투명 관 속 금색 동전과 바닥에 쌓인 보라색 동전이 놓인 세탁실 — 이해를 돕는 AI 자료 이미지
바이낸스에서 약 63억 달러(약 8조 5,000억 원, 1달러 1,348원 기준)를 빼낸 해커들이 탈취한 XRP를 비트코인으로 바꾸기 시작했다. 블록체인 분석업체 엘립틱(Elliptic)에 따르면 XRP 약 4,200만 개(약 5,000만 달러)가 주로 쏘체인(THORChain)을 거쳐 교환됐다. 이 영향으로 다른 탈취 자산에서 나온 비트코인은 하룻밤 사이 거의 두 배인 약 1,650BTC(약 1억 2,400만 달러)로 불어났다. 이하 날짜와 시각은 소스 기준 현지시각이며 UTC는 한국시간으로 환산했다.
XRP 2억 3,300만 개가 이틀 만에 세탁 경로로
비트코인 매거진(Bitcoin Magazine)이 전한 엘립틱 분석에 따르면 XRP는 사고 직후 한동안 움직이지 않았다. 10월 29일(현지시각) UTC 기준 20시 5분부터 9분 사이(한국시간 10월 30일 오전 5시 5분~9분) 핫월렛 5곳이 XRP 2억 3,346만 개를 공격자 주소 한 곳으로 보냈다. 이후 11월 2일 UTC 기준 2시 12분부터 4시 사이(한국시간 같은 날 오전 11시 12분~오후 1시) 약 2억 3,300만 개가 전부 새 주소 6곳으로 옮겨졌고 11월 5일까지 그대로 머물렀다.
움직임은 11월 5일 오후부터 시작됐다. 6개 주소 가운데 2곳이 XRP를 수십 개의 새 계정으로 흘려보냈고 이 계정들이 주로 쏘체인을 통해 비트코인으로 바꿨다. 같은 날 저녁에는 소량의 이더리움도 쏘체인을 거쳐 비트코인으로 교환됐다.
11월 6일 UTC 기준 8시 45분(한국시간 오후 5시 45분)까지 약 4,200만 개, 5,000만 달러어치의 XRP가 보관 주소를 떠났다. 남은 물량은 약 1억 9,200만 개, 2억 2,600만 달러어치다. 엘립틱은 다른 탈취 자산에서 나온 비트코인이 전날의 약 두 배인 1,650BTC로 늘었고 증가분 대부분이 XRP 경로에서 나왔다고 밝혔다.
노트북 화면의 여러 그래프를 손으로 조작하는 모습 — 내용 이해를 돕는 AI 이미지
동결할 수 없는 자산으로 갈아타는 해커
XRP를 비트코인으로 바꾸는 이유는 동결 가능성에 있다. 비트코인 매거진은 발행사가 스테이블코인(달러 등에 가치를 고정한 코인)은 상당수 동결할 수 있지만 XRP는 같은 방식으로 막을 수 없고 비트코인은 동결 자체가 불가능하다고 짚었다. 10월 29일 테더와 서클(Circle)이 대규모 스테이블코인 물량을 묶어 둔 뒤 공격자가 이런 ‘차단 장치’ 밖의 자산을 우선시했다는 분석이다.
동결 규모는 디파이(탈중앙화 금융) 분석업체 Sentora의 11월 6일 요약에서 확인된다. 서클은 지갑 한 곳에 있던 USDC 8억 2,300만 개를 공격자가 옮기기 전에 막았다. 리플은 약 4,000만 달러 상당의 RLUSD를, 월드 리버티 파이낸셜(World Liberty Financial)은 USD1 2,700만 달러어치와 WLFI 토큰 4,800만 개를 묶었다. Sentora는 이를 디파이 역사상 가장 큰 규모의 공조 온체인 자산 동결이라고 표현했다.
동결 이후에도 공격자 손에는 큰 물량이 남아 있다. Sentora는 차단 뒤 공격자 보유분에서 비트코인 1만 8,270개와 이더리움 42만 개 이상을 확인했다. 엘립틱은 원래의 비트코인 1만 8,270개가 19개 주소에 그대로 있다고 밝혔다. 엘립틱은 이 패턴이 바이비트(Bybit) 해킹 당시와 같다고 설명했다. 동결 가능한 토큰과 유동성이 중간 정도인 토큰을 먼저 비트코인으로 바꾸고 이후 장외거래 중개인을 통해 현금화를 시도하는 방식이다.
