아비트럼 보안위원회, 개인키 없이 바이낸스 도난 자금 약 3,045만 달러 인출

기고: TechFlow

베이징 시간 2026년 10월 30일 08:08, Arbitrum 보안 이사회(Arbitrum Security Council)는 공격자의 개인키 없이 Arbitrum One 상에서 바이낸스(Binance) 도난 사건과 연결된 주소의 8,425개 ETH와 74,559,805.2개 ARB를 Arbitrum DAO의 투표로만 이동할 수 있는 주소로 전환했습니다. TechFlow 추산에 따르면, 이 일단의 자산은 11월 3일 15:54(베이징 시간) 시점 약 3,045만 달러에 해당하며, 바이낸스의 약 63억 달러 규모 피해액 중 0.48%를 차지합니다.

보안 이사회가 개인키 없이 자산을 어떻게 인출했는가

Arbitrum 보안 이사회 포럼 공지사항에 따르면, 이사회는 이더리움에서 Inbox 계약에 대한 원자성 업그레이드를 진행했습니다. 새 함수인 sendUnsignedTransactionOverride를 통해 도난 주소로 위장한 두 건의 크로스체인 트랜잭션을 구성한 후, 자산을 0x0000000000000000000000000000000000000DA0 주소로 이동하고 Inbox를 원래 구현체로 복구하는 모든 작업을 동일한 이더리움 트랜잭션 내에서 완료했습니다. 이는 블록 26,301,886에서 10월 30일 00:08:35(UTC)에 실행되었으며, 공지사항에는 “다른 사용자의 자금이나 애플리케이션에는 영향이 없다”고 명시되어 있습니다.

CoinDesk 보도에 따르면 보안 이사회는 ARB 홀더가 선출한 12명의 멤버로 구성되며, 긴급 조치에는 그중 9명의 서명이 필요합니다. 보안 기업 Zealynx는 이더리움 매거션(Ethereum Magicians) 포럼의 온체인 분석에서, 이더리움 트랜잭션 실행 약 10분 후 Arbitrum One에서 두 건의 0x65 타입 트랜잭션이 블록에 기록되었으며, 서명 필드(r, s, v)가 모두 0이었고 이는 도난 주소 고유의 2번째 및 3번째 nonce를 차용했다고 밝혔습니다.

Arbitrum 네트워크에서는 특정 주소의 자금 이동 가능 여부가 최종적으로 업그레이드 경로를 장악한 12인 위원회의 9개 서명에 좌우되며, 개인키는 그중 하나의 요인일 뿐입니다. Zealynx의 지적처럼 “주소는 개인키 서명 시에만 이동한다”는 규칙은 업그레이드 권한을 보유한 자들에게만 통용됩니다.

동결 대상은 바이낸스의 Arbitrum 전체 유출자산

TechFlow의 이전 온체인 복기에 따르면, 공격자는 베이징 시간 10월 30일 05:35~05:38 사이 바이낸스의 Arbitrum 상 유출된 전체 8,426개 ETH와 7,460만 개 ARB를 0x3e2b로 시작하는 신규 지갑으로 이동했으며, Zealynx가 기록한 사칭 발신자가 바로 이 주소입니다. TechFlow 추산에 따르면 보안 이사회는 자금 진입 약 2.5시간 후 조치를 취했으며, 동결된 자금은 바이낸스가 해당 체인에서 유출된 전량입니다.

TechFlow은 Arbitrum 공용 노드를 조회한 결과, 11월 3일 15:54(베이징 시간) 기준 0DA0 주소가 8,426.05개 ETH와 74,559,805.2개 ARB를 보유하고 있음을 확인했습니다. 같은 시점 CoinGecko 가격(ETH 2,255.38달러, ARB 0.1535달러)을 적용할 경우 총액은 약 3,045만 달러로 산출됩니다.

4월 선례: 자금 인출 당시 법적 장애 존재

동결 사건 | 실행 시각 | 동결 자산 | 현재 상태

KelpDAO 공격 | 미국 동부 시간 4월 21일 23:26 | 30,765.67개 ETH | DAO 투표 거쳐 Aave로 이송

바이낸스 도난 | 베이징 시간 10월 30일 08:08 | 8,425개 ETH, 74,559,805.2개 ARB | DAO 투표 대기 중

4월 포럼 공지사항에 따르면 당시 동결된 ETH 역시 0DA0 주소로 전달되었으며, 4월 25일 Aave Labs 등 다섯 기관이 rsETH 보유자에 대한 보상을 목적으로 제안안을 제출했습니다. CoinDesk 보도에 따르면 이 ETH 당시 가치는 약 7,100만 달러였으며, 북한 테러리즘 배상 판결 관련 가정이 해당 자금에 대한 권리를 주장했으나 맨해턴 연방법원이 제한령을 수정한 이후 비로소 DAO가 Aave로의 자금 이체를 표결했습니다. TechFlow 추산에 따르면 두 건의 동결액을 합산하면 약 39,192개 ETH에 달합니다.

미 연방수사국(FBI)은 10월 31일 바이낸스 도난 사건을 북한의 해커 그룹 TraderTraitor에게서 기인한다고 발표했습니다. Arbitrum 거버넌스 포럼은 베이징 시간 11월 4일 00:00에 제안안 논의 회의를 개최할 예정이며, 이번 긴급 작업은 ‘빠른 업데이트’ 항목에만 등재되었습니다. 11월 3일 16:00(베이징 시간) 기준 포럼에는 해당 자금 인출을 위한 제안안이 아직 올라오지 않았습니다.