바이낸스 해킹 사고를 바라보며

Key Takeaways

• 2026년 10월 30일 오전 5시 4분부터 바이낸스의 10개 체인 핫월렛에서 역대 최대 규모인 $6.36B의 자산이 탈취되었으며, 그 대부분은 약 20분 사이에 빠져나갔다. FBI는 북한의 트레이더트레이터(TraderTraitor)를 배후로 지목했고, 이들이 최근 일으킨 거래소 해킹들과 마찬가지로 단순 개인키가 아닌 내부 서명 인프라가 침해된 것으로 확인되었다.
• 테더와 써클은 사고 1시간 안에 약 $2.4B의 스테이블코인을 동결했고, 아비트럼 보안위원회와 토큰 프로젝트들의 관리자 권한까지 더해지며 탈취 자산 중 $2.8B 이상이 동결 혹은 회수되었다. 바이낸스 역시 외부 차입 없이 $6.34B을 마련해 손실을 보전했다. 준비금 증명(Proof of Reserves)과 11월 1일 시작한 단계적 출금 재개를 통해, 재개 첫날 순유출을 바이낸스 집계 기준 전체 자산의 2.1% 수준으로 관리했다. 다만 이는 바이낸스였기에 가능했던 결과에 가까우며, 같은 규모의 사고가 자금 여력이 부족한 거래소에서 일어났다면 뱅크런을 피하기 어려웠을 것이다.
• 출금 재개 이후 바이낸스를 떠난 자금의 약 90%가 상위 10개 거래소가 아닌 곳으로 향하며 자기 수탁 수요가 커지고 있다. 그러나 렛저 기기 변조와 트러스트 월렛 악성 업데이트에서 보듯 개인 지갑 역시 안전지대가 아니며, 사고가 잦아질수록 설계와 내부를 직접 확인할 수 있는 오픈소스 지갑에 대한 수요는 더 커질 것이다.

1. 사건 개요

이번 사고의 경우 규모가 규모인만큼 발생 직후부터 시작해 많은 분석 글들이 등장해왔으며, 이 글을 읽고 있는 대다수의 독자들은 대략적인 경위에 대해 이미 파악하고 있으리라고 생각한다. 다만 현재 여러 정보가 혼재한 상태이며, 그중 일부는 정확하지 않은 정보를 담고 있기에 사고의 경위를 처음부터 차근히 정리해보는 것으로 글을 시작해보도록 하겠다.

1.1 비정상적 출금 요청

Source: XRPL Explorer

최초의 비정상적 출금 시도는 바이낸스의 리플 렛저(XRP Ledger) 지갑에서 발생했다. 한국 시간 10월 30일 오전 5시 4분, 공격자는 4,275만 RLUSD를 자신의 주소로 보내는 트랜잭션을 시도했으나, 해당 트랜잭션은 실패했다. 리플 렛저의 경우 네이티브 토큰 XRP를 전송받음으로써 계정을 최초 활성화하는 방식으로 설계되어 있기 때문이다. 결국 8초 뒤 1억 8,501만 XRP가 동일한 주소로 입금되며 계정이 생성되었고, 다섯 개의 바이낸스 XRP 지갑이 탈취당하며 본격적인 자산 탈취가 시작되었다.

Source: Etherscan

이후 약 20분 동안 솔라나(Solana), 옵티미즘(Optimism), 비트코인(Bitcoin), 트론(Tron), 이더리움(Ethereum), 아비트럼(Arbitrum), 아발란체(Avalanche) 등 체인들에 대한 자산 탈취가 이어졌으며, 8시 5분경에는 아발란체와 폴리곤(Polygon)의 지갑에서 두 번째 유출이 있었다. 탈취된 자산의 총액은 $6.36B에 달했으며, 그 목록은 다음과 같다.

1.2 바이낸스와 생태계의 피해 대응

사고 발생 직후 피해 당사자인 바이낸스부터, 탈취된 토큰 프로젝트들과 디파이 프로토콜들의 대응이 이어졌다.

Source: Binance

바이낸스는 사고 발생 직후 출금을 중단시켰으며, 5시간 30분 가량이 지난 10월 30일 10시 36분 입출금을 일시 중단하고 손실 전액을 보전하겠다고 공지했다. 그로부터 1시간 이후 초기 조사 결과로 데브옵스(DevOps) 엔지니어의 노트북이 침해되어 공격자가 서비스 컨테이너(service container)에 접근하고 무단 출금 트랜잭션을 제출한 것으로 보이며, 지갑 개인키가 유출된 증거는 없다고 밝혔다.

프로젝트 차원에서의 대응 또한 이어졌다.

Source: Paolo Ardoino

가장 빠르게 대응한 것은 테더였다. 테더는 사고 발생 직후인 오전 6시 1분 공격 관련 주소에 대한 동결조치를 시작, $1.567B에 달하는 USDT를 동결시키며 사태를 빠르게 진압하는 데에 크게 기여했다. USDT0 또한 사고에 대한 선제적 조치로 이더리움과 트론 간 전송을 정지시켰다.

Source: Spreek

인상적인 것은 써클이었다. 써클 또한 테더와 비슷한 시각 $823M 규모의 USDC를 동결시켰는데, 그동안 어떠한 규모의 해킹 사고에도 동결로 대응하지 않아 비판의 대상이 되어왔던 써클에게는 매우 이례적인, 빠른 조치였기 때문이다. 그만큼 사태가 심각했다고 해석할 수 있는 대목이다.

Source: Arbitrum

체인 단위에서는 아비트럼이 가장 발빠르게 대응했다. 한국 시간 9시 8분 보안 위원회(Security Council)을 통한 긴급 상태 업데이트를 통해 탈취된 ARB와 ETH를 공격자의 주소에서 별도의 억류 주소로 이동시켰으며, 이는 켈프다오(KelpDAO) 해킹 당시 사용한 동결 방식과 동일한 방식이기도 하다. 옵티미즘 또한 동일한 방식으로 44M OP를 공격자 주소로부터 강제 이동시켰다.

Source: Jack McDonald

리플의 경우 XRP와 RLUSD 두 자산만으로 약 $380M을 탈취당하는 큰 피해를 입었으나, 동결 가능한 자산인 RLUSD에 대한 조치는 비교적 늦게 내려졌다. 88.6M RLUSD 중 약 40.5M이 동결조치 되었으며, 48M은 ETH로 스왑되어 빠져나갔다.

