CoinEx 창립자 양하이포: 바이낸스 해킹 사건은 개발 및 운영 환경이 완전히 분리되지 않은 등 세 가지 문제를 드러냈다

광산 풀 ViaBTC 및 거래 플랫폼 CoinEx의 창립자 겸 CEO 양하이포가 X에 글을 올려 바이낸스 보안 사건에 대해 논평했습니다. 그는 이 사건이 최소한 세 가지 피할 수 있었던 실수를 드러냈다고 언급하며, 이러한 문제는 복잡한 기술이 필요하지 않고, 부족한 것은 규율이라고 말했습니다.

양하이포는 첫째, 개발 및 운영 환경이 완전히 분리되지 않았으며, 생산 환경 권한을 가진 인원은 전용 장비를 사용해야 하고, 제3자 소프트웨어를 설치하지 않아야 하며, 코딩, 채팅 및 웹 브라우징은 다른 장비에서 수행해야 한다고 지적했습니다. 둘째, 운영 체계에 효과적인 이중 인증이 부족하여, 단일 키로 생산 서비스를 조작할 수 있으며, 키가 유출되면 공격자가 전체 생산 권한을 얻을 수 있다고 강조했습니다. 그는 생산 작업이 AWS 브라우저 기반 세션 관리자와 유사한 방식으로 수행될 수 있으며, 하드웨어 보안 키를 두 번째 요소로 사용하여 단일 자격 증명이 유출되어도 침해가 발생하지 않도록 해야 한다고 생각했습니다. 셋째, MPC 다중 서명은 이름만 있을 뿐, 서명자가 거래에 대해 실질적으로 독립적인 검증을 하지 않아 하나의 노드가 뚫리면 전체 메커니즘이 무효화되며, 단일 서명과 다를 바 없다고 말했습니다. 다중 서명은 서명자가 서로 신뢰하지 않고, 각자 거래 자체를 독립적으로 검증할 때만 유효합니다.

11월 3일, 바이낸스는 10월 29일 보안 사건에 대한 초기 조사 결과를 발표했습니다. 바이낸스는 약 634억 달러의 디지털 자산이 영향을 받았으며, 업데이트 시점에서 약 285억 달러가 동결되거나 차단되었고, 영향을 받은 토큰 중 98%가 보충이 완료되었다고 밝혔습니다. 보고서에 따르면, 공격자는 내부 지갑 서명 서비스에 대한 무단 접근을 얻었고, 이더리움 EIP-7702를 이용해 핫 월렛에 대한 권한을 부여했습니다. 핫 월렛이 다자간 계산을 사용하기 때문에 단일 개인 키로 즉시 관련 권한을 철회할 수 없었습니다. 바이낸스는 FBI의 정보를 인용하여 북한이 이번 사건에 책임이 있다고 밝혔습니다.