일주일도 채 지나지 않아 발생한 두 건의 가상자산 탈취 사건에서 자금 이동 경로가 비슷하게 나타났다. 공격자는 동결될 수 있는 스테이블코인을 서둘러 처분한 뒤 자금을 나누고 여러 블록체인으로 옮겼으며, 일부는 프라이버시 코인이나 장외 거래 경로로 이동했다. 동결된 스테이블코인 규모와 공격자가 여전히 보유한 ETH·BTC 잔액은 자금 회수 가능성뿐 아니라 향후 시장에 나올 수 있는 잠재 물량을 가늠하는 데 중요한 변수다.
바이낸스 핫월렛 탈취 직후 스테이블코인 동결
10월 29일 공격자는 바이낸스의 여러 블록체인 핫월렛에서 약 63억6,000만 달러 상당의 자산을 빼냈다. 핫월렛은 거래소가 출금 등 업무를 처리하기 위해 인터넷에 연결해 사용하는 지갑이다. 블록체인 분석업체 TRM Labs에 따르면 자금 대부분은 약 20분 만에 이동했다. 미국 연방수사국(FBI)은 이번 공격을 북한 해킹 조직 TraderTraitor의 소행으로 지목했다. 현재까지 알려진 가상자산 절도 사건 중 최대 규모다.
스테이블코인 발행사는 특정 지갑에 있는 토큰을 동결할 수 있어 USDT와 USDC는 공격자에게 추적·동결 위험이 따른다. TRM에 따르면 테더는 주요 자금 유입 후 약 37분 만에 공격자 수취 지갑의 USDT 약 9억7,100만 개를 동결했고, 서클도 뒤이어 USDC 약 8억2,300만 개를 동결했다. 테더, 서클, 리플, 월드 리버티 파이낸셜, 아비트럼 보안위원회의 조치를 합산한 동결액은 TRM 추산 약 27억 달러다. 바이낸스는 동결 규모를 약 30억 달러로 집계했다.
동결을 피하려는 움직임도 빠르게 나타났다. 공격자는 USDT 약 3억2,500만 개를 마켓메이커에 매도해 ETH 약 12만2,300개를 확보했다. 거래 당시 시장 가격보다 10% 넘게 할인된 가격이었다. 또 USDT 약 6,000만 개를 대출 프로토콜 Aave에 담보로 맡기고 ETH 약 1만9,760개를 빌렸다. 큰 폭의 할인까지 감수하며 동결하기 어려운 자산으로 바꾼 것은 동결 위험에 대한 긴박한 대응으로 볼 수 있다.
BTC 분할 이체와 크로스체인 이동
ETH와 BTC처럼 발행사가 직접 동결할 수 없는 자산으로 바뀐 뒤에는 자금 추적이 관건이 됐다. TRM은 바이낸스에서 빠져나온 BTC 1만8,270개가 같은 블록 안에서 1,000개와 100개 단위로 쪼개져 여러 경로로 이동했다고 밝혔다. 조사자들은 과거에도 사용된 주소를 포함해 여러 지갑 사이에서 자금이 자동으로 오가는 정황도 발견했다. 이런 움직임은 추적을 복잡하게 만들 수 있다.
크로스체인 브리지를 이용하면 자산을 다른 블록체인으로 옮길 수 있어 추적자는 새로운 네트워크에서도 자금을 찾아야 한다. 온체인 모니터링 업체 온체인 렌즈(Onchain Lens)는 월요일 공개된 또 다른 의심 사례에서 솔라나 차익거래 봇 King과 연관된 지갑의 자금이 여러 솔라나 지갑을 거쳐 Mayan 크로스체인 서비스를 통해 이더리움으로 이동했다고 전했다. King 운영사는 해킹 피해를 확인하지 않았다. 따라서 이 이동 경로만으로 봇이나 관련 주체가 침해됐다고 단정할 수는 없다.
TRM은 바이낸스 사건 초기 자금 이동에 마켓메이커와 대출 프로토콜이 많이 활용됐다는 점에서, 2025년 15억 달러 규모의 바이비트 탈취 사건과 차이가 있다고 설명했다. 당시에는 크로스체인 브리지 이용이 상대적으로 두드러졌다. TRM은 이번 사건에서도 이후 브리지와 환전 서비스, 장외 중개업체를 통한 이동이 이어질 가능성을 보고 있다.