Source: Aave

프로토콜 단위에서 가장 먼저 대응한 것은 아베였다. 애석하게도 해커가 탈취한 USDT/USDC가 동결되기 이전 약 60M USDT 가량을 아베에 담보로 맡기고 ETH를 대출해갔으며, 이후 아베는 추가적인 대출 발생 여지에 대한 선제적인 조치로써 V3/V4 마켓을 동결시켰다.

Source: Compound Community Forum

컴파운드(Compound Finance) 또한 이더리움, 옵티미즘, 아비트럼, 베이스의 주요 렌딩마켓들을 선제적으로 동결조치해 추가적인 피해 확산을 막았다.

프로젝트 단위의 조치로 알려진 것은 아래와 같다.

• 월드 리버티 파이낸셜(World Liberty Financial): $75M 가량의 USD1과 WLFI를 동결
• 신세틱스(Synthetix): 관리자 권한으로 8.41M SNX를 강제 회수해 protocolDAO의 Safe 지갑으로 이동
• 샌드박스(The Sandbox): 토큰 컨트랙트 관리자 멀티시그가 58.4M SAND를 강제 회수
• 펀디엑스(Pundi X): 바이낸스와 연락 후 공격자 지갑 내 3.7M PUNDIX를 동결 조치 및 바이낸스 주소로 이전
• 빔(Beam): 토큰 컨트랙트 관리자 멀티시그가 공격자 지갑 내 984M BEAM을 직접 소각 조치.

결과적으로 공격자가 탈취한 자산 중 $2.8B 이상의 자산이 동결 혹은 회수되었다.

1.3 탈취 자금의 이동 경로

Source: Blockaid

대규모 자산 탈취 사고들이 대부분 그렇듯, 이번 바이낸스 해킹 사고 또한 공격자의 자금이 즉시 세탁되기보다는 대부분의 자본을 동결이 불가한 네이티브 토큰으로 교환한 뒤 다수의 주소로 분산시키는 방식으로 탈취 자산이 이동하는 양상을 보이고 있다. 이러한 자산들은 장기간을 거쳐 OTC로 거래되거나 세탁되기에, 꾸준한 추적을 요한다. 예를 들어 2025년 초 발생한 $1.4B 규모의 바이비트 사건의 경우 아직도 5% 가량의 자금이 온체인에 추적 가능한 상태로 남아있으며, 올해 4월 발생한 드리프트(Drift) 해킹 사고의 경우 아직도 98.8% 이상의 자금이 세탁되지 않은 채 남아있다(LazarusBounty 참고).

Source: SomaXBT

탈취된 자산 중 트론 계열의 자산들은 특히 그 움직임이 복잡했는데, 공격 직후 릴레이(Relay), 토르체인(THORChain), 체인플립(Chainflip), 심바이오시스(Symbiosis), USDT0, 어크로스(Across) 등 다양한 경로로 이더리움, 비트코인, 아비트럼 체인에 분산화되었으며, 일부는 비트겟 월렛(Bitget Wallet) 브릿지 / 브릿저스(Bridgers) 등 출금 주소의 식별이 비교적 어려운 경로를 통해 빠져나간 것으로 알려졌다.

Source: ZachXBT

또한, 이들 중 THORChain을 통해 세탁된 자산이 지난 9월 북한의 사이버범죄집단 트레이더트레이터(TraderTraitor)에 의해 발생했다고 밝혀진 비트겟 해킹사고의 탈취 자금과 합쳐지며, 이번 사고 또한 북한의 소행임이 사실상 공식화되었다.

이번 사고의 자금 세탁 과정에서 특히 주목할만한 부분은 탈취 자본의 세탁에 대한 각 프로토콜의 태도에 있다. 그동안 해킹 사고 자금에 대한 동결에 가장 소극적인 편이었던 써클은 가장 빠른 속도로 제재 조치에 착수했으나, 토르체인의 경우에는 탈중앙성을 이유로 강제적 전송 중단 조치가 사실상 불가능하다는 입장을 밝혔다.

해킹 사고로 탈취된 자산의 이동에 대해 토르체인은 꾸준히 이러한 입장을 고수해왔으며, 이로 인해 매번 논란의 대상이 되어왔다. 2025년 2월 바이비트 해킹 당시 라자루스는 탈취한 ETH를 BTC로 바꾸는 주요 경로로 토르체인을 사용했다. 일부 노드 운영자들이 이더리움 거래를 일시 중단시키려 했지만 다른 노드들에 의해 곧바로 번복되었다. 올해 4월 켈프다오 사건에서도 아비트럼에서 동결되지 않은 자금의 대부분이 토르체인을 거쳐 BTC로 바뀌었다. 지난 9월 비트겟 사건에서는 비트겟 측이 공격자 주소의 차단을 공개적으로 요청했지만, 토르체인은 개별 스왑을 막는 장치가 없으며, 할 수 있는 조치는 네트워크 전체나 특정 체인에 대한 거래를 멈추는 것뿐이라는 이유로 이를 거절했다.

흥미로운 점은 토르체인이 자신의 자금이 걸린 사고에서는 전혀 다른 속도로 움직였다는 것이다. 올해 5월 15일, 토르체인의 금고(Asgard vault) 중 하나에서 약 $10.7M이 탈취되었다. 악의적인 노드 운영자가 서명 과정에서 키 정보를 흘린 것이 원인이었다. 당시 노드 운영자들은 디스코드로 곧바로 의견을 모은 뒤 온체인 투표로 네트워크 전체의 거래를 멈췄고, 이 중단은 약 5주 동안 이어졌다. 외부 해킹에서는 3분의 2 이상의 노드 동의를 모으는 데 시간이 걸리고, 결국 개입하지 않는 쪽으로 결론이 나는 경우가 대부분이었던 것과 대조적이다.

Source: FBI

FBI는 이번 사고에 대한 초기 조사 결과를 통해 사고의 범인이 트레이더트레이터임을 공식화하는 성명을 내며, 이에 대한 조치로 토르체인 노드 오퍼레이터를 특정해 협조를 요구했다. 이에 대해 토르체인의 공동 창업자는 토르체인을 거친 거래는 전부 추적할 수 있다는 것다는 취지의 답변을 남겼으며, 결과적으로 이번 사고에 대한 별도의 조치는 이루어지지 않았다. 그러나 아이러니하게도 10월 31일 이더리움에서 블록 리오그(reorg)가 발생해 토르체인에 오류가 생기자 네트워크 거래가 일시 중단되었고, 이 과정에서 공격자의 세탁도 멈추게 되었다.

