CoinDCX, 퇴역 지갑에서 1,599만 USDT 유출

퇴역 지갑에서 1,599만 USDT 유출

피해는 CoinDCX가 이미 서비스에서 내린 퇴역 지갑의 경계 안에서 멈췄다. 인도 거래소 CoinDCX는 10월 25일 일요일, 2025년 7월 해킹 이후 폐쇄했던 운영용 지갑군에서 1,599만 USDT가 빠져나갔다고 공시했고, 이 손실 전액을 회사가 떠안는다고 밝혔다. 고객 자산은 영향을 받지 않았다. 사건의 중심에는 스테이블코인이 있다. Tether가 발행하는 토큰이며, 페그는 이번 사건과 무관했다. 달러에 고정된 테더(USDT) 가격은 흔들리지 않았고, 이미 존재하던 토큰이 죽은 주소에서 빠져나간 사안이었다. 회사 공식 블로그가 경위를 정리했다. 내부 시스템은 10월 21일 수요일 이상 징후를 감지했고, 즉각 대응으로 아직 가동 중인 지갑과 거래 시스템은 피해를 피했다. 하루 뒤인 22일에는 온체인 데이터와 사용자 신고로 의심 자금 이동이 확인됐고, 조사는 미확인 취약점을 안고 있던 퇴역 인프라로 이어졌다. 이 퇴역 지갑은 2025년 7월 19일 토요일 공개된 침해 사고의 피해 지갑과 같은 그룹이다. 당시 파트너 거래소 유동성 공급용 내부 운영 계좌에서 약 4,420만 달러가 유출됐고, 그 손실 역시 CoinDCX가 부담했으며 해당 지갑은 이후 서비스에서 제외됐다. USDT가 죽은 주소에 쌓여 있던 배경은 사용자 실수와 정리 절차의 조합이다. 신규 입금 주소가 앱에 표시된 뒤에도 일부 고객은 낡은 주소로 자금을 보냈다. CoinDCX는 이런 사례를 위한 2단계 복구 절차를 운영했다. 잘못 보내진 입금이 도착하면 즉시 잔액으로 인정하고, 별도 서비스가 그 자금을 운영 지갑으로 옮기는 방식이다. 문제는 이 스윕이 한동안 중단돼 있었다는 점이다. 그 사이 잘못 보내진 입금이 퇴역 주소에 계속 쌓였고, 유출된 것은 바로 그 자금이다. 가장 큰 단일 유출액은 1,581만 9,002 USDT였다.

온체인 경고가 회사 해명에 앞서

온체인 조사 진영은 회사의 공식 입장보다 빨랐다. 자산 복구 서비스 FlashRescue의 공동창업자 Darcy는 10월 22일 목요일, 트론 네트워크에서의 의심 이체를 지적했다. 트론은 지분위임증명 방식으로 운영되는 레이어1 블록체인이다. 같은 날 CoinDCX의 공동창업자이자 최고경영자인 Sumit Gupta는 X에서 회사 지갑은 침해되지 않았다며 사용자들에게 “허위 정보” 확산을 자제하라고 당부했고, 지적된 주소는 2025년 7월 사건에서 이미 침해됐던 주소를 해커가 재사용하는 것처럼 보인다고 설명했다. 거래소 공식 계정도 해당 보고를 오해의 소지가 있다고 반박했다. 이후 ZachXBT는 그 주소 하나가 2026년 4월과 5월에 현재 핫월렛으로 입금을 전달한 적이 있다고 지적했다. Gupta는 조사가 진행 중이며 사용자 자금은 영향받지 않았다고 답했고, CoinDCX는 같은 날 X에서 스윕 결함으로 생긴 운영 손실이 회사 부담임을 인정했다. 블로그 글은 사실상 사후 분석에 가장 가까운 자료다. 회사는 낡은 인프라에 대한 검증과 타임라인 재구성에 시간이 걸렸다며 “좀 더 적극적으로 움직였을 수 있었다”고 인정했다. 잔존 시스템에 대한 모니터링을 강화하고, 낡은 주소에는 만료 개념이 있다는 점을 사용자에게 분명히 알릴 계획이다. 거래, 입금과 출금은 직전 72시간 동안 중단이나 출금 한도 없이 계속됐다고 덧붙였다. 공시가 나온 시점은 거래소에게 분주한 구간이다. 지난 3월 인도 경찰은 CoinDCX 사칭 사이트와 관련된 사기 신고를 근거로 Gupta와 공동창업자 Neeraj Khandelwal을 조사했다. 회사는 창업자 개입을 부인했고, Thane 법원은 며칠 안에 기소 근거가 없다는 판단으로 보석을 허가했다. 2025년 10월에는 Coinbase가 CoinDCX에 금액 미공개 조건으로 투자를 발표했고, Gupta는 투자 후 기업가치를 24억 5,000만 달러로 평가했다. 인도 공정거래위원회는 그해 12월 소수 지분 취득을 승인했다.

우리의 판단은 이번 사건이 청소 절차의 결함이지 가동 중 인프라에 대한 새로운 침해가 아니라는 것이다. 잘못 보내진 입금을 구조하려고 만든 메커니즘이 스윕 중단과 함께 공격 표면으로 바뀌었고, 피해 범위도 퇴역 주소에서 끝난다. 10월 21일의 이상 탐지는 활성 시스템을 지켰다. 뒤처진 것은 회사의 대외 소통이었다. 온체인 조사 인이 이미 트론 이체를 지적한 10월 22일에도 회사는 침해를 부인했다. USDT는 이런 유형의 유출을 반복적으로 겪는다. 이더리움 프로젝트를 노린 485만 달러 규모 USDT 유출에서부터 느린 공급 측 압력까지 이어진다. 유통량이 줄어드는 가운데 USDT 시가총액은 5일 동안 10억 달러 감소했다. 이제 주요 암호화폐 거래소를 검토할 때 거래소 리스크에 시장 리스크만큼 무게를 둘 필요가 있다. 아직 노출로 남아 있는 부분은 낡은 주소 잔존 레이어다. 모니터링은 강화됐고, 사용자에게 낡은 주소의 만료를 안내할 예정이며, 거래와 출금은 직전 72시간 동안 제한 없이 작동했다.