Arkham, Bitget 해커 지갑의 52건 송금에서 1,948만 달러 추적

비트코인으로 이뤄진 52건의 대규모 인출

지난 9월 Bitget 암호화폐 거래소 해킹으로 탈취된 자금이 다시 대규모로 움직이기 시작했다. 온체인 데이터에 따르면 해커로 라벨링된 지갑들은 10월 21일 10:02 UTC부터 10월 24일 02:48 UTC 사이 52건의 송금을 통해 총 1,948만 달러를 이동시켰다. 이 중 대부분은 비트코인 형태로 빠져나갔으며, 비트코인으로 전환된 금액은 1,933만 달러다. 전체 합산 수치를 단순 비교하면 나머지는 약 15만 달러 상당의 이더리움(ETH)으로 추산되며, 이는 전체의 약 99.2%에 해당한다. 다만 이더리움 잔여분의 정확한 토큰 수량은 공개되지 않았다. 이번 자금 이동은 해킹 사건과 직접 연결된 것으로 분류된 암호화폐 지갑에서 발생했고, 송금된 자금 대부분은 사전 흔적이 없는 새로운 암호화폐 지갑 주소로 향했다. 출발점 지도가 존재하는 이유는 Bitget이 9월 25일 복구 공지에서 이더리움 호환 네트워크, XRP Ledger, Zcash, TRON 전반의 수신 주소를 직접 공개했기 때문이다.

온체인 분석 업체 Arkham Intelligence는 추적 현황을 단순 수치가 아닌 질문의 형태로 공유했다. 해당 업체가 배포한 온체인 추적 스레드는 “Bitget 해커가 탈취 자금을 세탁 중인가?”라는 물음을 제목으로 내걸었으나, 자금을 받은 쪽의 특정 거래소, 믹서, 장외거래 상대를 지목하지는 않는다. 게시물들은 라벨링된 지갑에서 자금이 빠져나가는 사실만을 기록했을 뿐, 해당 자산이 매각됐는지, 현금화됐는지, 아니면 회수 절차로 이동 중인지는 확인하지 않는다. 따라서 최종 목적지가 어디인지는 여전히 열린 질문으로 남는다. Arkham의 체계에서 라벨링된 지갑이란 회사가 높은 신뢰도로 특정 행위자와 매칭한 주소를 의미하며, 이 라벨은 코인이 어디로 이동하든 함께 따라간다. 이번 스레드에서 창구 하나는 짚고 넘어갈 필요가 있다. 첫 게시물의 타임스탬프는 64시간 46분 구간을 커버하지만, 이후 게시물에서는 같은 1,948만 달러를 “지난 48시간” 동안 이동한 것으로 서술한다. 10월 24일 02:48 UTC까지 이어지는 정밀 타임스탬프가 기준 기록으로 유지된다.

10월 15일 이후의 장부

시점을 10월 15일 목요일로 되돌리면, 이번 주의 1,948만 달러는 더 긴 장부의 한 단면으로 읽힌다. 그날 이후 해커 연관 지갑에서 새 주소로 빠져나간 자금은 총 7,801만 달러에 이른다. 월 1,500달러 요금제로 최고 수준의 엔터프라이즈 온체인 분석을 제공하는 Arkham이 일별 내역을 공개했는데, 그 흐름은 고르지 않다. 10월 15일에는 2,331만 달러, 10월 16일에는 868만 달러, 10월 17일에는 115만 달러가 나갔고, 10월 18일에는 다시 1,051만 달러가 이동했다. 10월 19일에는 기록된 이동이 없었다. 흐름은 10월 20일 1,513만 달러, 10월 21일 1,174만 달러, 10월 23일 730만 달러로 재개됐으며, 그 사이인 10월 22일에는 18만 4,160달러만 기록됐다.

움직인 금액보다 남아 있는 금액이 더 크다. Arkham의 평가 기준으로 라벨링된 지갑에 남은 자산은 2억 4,254만 달러이며, 이 중 2,960.01 BTC가 2억 4,199만 달러 상당이고, 나머지는 이더리움, Hypercore, Solana, Tron에 걸쳐 있는 소규모 잔액이다. Arkham은 이를 3억 5,000만 달러 규모 탈취 사건의 69%로 제시한다. 그러나 Bitget의 자체 정산은 다른 기준을 쓴다. 9월 25일 공지에서 회사는 사건 규모를 초기 추정치 3억 5,160만 달러에서 약 3억 8,750만 달러로 상향했는데, 이는 원래의 송금을 더 완전하게 분류하는 과정에서 누락됐던 Zcash와 TRON 자산을 추가한 것이며, 이후 추가 탈취가 있었기 때문이 아니다. 상향된 기준으로 같은 시점의 잔여 자산은 약 62.6%에 해당한다. 어느 쪽 비율도 실제 회수된 금액을 말해주지는 않는다. 두 수치 모두 잔여 라벨링 지갑 잔고를 달러 추정치와 비교한 것이지, 확인된 반환액과 비교한 값이 아니기 때문이다.

9월의 기록은 공격자의 자금 라우팅 습관이 초기부터 형성돼 있었음을 보여준다. AMLBot은 TRON에서 USDT로, USDT0를 거쳐 이더리움으로, 다시 THORChain을 경유하는 경로를 추적한 뒤, 약 4 BTC가 CoinJoin에 유입되는 것을 확인했다. CoinJoin은 여러 사용자의 거래를 하나로 묶어 자금 출처를 흐리게 만드는 믹싱 기법이다. 그 경로에서는 약 4.59 BTC가 배출된 뒤 비트코인이 더 작은 단위로 분할됐다. Bitquery의 독립 추적은 9월 25일 14:38 UTC 기준 총 126.71 BTC 상당의 스왑 66건을 매칭했고, 해당 시점에 스왑 2건은 아직 처리 대기 상태였다. 다만 이 경로들은 10월의 흐름까지 이어지지 않는다. 최근 인출의 최종 목적지는 여전히 식별되지 않았으며, 스레드와 함께 공개된 자료에는 새로운 자금 이동을 같은 서비스와 연결하는 거래 수준의 판독 가능한 증거가 담겨 있지 않다.

Bitget 사후 분석이 확인한 것

10월 20일 화요일 업데이트된 Bitget의 공식 사고 설명 자료는 근본 원인을 단호하게 밝힌다. 제3자 보안 제품의 취약점으로 공격자가 상급 내부 인증 정보를 획득했고, 기존 리스크 관리 장치를 우회하는 부정 출금 명령을 제출할 수 있었다는 것이다. 회사는 영향받은 시스템을 격리하고 결함을 수정했다고 밝혔으며, 고객 잔고는 영향받지 않았고, 단계적 출금 재개가 10월 2일 금요일에 완료됐으며 봉쇄 이후 추가 무단 송금은 확인되지 않았다고 설명한다. CEO Gracy Chen은 손실을 흡수 중인 보호 기금이 9월 30일 수요일 기준 3억 달러를 넘어섰다고 밝혔다. 복구 작업은 해당 제품 연동 건에 한정된다. 남은 과제는 여전히 라벨링된 지갑에 잠들어 있는 2억 4,254만 달러와 그 다음 행선지다. 고객 입장에서는 이번 사건이 콜드월렛부터 거래소 대 지갑 보관 방식의 선택까지 콜드 스토리지와 암호화폐 거래소 대 암호화폐 지갑의 보관 딜레마를 다시 떠올리게 한다. 출금이 재개된 지금, Bitget에서 비트코인 구매하기 가이드가 해당 플랫폼의 최신 상태를 다룬다.