해킹 사고 피해 자산에 대한 조치는 오랫동안 이어져온 논쟁 주제이기도 하다. 지난해 수이(Sui)가 세투스(Cetus) 해킹 직후 긴급 업그레이드를 통해 탈취 자본을 동결했을 당시에만 해도 중앙화 체인이라는 비판과 피해자에 대한 보전이 먼저라는 의견이 팽팽히 맞섰다. 그러나 이번 사고에서는 스테이블코인 발행자, 체인, 프로젝트 등 다양한 단위에서 서로 다른 방식을 통한 자본 동결이 이루어졌음에도 불구하고 이러한 부분에 대한 비판은 거의 찾아보기 힘들다.

필자는 여기서 복합적인 감정을 느낀다. 신속한 동결로 피해의 확산을 빠르게 막아낸 점은 분명 인상적이고 긍정적이다. 그러나 동시에 일종의 막막함도 느낀다. 이번 사고를 지켜본 공격자들은 무엇이 동결될 수 있고 무엇이 그렇지 않은지를 이미 알고 있다. 다음 공격에서 동결 가능한 자산을 처분하는 속도는 더 빨라질 것이고, 그만큼 대응에 주어지는 시간도 짧아질 것이다. 관리자 개입이 가능한 자산과 경로가 확인될수록 토르체인과 같이 적극적인 개입이 일어나지 않을 경로로 탈취 자본이 집중될 것이며, 자금 추적의 가능성 또한 앞으로 더욱 빠르게 줄어들 것이다.

2. 원인 분석

바이낸스는 11월 3일 초기 보고서를 통해 공격의 경위를 처음으로 공개했다. 일부 기술적 세부사항은 공격에 악용될 수 있어 공개하지 않는다고 밝혔지만, 공개된 내용만으로도 사고 초기 온체인 데이터로 추정했던 내용의 상당 부분이 확인된다. 이 장에서는 보고서가 밝힌 침투 경로와 온체인 기록을 함께 살펴보도록 하겠다.

2.1 인프라 침해 경로

Source: Binance

바이낸스의 초기 보고서는 이번 공격이 노트북 한 대에서 시작된 단발성 침해가 아니었다고 밝혔다. 가짜 채용 면접과 악성 소프트웨어, 내부 AI 도구를 거쳐 몇 달에 걸쳐 진행된 다단계 작전이었다는 것이다. 보고서가 밝힌 경위를 온체인 기록과 함께 시간순으로 정리하면 다음과 같다.

• 6월: 지갑 데브옵스 엔지니어 A가 유명 AI 코딩 도구를 검색해 설치하는 과정에서 변조된 홈브루(Homebrew) 설치 파일을 내려받았다. 바이낸스 보안팀은 이상을 감지해 기기를 교체하고 관련 자격 증명을 모두 바꿨다. 하지만 이 과정에서 A의 역할과 지갑 인프라 팀 동료들의 정보가 공격자에게 노출되었다.
• 9월: 소프트웨어 엔지니어 B가 실제 구직 플랫폼에서 프로젝트 디렉터를 사칭한 인물의 연락을 받았다. 1차 면접에서 인사 담당자를 사칭한 인물은 개인 사진과 영상이 올라간 소셜 미디어 계정을 보여주며 신뢰를 쌓았다. 2차 면접 막바지에는 B에게 과제를 업무용 컴퓨터에 내려받게 했다. 과제에 숨겨진 악성코드는 설치 과정에서 정상 개발 도구를 악성 버전으로 바꿔치기했고, 당시 보안 솔루션은 이를 탐지하지 못했다.
• 10월 20일: 공격자는 B의 컴퓨터에서 내부 AI 도구를 발판 삼아 A와 또 다른 지갑 소프트웨어 엔지니어 C의 컴퓨터까지 장악했다. 그리고 A의 컴퓨터에서 컨테이너 배포 권한 토큰을 발견했다.
• 10월 28일 ~ 30일 오전 1시 47분: 공격자는 토네이도 캐시(Tornado Cash)에서 자금을 마련하고 스위퍼(sweeper) 컨트랙트를 배포한 뒤 공격에 대한 리허설을 수행했다.
• 10월 30일 오전 2시 15분 ~ 4시 56분: 공격자가 C의 컴퓨터에 접속, A에게서 훔친 자격 증명으로 컨테이너를 배포하고 공격 스크립트를 실행했다.
• 오전 5시 4분: 첫 비정상 출금 시도가 발생했다.

이러한 공격의 흐름은 상당히 고전적인 플랫폼 인프라 침투 시나리오 중 하나이며, 2023년 발생한 CoinsPaid 해킹사고를 연상시킨다. 당시 공격자가 크립토닷컴의 채용담당자로 위장해 링크드인 메신저로 접근했는데, 이때 타겟을 찾기 위해 6개월동안 CoinsPaid의 조직도와 직무별 권한을 학습했다고 알려져 있다. 멀웨어를 설치시키는 과정 또한 이번 사건과 동일하게 채용 프로세스를 여러 단계로 진행한 뒤에 마지막 코딩테스트 과정에서 과제물로 위장시킨 멀웨어를 설치시키는 방식으로 동일하다. 차이점이라면 데브옵스 엔지니어의 실수로 인해 바이낸스 지갑 인프라 팀의 정보에 대한 습득 시간이 상당량 단축되었다는 점일 것이다.

오히려 이번 사건에서 특이한 점은 AI 도구가 공격 경로에 반복적으로 등장한다는 것이다. 6월에는 유명 AI 코딩 툴이 미끼가 되었고, 10월에는 내부 AI 도구가 다른 엔지니어들의 컴퓨터로 옮겨 가는 발판이 되었다. 개발자의 컴퓨터에서 명령을 실행하고 여러 시스템에 접근할 수 있는 AI 도구는 그 자체로 넓은 권한을 가진 또 하나의 내부 사용자라고 할 수 있으며, 내부 AI 도구의 권한은 앞으로 거래소 보안의 새로운 점검 항목이 될 것이다.

2.2 EIP-7702와 스위퍼

이더리움 네트워크에서의 공격은 바이낸스 14로 라벨링된 핫월렛(0x28C6...1d60)에 대해 발생했는데, 이때 특이하게도 공격에 EIP-7702 기능이 사용되었다.

