비트겟 해커, 7,861만 달러 규모 비트코인(BTC)을 코인조인으로 이동

코인조인이 해커 유출 자금의 80.5% 흡수

온체인 추적 데이터에 따르면 비트겟 해커의 비트코인(BTC) 대부분이 특정 거래소가 아니라 코인조인 트랜잭션 안에 머물러 있다. 라벨이 붙은 지갑에서 11월 6일 09:27(UTC)을 시작으로 6일간 총 1,052.34 Bitcoin (BTC), 당시 기준 7,861만 달러가 빠져나갔고, 이 가운데 6,343만 달러어치가 프라이버시 트랜잭션으로 흘러들었다. 847.26 BTC는 이동한 전체 비트코인의 약 80.5%에 해당하며 66건의 코인조인 트랜잭션에 도달했다. 유입 경로는 두 갈래다. 579.80 BTC(4,359만 달러)는 라벨이 붙은 암호화폐 지갑에서 곧바로 유입됐고, 267.46 BTC(1,984만 달러)는 같은 트랜잭션에 도달하기 전에 1홉에서 6홉 깊이의 새 지갑 주소를 거쳤다. 이러한 주소 연쇄는 HD 지갑 파생에서 전형적으로 나타나는 패턴이다. 직접 이동분을 합산하면 코인조인 물량의 약 68.4%가 라벨 지갑에서 바로 나온 셈이다. 코인조인은 여러 참여자의 입력을 하나의 트랜잭션으로 묶고 입력과 일대일로 대응할 수 없는 출력을 되돌려주는 방식으로, 일반 전송이 남기는 자금 추적 경로를 끊는다. 일별 기록을 보면 한때의 정체 이후 유출이 가속됐다. 11월 6일 137.71 BTC(1,047만 달러), 7일 156.04 BTC(1,186만 달러), 8일 16.75 BTC(127만 달러)에 그쳤으나 9일 206.31 BTC, 10일 238.79 BTC, 11일 296.74 BTC로 늘었다. 11월 6일 이후 하루 평균 유출량은 175.39 BTC, 달러 환산 1,310만 달러다. 회사 측의 11월 11일 추적 스레드에 따르면 마지막 날 유출액은 정오 이전인 11:58(UTC)에 집계가 마감됐음에도 2,183만 달러로 6일 전체의 두 배를 넘었다. 달러 금액은 집계 시점의 비트코인 가격 기준으로 평가된 것이므로 물량과 시세 변동에 함께 움직이며, 이 지갑들이 탈취 자금과 연결된 것은 해당 라벨 덕분이다.

WabiSabi 구조와 혼합되지 않은 잔여 자금

이번 사례의 코인조인은 설계상 입력을 모으는 방식이다. Wasabi 방식 믹싱의 기반이 되는 WabiSabi 프로토콜은 참여자들의 비트코인 입력을 공유 트랜잭션으로 묶고, 코디네이터나 다른 참여자에게도 입력과 출력의 직접 연결이 보이지 않는 출력을 만들어낸다. 이 구조 때문에 단순 추적이 통하지 않는다. 추적 업계가 이 기법을 훨씬 작은 규모로 접한 전례도 있다. 지난 9월 AMLBot은 TRON에서 USDT0, 이더리움, THORChain을 거치는 경로로 탈취 자금을 추적해 약 4 Bitcoin (BTC)를 코인조인과 연결했고, 이를 자금 은폐 시도로 판단했다. 혼합되지 않은 잔여 자금도 움직이고 있다. 205.08 BTC, 1,518만 달러어치가 코인조인에 들어가지 않은 채 이동했다. 이 중 172.33 BTC(1,272만 달러)는 250개 주소에서 아직 사용되지 않은 상태로 잠들어 있고, 16.38 BTC(122만 달러)는 6홉 단계에서 계속 이동 중이며, 10 BTC(76만 달러)는 Maya Protocol에 도달했고, 4.37 BTC(33만 500달러)는 433개의 소액 출력에 흩어져 있다. 라벨 지갑에 남아 있는 자산은 거의 전부 비트코인이다. 총 7,186만 달러 규모 포트폴리오의 99% 이상이 BTC이며, 33만 9,320달러는 동결로, 7,152만 달러는 유동으로 분류됐다. 그 밖에 241,026 USDT, 134,456 USDC, 18.358 ETH와 소액의 TRX, USDD 잔액이 있다. 이번 자금 이동의 근원은 9월 24일 비트겟 해킹이다. 피해 규모는 처음 3억 5,160만 달러로 집계됐다가 이후 3억 8,750만 달러로 상향됐는데, 거래소의 공식 조사 업데이트에 따르면 상향분은 첫 산정에서 빠졌던 제캐시와 TRON 보유 자산에 해당하며 추가 무단 인출이 아니었다. 비트겟은 조사 파트너로 Mandiant와 SlowMist를 지명하고 취약점을 확인해 패치했다고 밝혔다. 복구 현상금 제도는 보상을 두 개의 5% 배분으로 나눈다. 하나는 자금 동결에 직접 기여한 경우, 다른 하나는 회수에 직접 기여한 경우이며, 적격 여부는 회사가 판단하고 법원 명령에 따른 조치는 제외된다. 해당 거래소 노출을 고민하는 이용자라면 입금 전에 비트겟에서 비트코인 사는 법 초보 가이드를 참고할 수 있다.

보유량 959.29 BTC로 감소

이번 주간 자금 흐름의 모양새는 성급한 분산보다 현금화 전 계획적 은폐를 가리킨다. 코인조인이 유출의 대부분을 차지하고, 이동은 새 주소를 홉 단위로 거치며, 추적된 경로 어디에도 거래소는 등장하지 않는다. 추적 대상 보유량은 10월 스냅숏 당시 2,960.01 Bitcoin (BTC), 2억 4,254만 달러에서 최신 집계 기준 959.29 BTC로 줄었다. 10월 21일부터 24일 사이에는 1,948만 달러어치가 이동했지만 당시에는 거래소도 믹서도 확인되지 않았다. 비트겟의 현상금 프로그램 입장에서 이미 코인조인 풀에 들어간 코인은 동결이 가장 어려운 대상이라 조기 신고의 가치가 커진다. 11월 11일 최신 스냅숏 기준 지갑에는 여전히 959.29 BTC, 7,144만 달러어치가 남아 있으며, 추적된 자금은 특정 거래소가 아니라 코인조인 풀과 보관 지갑에 위치해 있다.