바이낸스 지미 수(Jimmy Su) 최고보안책임자(CSO)가 지난달 29일 발생한 해킹 당시 출금 중단만으로는 자산 유출을 막을 수 없었다고 밝혔다.

지미 수 CSO는 9일 엑스(X) 스페이스에서 공격자가 악용한 거래 권한이 이미 블록체인에 기록돼 바이낸스의 일반 출금 시스템을 거치지 않고도 자산을 옮길 수 있었다고 설명했다.

바이낸스의 예비 조사에 따르면 공격자는 내부 지갑 서명 서비스에 무단으로 접근해 일반 출금 절차를 우회했다.

이더리움에서는 계정의 일부 실행 권한을 스마트계약에 위임할 수 있는 EIP-7702 기능을 악용했다. 공격자가 통제하는 스마트계약에 바이낸스 핫월렛의 일부 실행 권한이 넘어가면서 거래소가 출금 서비스와 핫월렛 관련 시스템을 중단한 뒤에도 해당 권한은 블록체인에 남아 있었다.

이를 해제하려면 바이낸스가 새로운 온체인 거래를 제출해 위임 권한을 취소해야 했다. 수 CSO는 해당 핫월렛에 다자간 연산(MPC) 방식이 적용돼 있어 단일 개인키로 즉시 취소할 수 없었다고 설명했다.

MPC는 여러 참여 주체가 각자 보유한 정보를 이용해 공동으로 거래에 서명하는 방식이다. 바이낸스는 사고 당시 이 서명 구조에서 권한을 취소할 별도의 절차를 마련하고 실행하는 데 시간이 걸렸다고 밝혔다.

바이낸스는 앞서 공개한 예비 조사에서 사고의 영향을 받은 가상자산을 약 63억4000만달러로 집계했다.

이 가운데 약 28억5000만달러 상당의 자산은 동결하거나 이동을 차단했다고 밝혔다. 회사는 탈취에 따른 재무적 손실을 자체 부담하겠다는 입장이다. 동결·차단액은 정산 과정과 시장 가격 변동에 따라 달라질 수 있다.

지미 수 CSO는 외부 보안 전문가를 투입해 내부 조사 결과를 검증하고 개선책을 마련하는 독립 조사를 진행하고 있다고 밝혔다.

바이낸스는 주요 AI 기업 및 보안업체와 블록체인·AI 관련 위협을 연구할 보안기금 조성도 추진한다.

이번 사고의 후속 조사에서는 비정상적인 지갑 권한을 얼마나 빨리 탐지하고 취소할 수 있는지가 주요 점검 대상이다.