EIP-7702는 2025년 5월 이더리움 펙트라(Pectra) 업그레이드로 도입된 기능으로, 일반 계정(EOA)이 위임 승인에 서명하면 그 주소에 특정 스마트 컨트랙트의 코드를 붙여 준다. 이후 그 주소로 들어오는 모든 호출은 붙은 코드대로 실행되고, 이 위임은 같은 주소가 새 승인에 서명해 덮어쓸 때까지 유지된다. 개인 지갑에서는 여러 거래를 한 번에 묶거나 가스비를 대납받는 데 쓰이곤 한다. 이를 뒤집어 생각해보면, 누군가 지갑이 자신의 컨트랙트를 가리키는 위임 승인에 서명하게 만들 수만 있다면, 그 순간부터 지갑 안의 모든 자산을 자신의 코드로 움직일 수 있다는 뜻이기도 하다. 공격자가 노린 것이 바로 이 지점이었다.

이를 위해 공격자는 사전에 꽤 오랜 시간 공을 들였다. 공격자의 운영 주소(0x7C86...5CA0)는 10월 28일 오후 4시 39분 토네이도 캐시(Tornado Cash)에서 첫 0.1 ETH를 인출하며 자금을 마련했고, 이튿날 오전 11시 28분에는 지정한 토큰 전부와 ETH를 한 번에 옮기는 함수가 구현된 스위퍼(sweeper) 컨트랙트의 첫 버전을 배포했다. 이후 29일 오후 10시 51분부터 30일 오전 1시 47분까지 자신이 소유한 지갑 세 개로 위임부터 자산 이전까지의 전 과정을 $2에서 $6 규모로 리허설했다.

Source: Blockaid

위임이 적용된 지 3분 뒤인 5시 24분, 운영 주소가 스윕(sweep) 함수를 호출하며 167,464 ETH와 16억 1,500만 USDT를 포함한 60종이 넘는 자산, 약 $2.53B이 한 트랜잭션으로 수신 주소(0x5227...2f8c)에 넘어갔다.

문제는 첫 자산탈취 공격이 발생한 이후에도 위임된 권한이 남아 2차 피해로 이어졌다는 것이다. 바이낸스 14는 바이낸스가 소유한 스마트 계정(smart account)의 실행 권한을 가진 주소였고, 공격자는 범용 실행 함수로 이 계정에서 USDC 8억 2,300만 개를 빼냈다. 이후에도 바이낸스의 집금 시스템은 바이낸스 14로 입금을 계속 모았기에 공격자는 새로 들어온 자산을 다시 스윕했다. 공격자는 첫 스윕 이후 두 시간 넘게 새 자산을 가져갔고, 위임은 세 시간 넘게 살아 있었다.

이번 공격에 EIP-7702가 사용됨에 따라 EIP-7702가 책임론의 대상이 되기도 했는데, EIP-7702에 책임이 있다고 주장하는 측의 입장은 다음과 같다.

• 위임이 없었다면 공격자는 60종이 넘는 자산을 옮기기 위해 토큰마다 트랜잭션을 보내야 했고, 그 트랜잭션들은 바이낸스의 정상 출금과 논스를 두고 경쟁하다 상당수가 실패했을 것이다. 위임 덕분에 공격자는 단 한 번의 호출로 $2.53B을 옮길 수 있었다.
• 서명 시스템이 뚫리더라도 과거에는 공격자가 트랜잭션마다 새로 서명을 받아야 했고, 접근을 끊으면 유출도 멈췄다. 위임은 단번에 계정 전체를 넘기기 때문에 탐지하고 대응할 시간을 없앤다. 실제로 공격자는 첫 스윕 이후 바이낸스 14의 서명 없이도 두 시간 넘게 새 입금을 가져갔다. 출금 한도나 속도 제한이 보안의 기본인 이유는 대응할 시간을 벌어주기 때문인데, 위임 기능은 그 시간을 제거해버린다.
• 펙트라 이전부터 존재하던 일반 계정들은 이 기능에 동의한 적이 없다. 기존 사용자의 보안 수준을 낮춰 놓고 불안하면 다른 지갑을 쓰라고 하는 것은 합리적이지 않으며, 핫월렛처럼 위임이 필요 없는 주소는 스스로 위임을 쓰지 않겠다고 등록할 수 있는 장치가 있어야 한다는 것이다.
• 위임을 해제하는 유일한 방법은 같은 지갑이 영(0) 주소를 가리키는 새 승인에 서명하는 것이다. 키를 교체해도 위임은 주소에 남기에, 위임을 해제하기 위해서는 침해된 바로 그 키로 다시 서명해야 한다.

반대로 EIP-7702에 책임이 없다는 측의 입장은 다음과 같다.

• 위임 승인은 바이낸스 14의 키로 유효하게 서명되어 있었고, 체인은 설계대로 그것을 적용했다. 문제는 프로토콜의 결함이 아니라 서명 인프라의 오용에 있다.
• 50개의 위임 승인에 서명할 수 있었던 공격자라면 일반 송금에도 얼마든지 서명할 수 있었다. 실제로 같은 시각 바이낸스 16과 다른 아홉 개 체인의 지갑들은 EIP-7702 없이 평범한 서명만으로 털렸다.
• 접근 정책을 갖춘 스마트 컨트랙트 지갑은 이미 존재하며, 바이낸스는 이를 사용하지 않기로 선택했을 뿐이다.
• 위임 금지 목록을 만들면 모든 위임 트랜잭션마다 상태를 한 번 더 조회해야 하고, 그 목록을 영구히 관리해야 한다. 이는 극소수 거래소를 위해 전체 사용자에게 비용을 부담시키는 해법이다.

필자는 EIP-7702 자체는 문제가 없다는 데에 동의한다.

주어진 기능의 활용에 대한 책임은 그 활용 주체에 있으며, EIP-7702는 강제되는 사항이 아니다. 위임은 지갑의 키가 직접 위임 승인에 서명하지 않는 한 어떤 경우에도 일어나지 않는다. 거래소의 출금 업무에는 위임 승인에 서명할 일이 없으니, 바이낸스의 서명 시스템이 50개의 위임 승인을 만들어냈다는 것은 그 자체로 서명 정책의 실패다.