지갑 2만 개·거래 6만 5,000건…자동화된 세탁
엘립틱은 사고 이후 블록체인 16곳에서 지갑 2만 개 이상, 서비스 최소 36곳, 거래 최소 6만 5,000건을 집계했다. 지갑은 30초마다 하나씩, 거래는 10초마다 한 건씩 생긴 속도다. 탈취 연계 주소에는 약 31억 1,000만 달러(약 4조 1,900억 원)가 남아 있고 대부분 이더리움과 비트코인이다. 현금화된 물량은 아직 미미한 것으로 추정된다.
다른 자산도 이미 움직였다. 탈취된 솔라나 약 8,700만 달러어치는 전부 교환·브리지·믹싱을 거쳤고 상당수가 비트코인이 됐다. 트론 약 2억 2,000만 달러어치도 대부분 세탁 경로를 탔다. 반면 이더리움과 니어의 핵심 물량은 일부만 움직였다.
프라이버시 도구도 이용됐다. 11월 1일 이후 와사비 방식 코인조인(여러 거래를 섞어 추적을 어렵게 하는 기법)에 약 33BTC(250만 달러)가 들어갔다. 프라이버시 캐시 풀에는 이더리움과 솔라나 약 110만 달러어치가 유입됐다. 이 서비스는 11월 4일 입금을 일시 중단했다가 이튿날 오후 솔라나 입금을 재개했고 재개 뒤에는 해커 연계 입금이 확인되지 않았다고 엘립틱은 밝혔다.
엘립틱은 이동 속도가 인공지능 에이전트의 실시간 판단이 아니라 전통적인 자동화를 가리킨다고 봤다. 타이밍과 금액이 고정돼 있고 실패하면 무작정 재시도하며 새 전술은 몇 시간 간격으로 등장한다는 근거를 들었다.
바이낸스의 보전과 남은 절차
바이낸스는 지금까지 약 28억 5,000만 달러를 동결하거나 가로챘다고 밝혔고 출금을 단계적으로 재개했다. 11월 4일 복구 업데이트에서는 피해 자산의 약 98%를 자체 자금으로 채웠다고 설명했다. 나머지 2%는 유동성이 낮은 토큰이어서 시장과 장외 채널에서 사들이는 중이다. 바이낸스는 “손실을 메우는 데 필요한 자금의 100% 이상을 이미 따로 확보했다”고 말했다.
동결된 아비트럼 자금은 거버넌스 투표가 필요하다. 바이낸스는 11월 5일 아비트럼 탈중앙화자율조직에 이더리움 8,425.997개와 ARB 약 7,456만 개의 반환을 제안했다. 논의·투표·집행에 약 49일이 걸리고 법적 청구가 끼어들면 더 길어질 수 있다고 봤다. 보상 약정에는 뉴욕주법이 적용되고 분쟁은 뉴욕 카운티의 주·연방 법원에서 다루며 DAO 재무에서 추가 자금은 요청하지 않는다.
디파이 시장의 충격은 4월 켈프DAO 사고보다 작았다. Sentora에 따르면 바이낸스 사고 다음 날 대출 시장에서 순유출 15억 9,000만 달러가 나갔다. 대출 예치금의 약 3%이고 약 60%는 사흘 안에 돌아왔으며 부실채권은 없었다. 켈프 사고에서는 5일간 109억 달러가 빠졌고 돌아온 자금이 없었다. 다만 관찰 기간이 하루와 닷새로 달라 단순 비교에는 한계가 있다.
앞서 미국 연방수사국은 이번 공격을 북한 연계 조직 트레이더트레이터의 소행으로 지목했다. FBI는 10월 31일 경보에서 비밀경호국, 국세청 범죄수사국과 함께 가상자산 서비스에 공개된 공격자 주소 관련 거래를 차단하라고 촉구했다. 비트코인 매거진은 쏘체인 운영자와 다른 브리지들이 이 주소를 얼마나 빨리 막느냐에 남은 XRP의 이동 속도가 달렸다고 짚었다.
Copyright ⓒ 위키트리 무단 전재 및 재배포 금지
