티스토리 뷰
목차
솔직히 이건 예상 밖이었습니다. 10년물 국채 금리가 5%를 하회하는 걸 보면서 "이거 호재 아닌가?"라고 생각했는데, 장 마감 무렵 비트코인이 나스닥보다 더 많이 내려가 있었습니다. 같은 지표가 어떤 맥락에서 움직였냐에 따라 완전히 다른 신호가 된다는 걸, 이날 제대로 다시 배웠습니다. 여기에 PHP 취약점 해킹 사태까지 겹치면서 이번 주는 유독 길게 느껴졌습니다.
국채금리 하락, 공매도
저는 몇일 전, 저녁부터 미국 10년물 국채 금리를 화면에 켜두고 내내 지켜봤습니다. 한 1.5% 정도 내려갔을 때였는데, 왠지 이거 오늘 5% 밑으로 내려가겠다는 느낌이 딱 들더라고요. 그리고 새벽에 실제로 뚫렸습니다. 5% 하회는 9월 이후 처음 있는 일이었습니다.
문제는 그 하락이 어떤 맥락에서 나왔냐는 겁니다. 원래 10년물 금리가 내려가면 달러 인덱스도 약세를 보이고, 달러가 약해지면 비트코인 같은 위험 자산에는 긍정적입니다. 그동안 저도 그렇게 보고 있었고요. 그런데 이번 하락은 그 경로가 달랐습니다.
전날 AI 관련 주식이 크게 흔들리면서 나스닥이 급락했고, 투자자들이 위험 자산에서 빠져나와 미국 국채를 사들이기 시작했습니다. 국채 수요가 급증하면 국채 금리는 반대로 내려갑니다. 여기서 국채 금리란 국채 가격과 반대로 움직이는 수익률을 말하는데, 국채를 사려는 사람이 많아질수록 금리는 낮아지는 구조입니다. 즉, 이번 금리 하락은 "성장 기대감"이 아니라 "안전 자산 선호 심리"가 만들어낸 신호였습니다.
8월에 디베이스먼트 트레이드(debasement trade)가 일어났을 때와 정확히 반대 상황이었습니다. 디베이스먼트 트레이드란 화폐 가치가 떨어질 것을 우려해 금이나 비트코인 같은 대체 자산으로 자금이 몰리는 현상입니다. 그때는 국채 금리가 오를수록 비트코인이 같이 올랐는데, 이번에는 금리가 내려가면서 비트코인도 같이 내려갔습니다. 같은 지표, 완전히 다른 방향이었습니다.
여기에 공매도 확대 소식까지 더해졌습니다. 골드만삭스가 집계한 헤지펀드 데이터에 따르면, 현재 기술주 숏 레버리지 수준은 최근 5년 중 상위 1%에 해당하는 수치입니다(출처: Goldman Sachs). 공매도(short selling)란 주가 하락을 예상해 보유하지 않은 주식을 빌려서 팔고 나중에 낮은 가격에 사서 갚는 방식인데, 기관들이 이 수위를 이렇게까지 높였다는 건 하방 압력이 그만큼 강하다는 의미입니다.
비트코인 현물 ETF 일간 순유입은 이번 주 3일 연속으로 양호했고, 하락 당일에도 IBIT를 제외한 집계 기준으로 순유출이 약 2억 달러 수준에 그쳤습니다. 낙폭 대비 선방한 셈이지만, 저는 솔직히 IBIT 집계까지 나오기 전엔 마음을 놓기 어려웠습니다.
- 국채 금리 하락 = 항상 호재가 아님. 맥락이 "안전 자산 도피"인지 확인 필요
- 10년물 5% 하회: 9월 이후 처음, 시장이 민감하게 반응
- 헤지펀드 기술주 공매도, 최근 5년 중 상위 1% 수준으로 확대
- 비트코인 현물 ETF 순유출은 낙폭 대비 제한적, 주간 누적은 여전히 플러스권
AI 해킹과 PHP 취약점
저도 처음엔 "우리 매체를 굳이 해킹할 이유가 있나?"라고 생각했습니다. 크립토 전문 언론이긴 하지만 금융 기관처럼 큰돈을 다루는 곳도 아니고, 솔직히 해커 입장에서 수지가 안 맞는다고 봤습니다. 그런데 이번 주 초에 저희 웹사이트가 공격을 받았고, 하루 동안 기사를 통째로 내려야 하는 상황이 생겼습니다. 제가 직접 겪어보니 "할 수 있으니까 한다"는 말이 딱 맞더라고요.
PHP(Hypertext Preprocessor)는 전 세계 웹사이트의 약 70%가 기반으로 사용하는 서버 사이드 프로그래밍 언어입니다. 쉽게 말해 인터넷에 있는 사이트 10곳 중 7곳의 뒷단이 PHP로 돌아간다는 뜻입니다. 이번에 발견된 취약점은 로그인 절차를 아예 건너뛰고 서버에 접근해 사이트 전체를 제어할 수 있는 권한을 얻을 수 있는 구조적 결함이었습니다. 2012년에 심어진 취약점을 PHP 재단이 2024년에야 발견했고, 패치를 진행하는 도중 AI가 공격 검증 시간을 극도로 단축시키면서 실제 침투 시도가 시작됐습니다(출처: PHP Foundation).
