KU Leuven 연구: 비트코인(BTC) 지갑 36개가 거래 전에 사용자 데이터 노출

KU Leuven 연구, 지갑 36개 지적

비트코인(BTC) 결제 한 건은 인보이스에 적힌 금액 이상의 정보를 드러낼 수 있고, 노출은 거래가 서명되기 훨씬 전에 시작된다. 재사용된 지갑 주소로 공급업체에 대금을 지급한 기업이라면 상대방, 금액, 시점이 블록 익스플로러만 있으면 누구에게나 보인다. 새 연구는 이 누출이 그보다 더 앞선 단계에서 시작된다고 밝혔다. 2026년 7월, KU Leuven 대학 DistriNet 연구팀은 가장 널리 쓰이는 브라우저 확장 지갑 85개를 조사했는데, 이들은 합산 약 3,500만 회의 Chrome 웹스토어 설치 기록을 보유하고 있다. 결론은 지갑 자체가 사용자를 식별하고 추적할 만한 데이터를 충분히 방송하고 있다는 것이다. 익스플로러트는 전혀 개입하지 않는다. 확장 프로그램이 잔액 표시를 위해 외부 서버에 요청을 보낼 때 그 요청에 지갑 주소가 평문으로 실리는데, 이는 소프트웨어가 설계된 대로 정확히 동작한 결과다. 전체 표본에서 핑거프린팅 취약점만으로 36개 지갑이 해당되며, 이들 합계는 조사 대상 설치의 약 82%를 차지한다. 이 하위 그룹 안에서 별개 주소 사이의 연관성까지 노출할 수 있는 지갑은 17개로 약 2,300만 회 설치에 해당하고, 36개 중 22개는 사용자가 접근 권한을 회수하고 브라우저를 재시작한 뒤에도 주소를 계속 누출했으며, 23개는 클릭 한 번 없이도 서드파티 콘텐츠를 통해 주소를 웹사이트에 전달할 수 있었다. 대부분의 벤더는 이 결과를 심각한 버그로 받아들이지 않았다. Coinbase Wallet, Coin98, Hana는 변경을 적용했지만 MetaMask, Rabby, OKX는 그러지 않았고, 테스트한 탈중앙화 앱 30개 중 로그아웃 시 지갑 접근을 정상적으로 회수한 곳은 11개뿐이었다. Strategic Bitcoin Reserve 검토나 공급업체 정기 결제를 앞둔 재무 담당 조직이라면 이 거래 전 메타데이터는 상시 공시 위험으로 다뤄야 한다. 자산에 대한 기초 정보는 비트코인(BTC)이란? 가이드에서, 관련 보도는 Bitcoin 태그 허브에서 확인할 수 있다.

클러스터링, KYC, 그리고 Helix 장부

주소가 한 번 드러나면 공개 체인이 나머지 프로필을 채운다. 블록체인 분석 업체는 서로 반복적으로 거래하거나 행동 패턴이 유사한 지갑을 찾아 단일 소유주 아래로 묶는다. 하나의 주소가 확인되면 수많은 주소가 함께 연루될 수 있는 이유다. 규모는 산업 수준이다. 2026년 중반까지 Chainalysis는 10억 개 이상의 블록체인 주소를 134,000개가 넘는 식별된 개체로 묶었다고 밝혔다. 브리지를 통해 자금을 옮기거나 탈중앙화 거래소에서 스왑해도 흔적은 끊기지 않는다. 모든 스왑이 그대로 온체인에 공개 기록되기 때문이다. 수사 기관은 이미 결말을 여러 차례 시연했다. 2021년 Colonial Pipeline 랜섬웨어 사건 이후 미국 당국은 비트코인을 여러 지갑에 걸쳐 추적해 총 440만 달러 몸값 중 약 230만 달러를 회수했다. 믹서도 나았던 적은 없다. Larry Dean Harmon은 2014년부터 2017년까지 다크넷 마켓에서 인기 있던 텀블러 Helix를 운영했고, 이를 통해 약 354,468 BTC — 당시 기준 약 3억 1,100만 달러 — 가 흘렀다. 그는 스왑당 2.5%의 수수료를 받았는데, 이 수수료 역시 다른 코인과 마찬가지로 온체인에 기록되어 흔적을 지우기 위해 만든 서비스의 운영자를 영구히 남겼다. 마지막 단계는 신원이다. 추적된 자금이 규제 대상 거래소에 닿으면 KYC 기록이 지갑과 실명을 연결하고, 앞선 클러스터링이 그 실명을 주소 그룹 전체로 확장한다. 기업들도 기부 페이지와 프로필에 주소를 공개해 수년치 타임스탬프 이력을 노출한다. 분석이 무결한 것도 아니다. 패턴 매칭은 오탐을 낸다. 한 P2P 구매자는 본인 소유가 되기 전 믹서를 거친 코인 때문에 계정이 동결된 사례가 기록되어 있고, 2025년 초 Chainalysis는 북한의 암호화폐 탈취 추정액을 10억 달러에서 6억 6,050만 달러로 하향했다. Bitcoin Fog와 Tornado Cash 사건의 변호인단은 외부인이 검증할 수 없는 독점 도구의 결론에 이의를 제기했고, 미국 정부의 주요 수주업체인 Chainalysis는 연방 계약으로 9,320만 달러 이상을 받았다. 불법 자금을 걸러내는 그 클러스터링 논리는 크립토 고래부터 BTC로 대금을 지급하는 평범한 기업까지 모든 대형 보유자를 불변의 proof-of-work 장부 위에 그대로 지도화한다.

프라이버시는 이제 재무 리스크

COINOTAG의 판단은 이 두 결과가 하나의 흐름을 이룬다는 것이다. 비트코인의 투명성은 프로토콜 수준에서는 설계상의 특징이지만, 기업 수준에서는 책무가 된다. 지갑 발견의 근거 문서인 KU Leuven 연구는 85개 테스트 확장 중 36개가 어떤 서명 이전에도 식별 데이터를 누출한다고 명시하고, 그 뒤를 온체인 클러스터링과 KYC가 마무리한다. Celsius 유산 측의 BitMEX 소송 같은 포렌식 분쟁은 지갑 추적이 상업적 갈등까지 얼마나 깊이 침투했는지를 보여준다. BTC를 다루는 기업은 주소 위생을 선택 사항이 아니라 운영 보안으로 취급해야 한다.