단 한 번의 클릭에 2조 원 증발: 바이빗 15억 달러 피격과 북한 라자루스를 막아낸 72시간

14:13 UTC: 조작된 단 한 건의 전송, 14억 6천만 달러

2025년 2월 21일은 바이빗(Bybit) 재무팀에게 평범한 금요일로 시작했다. 이더리움 콜드월렛에서의 정기 이체가 있었다. 그러나 14:13 UTC, 그 단 한 건의 거래가 조작되었다. 서명자들은 일상적인 거래를 승인한 것으로 믿었지만 실제로 실행된 작업은 지갑을 텅 비게 만들었다. 바이빗이 이후 공개한 사건 타임라인이 확정한 최종 손실액은 14억 6천만 달러이며, 내역은 401,347 ETH, 90,375 stETH, 15,000 cmETH, 8,000 mETH이다. ^[1]

훔친 자산이 한 덩어리로, 한 번의 이체로 움직이지 않았다는 점이 중요하다. 네이티브 이더와 유동성 스테이킹 토큰들은 첫 블록부터 39개 수신 주소에 분산 배치되었다. 지문을 흩뜨리고 첫 순간부터 체인 분석가들을 따돌리기 위해 설계된 구조였다. ^[1]

사건 직후 몇 시간 동안은 확정된 것이 거의 없었다. 바이빗 인프라 문제인지, Safe 멀티시그 기반의 문제인지, 아니면 전혀 다른 무엇인지조차 알 수 없었고 공백은 추측으로 채워졌다. 이후 확정된 사실은 이것이 업계 역사상 최대 규모의 도난이며, 그 이전의 모든 거래소 해킹을 한순간에 과거로 만들었다는 것이다. ^{[1], [5]}

깨진 것은 계약이 아니라 사람: Safe 개발자를 노린 피싱

처음 며칠을 지배한 질문은 단순했다. 정당한 권한을 가진 서명자들이 승인했다면 무엇이 그들을 속인 것인가. 2월 28일 Safe 생태계 재단 성명이 확정된 답을 내놓았다. 조사 결과 표적형 사회공학, 즉 피싱 공격으로 Safe 개발자의 장비가 침해되었고 그 접근 권한을 이용해 바이빗 거래용 Safe Wallet 프런트엔드가 변경되었다. ^[3]

같은 만큼 중요한 것은 Safe가 배제한 항목이다. 스마트 컨트랙트와 소스코드에는 취약점이 존재하지 않았다. 멀티시그 컨트랙트는 지시받은 대로 충실히 실행했다. 기만은 표현 계층, 곧 서명자들이 신뢰하며 읽는 인터페이스에만 존재했다. ^[3]

이 구분이 초기 공포와 최종 사실을 가른다. 초기 보도는 수천 개 의존 프로토콜을 위협하는 Safe 전체 취약점을 연상시켰다. 조사는 범위를 극적으로 좁혔다. 개발자 장비 한 대, 변경된 프런트엔드 하나, 표적 하나. 상상된 위협이 아니라 확인된 위협 모델이 업계가 방어해야 할 대상이다. ^[3]

세 시간 뒤의 라이브 방송, 그리고 멈추지 않는 출금

대략 17:15 UTC, 조작된 거래로부터 약 세 시간 뒤, 바이빗의 벤 저우(Ben Zhou) 최고경영자가 폐업 공고를 기다리는 시청자들 앞에서 라이브 방송을 시작했다. 그는 바이빗이 지급 능력을 유지하고 있으며 고객 자산이 여전히 1 대 1로 뒷받침된다고 설명했고, 거래소의 생존은 실시간으로 지켜볼 수 있는 것이라고 말했다. ^{[1], [4]}

사용자들은 지켜봤고 시험했다. 바이빗은 공포 속에서도 출금을 닫지 않았다. 이후 공개된 수치는 놀랍다. 약 40억 달러의 출금, 35만 건을 넘는 출금 요청, 그리고 그중 99.994%가 10시간 이내에 처리되었다. 더 약한 거래소들을 파산시켜온 스트레스 테스트였다. ^[1]

동결 이야기는 조용했다. 테더(Tether)가 도난과 관련해 동결한 것은 겨우 약 18만 1천 달러의 USDT였다. 바이빗은 이후 협력사 전체의 동결액이 총 4,289만 달러에 달했다고 보고했다. 이 더 큰 합계를 테더 단독의 성과로 돌리면 안 된다. ^[1]

72시간 만에 다시 채워진 금고

사건 발생 후 72시간 이내에 바이빗은 브리지론, 대형 예치금, 장외매수를 통해 사용자 잔액을 뒷받침하는 준비자산을 다시 확보했고 출금은 계속 열어두었다. 도난 자산을 되찾은 것이 아니라 긴급 자금조달과 자산 매입으로 대차대조표의 공백을 메운 것이다. ^{[1], [4]}

이후 준비금 증명에서는 핵심 자산의 뒷받침 비율이 100%를 넘는 것으로 나타났다. 말이 아니라 검증 가능한 여유였다. 거래소가 뱅크런을 견딜 수 있을지에 대한 초기의 불확실성은 감사되어 공개된 안전 마진으로 대체되었다. ^[1]

결과를 이끈 것은 운이 아니라 위기 관리였다. 지속적인 커뮤니케이션, 정직한 수치, 열어둔 결제 레일, 빠른 자금 재조달. 72시간 복구를 가능하게 한 것은 바이빗의 규모 자체였고, 그 규모는 라자루스급 일격을 견딜 수 있는 수탁자가 누구인지를 보여주는 교훈이기도 하다. ^{[1], [4]}

TraderTraitor: 귀속, 자금 세탁, 그리고 긴 그림자

2월 26일 FBI는 이 도난을 북한의 국가 지원 사이버 행위자들, 트레이더트레이터(TraderTraitor) 지정 세력, 흔히 라자루스 그룹 계열에 귀속시키고 손실을 약 15억 달러로 표현했다. 국은 자금 세탁 방식도 기록했다. 스왑과 크로스체인 브리지를 통한 신속한 환전, 그리고 추적을 어렵게 만드는 소분 이동이다. ^[2]

CSIS 분석가들은 이 사건을 기록이자 경고로 규정했다. 암호화폐 거래소가 이제 국가 행위자의 전략적 표적이라는 것, 그리고 국가안보급 운영 보안이 중요 수탁자의 기본 인프라가 되었다는 것의 증거라는 것이다. ^[5]

가장 날카로운 것은 기술적 교훈이다. 어떤 암호학적 요소도 깨지지 않았고 어떤 컨트랙트도 손상되지 않았다. 신뢰된 인터페이스를 통해 인간이 속았을 뿐이다. 따라서 방어는 검증 가능한 트랜잭션 미리보기, 격리된 서명 환경, 프런트엔드 무결성으로 옮겨가야 한다. 도난이 실제로 일어난 계층이 바로 거기이기 때문이다. ^{[3], [5]}

사용자에게 이 사건은 오래된 격언을 다시 쓰게 했다. '내 키가 아니면 내 코인도 아니다'라는 말은 셀프 커스터디가 신뢰를 제거한다고 전제한다. 바이빗은 기관의 콜드월렷 서명자조차 소프트웨어 계층을 통해 스스로에게 무기화될 수 있음을 보였다. 신뢰는 투명성과 준비자산, 속도로 지켜졌다. 그리고 최약점은 결코 블록체인이 아니었다는 불편한 인식과 함께. ^{[1], [3]}