AI 기반 해킹이 무서운 이유를 제 경험상 이건 좀 다릅니다. 기존 해킹은 한 군데를 공략하는 데도 시간이 많이 들어서, 작은 사이트를 노리는 건 효율이 없었습니다. 그런데 AI를 이용하면 수백 곳을 동시에, 24시간 쉬지 않고 찌를 수 있습니다. 저희 사이트를 공격한 도구를 추적해 보니 중국 기반 오픈소스 LLM인 아트렉스(Artrex)가 사용됐더라고요. 오픈소스라 제약도 없고, 한 방법이 막히면 AI가 스스로 다른 경로를 찾아 계속 시도를 반복합니다. 지금 이 순간에도 저희 서버 로그에는 공격 시도가 쌓이고 있습니다.
이번 PHP 사태는 디지털 자산 시장에도 간접적으로 영향을 줬습니다. 바이낸스 창업자 창펑자오(CZ)가 며칠간 PHP 기반 사이트 방문을 자제하라고 당부했고, 크라켄(Kraken) 등 주요 거래소들이 일제히 "우리는 PHP 기반으로 운영하지 않는다"는 입장을 냈습니다. 보안 이슈가 터질 때마다 모네로(Monero)나 토르체인(THORChain) 같은 프라이버시 코인들이 단기 급등하는 패턴도 어김없이 나타났습니다. 프라이버시 코인이란 거래 추적이 어렵도록 설계된 암호화폐로, 보안 우려가 커질 때마다 수요가 잠깐 몰리는 경향이 있습니다. 다만 이번엔 나스닥 본장이 열리자마자 비트코인 하락에 끌려가며 급락하면서 그 흐름도 짧게 끝났습니다.
개인 보안 측면에서도 제가 이번에 하나 배운 게 있습니다. 저희가 숫자 8자리에 특수문자 하나 붙인 비밀번호를 쓰고 있었는데, 이번에 뚫렸습니다. AI는 이런 조합을 쉬지 않고 돌릴 수 있어서 더 이상 의미가 없습니다. OTP(One-Time Password), 즉 일회용 인증번호를 추가하는 2차 인증 설정이 지금 시점에서는 가장 현실적인 방어책입니다. 2025년 월 100~200건이었던 디지털 자산 해킹 건수가 2026년에는 월 560건으로 급증했다는 통계가 이 변화를 잘 보여줍니다.
자주 묻는 질문
Q. 국채 금리가 내리면 비트코인에 좋은 거 아닌가요?
A. 통상적으로는 그렇습니다. 금리가 내리면 달러 약세로 이어지고, 비트코인 같은 위험 자산에는 긍정적입니다. 다만 이번처럼 금리 하락이 "AI 주식 폭락 → 안전 자산 도피" 때문에 생긴 경우라면 정반대 신호가 됩니다. 금리 수치만 볼 게 아니라, 왜 내렸는지 맥락을 함께 봐야 합니다.
Q. PHP 취약점이 뭔지 쉽게 설명해 주세요.
A. 원래 웹사이트 서버에 들어가려면 로그인을 해야 합니다. 이번 취약점은 그 로그인 과정 자체를 통째로 건너뛰고 서버에 접근해 사이트를 마음대로 조작할 수 있는 구멍이었습니다. 2012년에 생긴 결함인데, AI가 공격 검증 속도를 단축시키면서 실제 침투 시도로 이어졌고 긴급 패치가 진행됐습니다.
Q. 비트코인 ETF 순유출이 많이 났나요?
A. IBIT를 제외한 집계 기준으로 하락 당일 순유출은 약 2억 달러 수준으로, 낙폭 대비 크지 않은 편이었습니다. 이번 주 3일 연속 순유입이 있었기 때문에 주간 누적으로는 플러스를 유지할 가능성이 있었습니다. 다만 IBIT 집계까지 포함한 최종 수치가 나와야 확인 가능한 상황이었습니다.
Q. AI 해킹, 개인은 어떻게 막나요?
A. 가장 현실적인 방법은 OTP(일회용 인증번호)를 활용한 2차 인증 설정입니다. AI는 비밀번호 조합을 쉬지 않고 대입할 수 있어서 복잡한 비밀번호만으로는 한계가 있습니다. 추가로 의심스러운 사이트 링크는 아예 클릭하지 않는 것이 가장 원초적이지만 유효한 방어입니다.
결론
이번 주는 투자 측면에서도, 보안 측면에서도 제가 직접 겪어보니 교과서처럼 정리된 공식이 얼마나 쉽게 무너지는지 다시 실감한 시간이었습니다. 국채 금리 하락이 항상 호재가 아니라는 것, AI가 만들어낸 해킹 환경이 더 이상 남의 일이 아니라는 것, 둘 다 몸으로 배웠습니다.
시장을 볼 때 앞으로 저는 지표의 숫자보다 그 숫자가 어떤 맥락에서 만들어졌는지를 먼저 확인하려 합니다. 보안도 마찬가지입니다. 특히 하락장에서 해킹까지 겹치면 대응 여력이 정말 없어집니다. 2차 인증은 지금 바로 설정하는 게 맞습니다.