대응의 기회가 없었던 것도 아니다. 위임이 적용된 순간 바이낸스 14에는 코드가 붙었고, 이는 스윕까지 3분 24초 동안 온체인에서 누구나 볼 수 있는 상태 변화였다. EIP-7702로 인해 핫월렛에 코드가 붙는 이상행위가 발생할 경우 즉시 탐지하는 시스템의 구현, 그리고 미리 승인된 해제 트랜잭션을 준비해 두는 것 정도는 바이낸스만한 거래소라면 충분히 대비해둘 수 있었던 조치라는 것이 필자의 생각이다.

2.3 유출된 것은 키가 아닌 서명 권한

최근 몇 년간 일어난 대규모 거래소 해킹 사고들, 특히 북한 연계 조직이 배후로 지목된 사건들에서는 핫월렛 개인키를 직접 빼내기보다 내부 인프라를 침해해 서명 권한을 가로채거나 서명할 데이터를 바꿔치기하는 방식이 반복되어 왔다.

• 2024년 5월 DMM 비트코인(DMM Bitcoin): 약 4,502.9 BTC가 탈취되었다. FBI는 트레이더트레이터가 채용 담당자로 위장해 지갑 소프트웨어 업체 진코(Ginco) 직원의 컴퓨터를 침해했고, 이를 통해 DMM 직원의 정상적인 거래 요청을 조작한 것으로 발표했다.
• 2024년 7월 와지르엑스(WazirX): 약 $235M이 탈취되었다. 멀티시그 지갑의 서명자들은 수탁 업체 인터페이스에 표시된 정상 거래를 승인했지만, 실제로 서명된 것은 지갑의 통제권을 넘기는 거래였다.
• 2025년 2월 바이비트: 공격자가 세이프(Safe) 개발자의 컴퓨터를 거쳐 서명 화면을 조작했고, 서명자들은 정상 거래인 줄 알고 콜드월렛의 통제권을 넘기는 거래를 승인했다.
• 2026년 9월 비트겟: 공격자가 지갑 인프라의 백엔드에 침투해 거래 데이터를 위조했다. 비트겟은 공격자가 개인키를 얻지도, 이용자의 출금 요청을 위조하지도 않았다고 밝혔다.

이러한 관점에서 보면, 이번 사고에서 가장 특이한 점은 위임 승인 그 자체다. 위임 승인은 출금 트랜잭션이 아니다. 거래소의 출금 업무에는 위임 승인에 서명할 일이 없는데도, 바이낸스의 서명 시스템은 50개의 위임 승인을 만들어냈다. 서명 시스템이 자신이 서명하는 데이터의 내용을 해석하지 않았거나 공격에 의해 완전히 우회되었다면, 들어온 요청이 출금인지, 위임 승인인지, 혹은 전혀 다른 무엇인지 알 방법이 없었을 것이다.

이런 유형의 공격은 금융 서비스들이 키 보호를 위해 흔히 도입하는 다자간 계산(MPC)이나 하드웨어 보안 모듈(HSM)만으로는 막을 수 없다. 이들은 키가 밖으로 새어 나가지 않도록 지키는 장치일 뿐, 그 키로 무엇에 서명할지까지 통제하지는 않기 때문이다. 서명 주체가 서명할 내용을 스스로 해석하고 정책에 맞는지 독립적으로 검증하지 않는 한, 이 영역은 공격의 대상으로 남을 수밖에 없다.

3. 시사점

3.1 정보의 검증이 더 필요한 때

이번 사고를 수습하는 과정에서 가장 우려스러웠던 것은 잘못된 정보가 퍼지는 속도였다.

사고 직후부터 바이낸스가 시장을 흔들기 위해 해킹을 꾸며냈다는 자작극 주장이 커뮤니티를 타고 퍼졌다. 그러나 사고 몇 시간 만에 테더와 써클 등 제3자가 약 $3B을 동결했고, 탈취 자금의 일부는 토르체인을 거쳐 비트겟 해킹 자금과 섞였다. 바이낸스가 스스로 꾸민 일이라면 설명하기 어려운 정황들이다. 북한이 이번 사고의 배후임을 부정하면서 이러한 의혹이 더욱 불거지고 있는데, 이미 FBI가 북한을 배후로 지목했을 뿐더러 지금까지의 정황 증거상으로는 트레이더트레이터의 범행임을 부정할 수 없어보인다.

Source: X

11월 1일에는 doomerfied라는 가짜뉴스 전문 계정에서 바이낸스의 데브옵스 엔지니어가 북한 요원과 연애 관계였고 사고 당일 노트북을 방치했다는 포스트를 올렸는데, 이것이 한 미디어사의 계정을 통해 재생산되며 X 내 빠르게 퍼지는 사건이 발생했다. 이 게시물은 한국 텔레그램 커뮤니티를 통해서도 빠른 속도로 전파되었는데, 이로 인해 로맨스 스캠설을 진실로 받아들인 사람들이 현재도 다수 존재하는 상황이다.

대규모 해킹사고로 인해 대중이 극도로 혼란스러워하는 상황에서 이러한 가짜뉴스는 사고 수습에 어떠한 도움도 주지 못한다. 유입되는 정보의 양이 압도적으로 많은 요즘, 영향력을 가진 미디어들의 더욱 엄밀한 정보 검증이 요구되는 시점이다.

3.2 개인 자산은 어디에 두어야 하나

이번 사고 자체는 운좋게도 잘 수습되었지만, 이는 피해 당사자가 바이낸스였기에 가능했던 결과에 가깝다. 바이낸스는 외부 차입 없이 자체 재원으로 $6.34B을 마련했으며, 출금 재개 첫날 순유출도 바이낸스 집계 기준 전체 자산의 2.1% 수준에 불과했다. 2025년 바이비트는 손실을 메우기 위해 다른 거래소와 기관들로부터 ETH를 빌려야 했던 점을 생각해보면, 이번 사고와 같은 규모의 사고가 다른 거래소에서 발생하는 경우 뱅크런을 피할 수 없다고 생각한다. 또한 지난해 11월 업비트, 지난 9월 비트겟, 이번 바이낸스까지 대형 거래소를 겨냥한 공격의 간격은 점점 짧아지고 있다.

문제는 거래소를 떠난 자금이 갈 곳도 마땅치 않다는 것이다. 개인 지갑 역시 공격 대상이기는 마찬가지다.

