 암시
바이낸스 전체 해킹 사건 후, 전 세계 주요 규제 기관의 반응은 의외로 조용함:
| 규제 기관 | 공식 성명 |
|---|---|
| 미국 SEC | 🔴 없음 |
| 미국 CFTC | 🔴 없음 |
| 미국 DOJ / FBI | 🔴 프랑스 통신사(AFP)/뉴욕타임스 인터뷰 요청에 대해 “즉각 응답하지 않음” |
| 싱가포르 MAS | 🔴 없음 |
| 중국 인민은행(PBOC) | 🔴 없음 |
| 유럽연합 MiCA | 🔴 없음 |
| Circle CEO 제레미 앨레어(Jeremy Allaire) | 🟡 “law enforcement과 긴밀히 협조 중”(법 집행 기관이 개입했으나 아직 공식 입장을 내지 않았음을 암시) |
주요 데이터 출처 및 UNCONFIRMED로 표시된 사항
데이터 출처:
- Blockaid 기술 분석 보고서 (EIP-7702 위임 메커니즘, 공격 시간선, 탐지 시간선) ;
- ChainCatcher 딕슨 우(Dickson Wu) 8개 체인 종합 검토 보고서 (가장 정확한 유출 금액 상세 내역) ;
- France24/AFP 실시간 뉴스 (Binance 전면 출금 일시 중단, Tether/Circle CEO의 자금 동결 발표) ;
- Binance X 계정 (UTC 21:16 초안 → 21:24 문구 삭제 → 21:29 최종문안 “User funds are completely safe” → 22:15 → 23:06 → ~00:30 UTC 공지) ;
- CZ X 계정 (UTC 21:15 첫 번째 성명, 공식 발표보다 앞선 시점) ;
- Tether CEO X 계정 (15.67억 달러 동결 발표) ;
- Circle CEO X 계정 (8.23억 달러 USDC 동결 발표 + “in coordination with law enforcement”) ;
- 808bits EIP-7702 기술 분석 보고서.
UNCONFIRMED로 표시된 사항 (어떠한 추측도 하지 않음) :
- 공격자 신원: ZachXBT는 라자루스 그룹(Lazarus Group)일 가능성을 제기했으며(Bybit 2025 공격 수법과 유사), 그러나 FBI/인터폴 등 법 집행 기관은 아직 공식적으로 귀속을 발표하지 않았으며, 어떠한 국가나 조직에 대한 귀속 판단도 하지 않음;
- DevOps 엔지니어 노트북 해킹 방식: Binance는 단지 “DevOps 엔지니어의 노트북이 해킹당했다”고만 밝혔으며, 피싱 이메일, 트로이 목마, USB를 통한 악성코드 심입 여부 등 구체적 수단은 명시하지 않음;
- 최종 유출 금액: Binance 공식 추산치는 63억 달러이며, 체인 분석가들의 추정치는 57.8–62.8억 달러 사이로, 현재도 계속 변동 중임;
- 사용자 영향 범위: 대규모 사용자 계정 동결 또는 자금 유실 사례는 현재까지 확인되지 않았으나, 출금 일시 중단 상태는 지속 중임;
- 규제 기관 후속 조치: SEC/CFTC/DOJ 등은 아직 공식 입장을 내지 않았으며, 향후 조사 착수 여부는 불분명함;
- “AI가 공격에 개입했다”는 주장의 진위: Binance 사건과 동시기에 NBC 등 언론에서 “AI가 관여했을 가능성”을 보도했으나, 기술적 근거는 발견되지 않았으며, Forkast는 AI 관련 주장에 대해 “출처 없는 정보”라고 명확히 표시함;
- Polymarket / Bitget / Binance 2026 공격이 동일 공격자에 의한 것인지 여부: 수법은 유사하나, 실증 자료는 없음;
- Binance 출금 재개 시점: 단지 “보안 문제를 완전히 해결하는 대로 즉시 재개”라고만 밝혔으며, 구체적인 일정은 공개하지 않음.
데이터 갱신 시각: 2026년 10월 30일 오전 10시 30분경 UTC (중국 표준시 기준 오후 6시 30분) . Binance의 전면 조사는 계속 진행 중이며, 향후 기술적 사후 분석 보고서(post-mortem)가 발표될 예정이다.
위험 고지 및 홍보 공시: Binance는 입금 및 출금 전면 중단 상태를 유지 중이며, 재개 시점은 공식 발표되지 않았다. 출금 중단 기간에는 유동성 리스크와 사용자 신뢰 하락이 발생할 수 있다. 본 문서의 정보는 2026년 10월 30일 기준이며, 일부 데이터 (동결 금액, 유출 내역, 순손실액) 는 계속 업데이트 중이다. UNCONFIRMED로 명시된 사항에 대해서는 어떠한 추측이나 유추도 하지 않는다. 본 문서에는 홍보 링크가 포함되어 있으며, 해당 링크를 통해 회원가입 시 당사는 수수료를 받을 수 있으나, 이는 귀하의 결제 금액을 증가시키지 않으며 본 문서의 판단에도 영향을 주지 않는다.