EU 관련 계정에서 1억600만 달러 이상 피해 의심
블록체인 조사자 ZachXBT는 월요일 신원이 공개되지 않은 EU 소재 기관이 일요일 탈취 피해를 입었을 가능성이 있으며, 여러 거래소 계정에서 발생한 손실이 총 1억600만 달러를 넘는다고 밝혔다. 피해자와 관련 거래소 모두 공개되지 않아 아직 확인되지 않은 의심 사례다. ZachXBT에 따르면 자금은 USDC와 USDT로 빠져나갔고, USDC는 ETH로 교환됐다. 초기 자금 이동 방식은 바이낸스 사건과 유사한 부분이 있다.
ZachXBT는 자금이 WellWallet, Kyrrex 등 즉시 환전 서비스를 거친 뒤 Wagyu라는 환전 서비스를 통해 모네로(Monero)로 바뀌었다고도 밝혔다. 즉시 환전 서비스는 서로 다른 토큰을 빠르게 교환할 수 있다. 모네로는 기본 설정에서 송신자와 수신자, 거래 금액을 숨긴다. 자금이 모네로로 넘어가면 공개된 블록체인 기록만으로 추적하기가 훨씬 어려워진다.
공격자 보유 ETH·BTC 잔액이 잠재 공급 변수
TRM에 따르면 바이낸스 사건의 공격자는 여전히 ETH 42만 개 이상과 BTC 1만8,270개를 보유하고 있으며, 합산 가치는 약 24억 달러다. 이 자산은 스테이블코인 발행사의 직접적인 동결 대상이 아니다. 대규모 ETH나 BTC가 시장에 유입되면 매도 가능한 물량이 늘어날 수 있지만, 이동 시점과 매도 경로는 아직 확인되지 않았다. 자금이 수주 또는 수개월에 걸쳐 분산 이동할 수도 있어, 현재로서는 단기간에 집중 매도가 발생한다고 판단할 근거가 없다.
바이낸스 공동 최고경영자(CEO) 허이는 거래소가 탈취 자산을 보충하기 위해 회사 자금 63억4,000만 달러 이상을 배정했다고 밝혔다. 관련 계획에는 장외 거래와 거래소 거래를 통한 매입이 포함된 것으로 알려졌다. 이는 시장에서 매도 물량과 반대 방향의 수요를 만들 가능성이 있지만, 실제 매입 규모와 시기, 집행 방식은 아직 구체적으로 확인되지 않았다.
바이낸스는 이번 손실을 거래소가 부담하며 고객에게 자산 손실을 전가하지 않는다고 밝혔다. 다만 이번 사건은 거래소 자체 핫월렛에서 발생했다. 거래 플랫폼에 보관된 자산의 안전이 플랫폼 보안 조치에 달려 있다는 점도 드러났다. 스테이블코인 동결은 탈취 자금의 이동을 제한하는 데 도움이 됐지만, 발행사가 특정 지갑의 토큰을 통제할 수 있다는 사실도 보여줬다.
지갑 잔액과 동결 규모 업데이트 주시
앞으로는 공격자가 보유한 ETH·BTC 지갑에서 대규모 이체가 발생하는지, 특히 자금이 거래소나 장외 거래 경로로 향하는지 살펴볼 필요가 있다. TRM은 분할 이체와 자금이 다시 모이는 주소를 추적하고 있다. 대규모 이동이 포착되면 탈취 자산이 매도 단계에 가까워졌을 가능성을 시사할 수 있지만, 한 차례의 이체만으로 현금화가 완료됐다고 볼 수는 없다.
바이낸스는 서명 시스템이 침해된 정확한 원인을 아직 공개하지 않았다. 보안 사고의 근본 원인에 대한 설명은 다른 플랫폼에도 비슷한 위험이 있는지 판단하는 데 영향을 줄 수 있다. EU 관련 사건도 피해자와 거래소, 정확한 손실액이 확인되지 않았다. 따라서 1억600만 달러가 넘는 피해 규모는 현재로서는 미확정 추산으로 봐야 한다. 동결액이나 회수 자산에 대한 추가 발표가 나오면 공격자가 실제로 통제하는 자산 규모에 대한 평가도 달라질 수 있다.