지난 10월에는 동남아시아의 렛저(Ledger) 공인 판매 대리점 크립토빌리스(CryptoBilis)를 통해 팔린 기기 안에서 정체불명의 부품이 발견됐다. 렛저 보안팀에 따르면 이 부품은 기기 화면에 표시되는 내용을 읽다가 복구 문구(recovery phrase) 화면이 나타나면 24개 단어를 해독해 LTE 통신으로 외부에 전송했다. 변조된 렛저 기기로 인한 피해는 $90M 이상으로 추정된다. 렛저와 함께 가장 큰 하드웨어 월렛 제조사인 트레저(Trezor)도 마찬가지로 해당 판매점에서 변조된 기기를 판매한 것으로 알려졌다.

소프트웨어 지갑도 다르지 않다. 지난해 12월 트러스트 월렛(Trust Wallet)의 브라우저 확장 프로그램에 악성 업데이트가 배포되어 $7M 규모의 자산이 탈취되었으며, 올해 다양한 크립토 월렛 관련 라이브러리들에 대한 공급망 공격이 이어지며 공포가 이어졌다.

그럼에도 이용자들의 선택은 자기 수탁(self-custody) 쪽으로 기우는 것으로 보인다. 한 데이터 업체의 집계를 인용한 보도에 따르면, 출금 재개 이후 24시간 동안 바이낸스에서 빠져나간 약 $4.5B 가운데 다른 상위 10개 거래소로 들어간 금액은 약 $368M에 불과했다. 빠져나간 자금 중 90%는 다른 거래소가 아닌 거래소 밖의 주소로 향한 것이다.

Source: Ambire

이러한 상황에서 오픈 소프트웨어 & 오픈 하드웨어 월렛은 개인들에게 좋은 대안이 될 수 있어보인다. 공교롭게도 바이낸스 사고 당일 앰바이어(Ambire)가 오픈소스 하드웨어 지갑 아이스(Ice)를 공개했는데, 이들은 지갑 하드웨어 설계, 회로 기판 파일, 펌웨어 등을 공개해 설비만 갖추었다면 누구나 해당 지갑을 자체제작할 수 있도록 했으며, 판매하는 지갑의 외장을 투명하게 설계해 누구나 내부를 볼 수 있도록 했다.

물론 오픈소스가 곧 안전을 의미하지는 않으며, 공개된 설계를 실제로 대조해보는 이용자 또한 많지 않을 것이다. 다만 사고가 잦아질수록 사람들은 직접 확인하고 검증할 수 있는 수단으로 옮겨갈 것이며, 오픈소스 자기 수탁 지갑에 대한 수요도 그만큼 커질 것이라는 게 필자의 생각이다.

3.3 바이낸스와 크립토 생태계의 빠른 대응은 모범 사례로 남을만하다

바이낸스의 대응은 분명 빨랐다. 사고 발생 당일 손실 전액 보전을 약속했고, 같은 날 $6.34B 규모의 회사 자금을 별도로 확보했다고 밝혔다. 이용자들이 가장 우려할 만한 지급 능력 문제에는 준비금 증명(Proof of Reserves)으로 답했다.

출금 재개도 빨랐다. 11월 1일 오후 3시 BTC, ETH, USDT, USDC, BNB, SOL, XRP 등 15개 네트워크와 자산을 시작으로 출금을 단계적으로 열었고, 같은 날 오후 9시 36분에는 1단계 대상 전체가 정상화되었다.

바이낸스에 따르면 출금 재개 후 약 9시간 30분 동안 $4.649B이 출금되고 $1.01B이 입금되었다. 순유출은 전체 자산 $171B의 2.1%인 $3.64B이었다. 디파이라마(DefiLlama) 기준 24시간 순유출은 한때 약 $7B까지 늘었다가 절반 이하로 줄었다.

필자가 눈여겨보는 것은 준비금 증명이 이번에 비로소 제 역할을 했다는 점이다. 바이낸스의 준비금 증명은 2022년 11월 FTX 붕괴 직후 도입되었고, 당시에는 특정 시점의 잔고만 보여줄 뿐 부채 전체를 보여주지는 못한다는 비판을 받았다. 이러한 비판은 지금도 유효하지만, 그럼에도 수십억 달러가 한꺼번에 빠져나가는 상황에서의 대응이라고 생각하면 상당히 빠른 대처가 이루어졌다고 생각한다.

바이낸스 밖의 대응도 인상적이었다. 앞서 살펴본 것처럼 테더와 써클은 사고 발생 1시간 안에 동결에 나섰다. 아비트럼 보안위원회와 각 토큰 프로젝트들은 관리자 권한으로 자산을 묶거나 회수했고, 아베와 컴파운드는 시장을 멈춰 피해가 디파이로 번지는 것을 막았다. 이번 사고에서만큼은 업계 전반이 경쟁보다 수습을 우선한 모습이었다. 다만 앞서 언급했듯 이 속도는 개입할 수 있는 권한이 곳곳에 존재했기에 가능했던 것이기도 하며, 앞으로의 대응은 더 빨라야할 것이라는 압박을 남긴다.

4. 다른 이들의 의견

4.1 juno, 체인라이트(ChainLight) 리드

나는 탈취된 자금을 추적하기보다는 그 앞단에 있는 크립토 인프라의 보안을 담당하고 있다.

보안 사고가 터진 뒤 포렌식이나 사후 분석을 하다 보면 매번 "이걸 정말 미리 알 수 없었을까?"라는 질문에 도달한다. 돌이켜 보면 이상 징후를 사전에 포착할 방법이 생각보다 많았던 경우가 있다. 물론 모든 공격을 미리 예측할 수는 없다. 하지만 공격을 예측하는 것과 비정상적인 상황을 탐지하는 것은 서로 다른 문제다.

이번 사고에도 짧긴 했지만 약 3분의 타임 윈도우가 있었다. 거래소 핫월렛에서 EIP-7702 트랜잭션이 발생한다는 것은 거래소 입장에서 그 자체로 비정상적인 상황이다. 공격 기법을 정확히 알지 못했더라도, 이런 일이 일어나서는 안 된다는 것만큼은 미리 정의해 둘 수 있다. 그래서 나는 보안에서 중요한 것이 취약점을 많이 찾아내는 것만은 아니라고 생각한다. 무엇이 비정상인지 정의하고, 그것을 실제로 탐지할 수 있는지 검증하고, 탐지 이후의 대응이 제대로 작동하는지 끊임없이 훈련(drill)하는 것까지가 보안의 일이다. 물론 비정상 케이스를 전부 찾아 목록화하는 것은 굉장히 어렵고, 누군가는 불가능하다고도 말한다. 나 역시 모든 케이스를 커버할 수 있다고 생각하지는 않는다. 그렇다고 손을 놓을 수는 없다. 결국 공격자의 관점에서 계속 생각하며 놓친 부분을 하나씩 메워가는 수밖에 없다.

여기서 더 중요한 문제가 하나 있다. 탐지와 대응을 아무리 잘하더라도, 애초에 설계가 잘못되어 있다면 막을 수 없는 공격이 존재한다는 것이다. 이번 사고에서 개인적으로 가장 놀랐던 부분도 바로 여기였다. EIP-7702를 이용한 공격이 발생했고 다른 체인들까지 함께 털렸다는 소식을 처음 들었을 때, 나는 서명 시스템의 문제보다 키 자체가 탈취되었을 가능성을 먼저 떠올렸다. 서명 시스템은 최소한의 코드와 검증 로직만 가져야 하며, 프로덕션 환경이나 일반적인 접근 경로에서는 아예 닿을 수 없도록 격리되어야 한다고 생각하기 때문이다. 네트워크 접근은 최소화해야 하고, 인증과 접근 통제 역시 철저해야 한다.

바이낸스 정도의 규모라면 트랜잭션을 나누거나 합치는 과정에서도 서명기에는 필요한 최소한의 정보만 전달하고, 요청의 유효성은 독립된 환경에서 검증하는 식의 완화 장치가 적용되어 있으리라 예상했다. 예컨대 서명기는 받는 주소와 수량만 입력받아 트랜잭션을 직접 조립하고, 임의의 해시(arbitrary hash)에 대한 서명은 별도의 오프라인 멀티시그 서명이 더해졌을 때만 내보내는 방식이다. 이런 아키텍처를 제대로 구현하는 것은 상당히 어렵다. 그러나 바이낸스 정도라면 이 부분에 충분한 리소스를 투자했어야 하지 않았을까 싶다.

다만 내가 말하고 싶은 것은 특정 구현의 잘잘못이 아니라, 보안의 최후 방어선이 상위 시스템의 판단을 얼마나 신뢰하도록 설계되어 있느냐의 문제다. 탐지 룰을 추가하는 것만으로는 해결되지 않는 위험이 있고, 그런 위험은 결국 아키텍처를 바꿔야만 해결된다. 실제로 대응 플레이북을 만들고 훈련을 반복하다 보면 "이 설계로는 이 공격을 구조적으로 막을 수 없겠다"는 판단이 서는 순간이 꽤 자주 찾아온다. 나는 그 순간이 오히려 중요한 발견이라고 생각한다. 바로 그때가 시스템을 재설계하고, 디자인 수준에서의 보안(secure by design)을 고민해야 하는 순간이기 때문이다.

기술적인 설계만큼이나 중요한 것이 하나 더 있다. 바로 운영 보안(OPSEC)이다. 링크드인(LinkedIn)에서 바이낸스를 검색해 보면 누가 어떤 조직에서 어떤 일을 하는지에 대한 정보가 상당히 많이 나온다. 금융 역시 핵심 기반 시설에 해당하는 영역인데, 이런 시스템을 다루는 사람들의 운영 보안은 과연 어느 수준으로 관리되고 있을까?

이 지점에서 메이커다오(MakerDAO, 현 스카이)의 사례가 떠오른다. 메이커다오에는 ‘2.6.6 Aligned Delegate Operational Security’라는 조항이 있었다. 얼라인드 델리게이트(Aligned Delegate, AD)의 운영 보안 위반을 제보하면 해당 AD의 자격이 박탈되고, 예치금의 절반이 제보자에게 바운티로 지급되는 구조다. 실제로 2023~2024년 이 조항에 따라 여러 AD가 자격을 잃었고, 2024년 4월 사례에서는 제보자가 20.84 MKR, 당시 시세로 약 7~8천만 원에 달하는 바운티를 받았다. 이 사례가 인상적인 이유는 단순하다. 운영 보안을 개인의 보안 습관이 아니라 시스템의 안전성을 유지하기 위한 필수 조건으로 취급했다는 점이다.

크립토 인프라의 핵심 시스템을 담당하는 사람들은 사실상 초대형 금고지기다. 꼭 무언가를 훔치지 않더라도, 그들의 머릿속에 있는 시스템 구조와 내부 운영 방식에 대한 지식이 외부로 흘러나가는 것만으로도 회사에는 큰 리스크가 될 수 있다. 그만큼 높은 책임감이 요구되며, 회사 역시 그에 걸맞은 대우와 보상을 해줘야 한다고 생각한다.

마지막으로, 이 모든 것이 앞으로 더 중요해지리라 보는 이유가 있다. AI 때문이든 아니든, 공격자의 생산성이 과거와는 완전히 달라지고 있기 때문이다. 예전의 공격자가 싱글코어였다면, 지금의 공격자는 거의 무한 코어가 된 느낌이다. 자신의 지식을 에이전트(agent)로 만들고, 공격 기법을 자동화하며, 과거에는 사람이 직접 해야 했던 작업들을 대규모로 병렬 처리할 수 있게 되었다. 공격자의 실행 비용은 낮아지고 공격 주기는 짧아지고 있다. 그런데 방어자가 여전히 "취약점을 최대한 많이 찾아서 패치한다"는 접근에만 머물러 있다면 이 속도를 따라가기 어렵다.

그래서 내가 생각하는 앞으로의 보안 전략은 세 가지다.

1. 탐지: 공격 기법을 모르더라도 비정상적인 상태를 탐지할 수 있어야 한다.
2. 대응: 탐지했을 때 실제로 피해를 막거나 줄일 수 있도록 플레이북을 만들고 반복적으로 훈련해야 한다.
3. 설계: 탐지와 대응만으로 막을 수 없는 위험은 시스템을 재설계해 공격 자체가 성립하기 어렵게 만들어야 한다.

그리고 이 모든 것의 전제에는 철저한 운영 보안이 있어야 한다.

결국 중요한 것은 모든 공격을 미리 알아맞히는 것이 아니라, 예상하지 못한 공격이 발생하더라도 시스템이 버틸 수 있도록 만드는 것이다. 취약점을 찾는 일도 당연히 중요하지만, 이상을 탐지하고, 빠르게 대응하고, 피해를 제한하고, 필요하다면 아키텍처 자체를 바꾸는 것까지가 보안의 영역이어야 한다.

크립토 생태계를 지키는 모든 이들에게 응원을 보낸다.

4.2 gss1, 오터섹(OtterSec) 선임 보안 연구원

대규모 보안 사고에서 피해 규모를 결정하는 것은 공격 자체만이 아니다. 사고 발생 이후 얼마나 신속하게 상황을 파악하고, 관련 기관들이 협력하여 추가적인 피해를 차단할 수 있는지도 중요한 변수다. 이번 바이낸스 해킹은 이러한 사고 대응 역량의 중요성과 업계 차원의 협력이 가진 가능성을 보여준 사례다. 약 63억 달러의 자산이 탈취되었지만, 테더와 서클 등 여러 업계 참여자들의 협력을 통해 약 30억 달러의 자산이 동결된 것으로 발표되었다. 이는 신속한 협력이 대규모 보안 사고의 피해를 제한하는 데 상당한 역할을 할 수 있음을 보여준다. 그러나 기존 대응 체계의 한계 역시 확인되었다. 체인플립은 AML 스크리닝에서 거부된 자금이 새로운 주소로 환불된 후 재입금되면서 일부 거래가 검사를 통과했다고 밝혔으며, 심바이오시스 역시 탈취 자금의 이동을 식별하고 바이낸스 측과 연락했음에도 기존 스크리닝 체계에 한계가 있었음을 인정했다. 이러한 사례는 개별 서비스가 자체적인 모니터링 및 차단 체계를 운영하고 있더라도, 여러 프로토콜과 블록체인을 통해 빠르게 이동하는 탈취 자금을 차단하기에는 한계가 있음을 시사한다.

한편 이번 사건은 또 다른 질문을 남긴다. 만약 바이낸스가 아닌 상대적으로 작은 프로젝트에서 동일한 사고가 발생했다면, 과연 이와 같은 수준의 협력과 신속한 대응이 이루어질 수 있었을까? 피해 규모나 프로젝트의 영향력에 관계없이 모든 보안 사고에 신속하게 대응할 수 있는 환경이 마련되어야 한다고 생각한다. 이미 SEAL 911과 같은 긴급 대응 체계가 존재하지만, 거래소, 스테이블코인 발행사, 블록체인 프로젝트, 크로스체인 브릿지 간의 협력 체계를 더욱 강화할 필요가 있다. 특히 사고 신고 절차를 표준화하고, 검증된 공격자 주소와 탈취 자금의 이동 경로를 관련 팀들에 실시간으로 공유할 수 있다면 자금의 추가 이동을 보다 효과적으로 차단할 수 있을 것이다. 물론 잘못된 신고나 부당한 자산 동결을 방지하기 위한 검증 절차도 함께 마련되어야 한다. 이번 사건이 업계 전반의 긴급 사고 대응 체계를 발전시키는 계기가 되어, 프로젝트의 규모와 관계없이 누구나 신속하고 효과적인 지원을 받을 수 있는 환경이 조성되기를 기대한다.

4.3 jinmo123, QED Audit 공동 창업자

AI가 "대해킹시대"를 열었지만, AI가 해킹을 집도한 사고*와 AI가 공격 통로로 쓰인 사고는 구분해야 하며, 바이낸스는 후자에 가깝다. 구글 광고로 띄운 가짜 Homebrew 링크는 2025년 1월부터 반복적으로 보고된 수법이고, 가짜 채용 면접은 북한이 수년간 써온 수법이다. 새로웠던 건 공격자가 사내 AI 툴을 타고 지갑 인프라 엔지니어들에게 옮겨갔다는 점이다.

같은 결에서 우려스러운 점은, 코인베이스(Coinbase)처럼 전사 AI 사용을 LLM 게이트웨이 하나로 모으는 구조가 늘고 있다는 것이다. 이런 게이트웨이는 tool call 출력을 바꿔 사용자 PC에 악성코드를 흘려 넣을 수 있는 자리에 있고, 설정 권한이 탈취되면 감시자를 감시할 방법이 없다. 그렇다고 AI를 멀리할 수도 없다. AI로 공격자의 내부 이동(lateral movement)이 빨라진 만큼 방어자도 AI 없이는 따라잡기 어렵다. 사내 AI 툴이 공격 통로로 쓰였는데도 바이낸스측 대응책의 첫머리가 ‘AI 기반 이상행동 탐지 확대'인 것은 역설적이지만 필수적이다.

탐지도 녹록지 않다. 9월의 0-day 악성코드는 EDR에 걸리지 않았고, EDR 우회처럼 시행착오를 반복해야 하는 일은 AI의 전문 영역이다. 동시에 AI는 기존 패턴을 벗어난 시도를 대량으로 쏟아내 진짜 시그널을 소음 속에 묻는다. 바이낸스가 올해에만 막아낸 북한 연계 공격 시도가 57건이다. 그 사이에 섞인 다른 표적형 시도들 속에서, 6월에 잡아낸 감염이 4개월 뒤의 공격과 이어져 있다는 걸 알아챌 보안팀은 많지 않다.

막연한 말일 수 있지만, 결국 기본은 아직도 유효하다. 최소 권한, 제로 트러스트, EDR을 AI 시스템에도 똑같이 적용하고, 범위 외(out of scope)로 빼둔 서드파티와 직원 행동까지 공격 표면으로 봐야 한다. AI 시대의 보안에 대해 아직 범용적인 답은 보이지 않지만, 그래도 좋은 신호는 있다. AI로 코드를 스캔하는 효과가 알려지고 있고, 동결 속도는 바이비트 때보다 현저히 빨라졌으며, “Code is law, 그런데 해킹은 빼고”라는 공감대도 퍼지고 있다. 다만 이번 10월은 최악의 사이버보안 인식의 달(Cybersecurity Awareness Month)이었다. 부디 1년 뒤에는 다른 모습이길.

*바이낸스 건은 AI가 시작한 해킹으로 볼 근거가 부족하지만, 인터넷의 웬만한 곳은 다 해킹 가능하다는 건 원래 공공연한 사실이었다. 다만 그럴 동기와 능력을 가진 사람이 적었을 뿐이다. 보안은 공격 비용(지식, 정보, 시간)과 지킬 자산 가치 사이의 아비트라지였고, AI는 공격 비용 전체를 크게 낮췄다. 요즘의 연쇄 해킹은 해커, 또는 해킹 AI의 모수가 늘어난 결과라고 생각한다.