Mercado Bitcoin 해킹, 격리 발표 뒤로도 36,042개 주소 인출 지속

36,042개 주소가 4시간 동안 털렸다

브라질 거래소 Mercado Bitcoin (BTC)이 해킹을 격리했다고 고객에게 통보한 뒤에도 자산 인출은 거의 4시간 동안 계속됐다. 조사 결과가 정리되는 동안 비트코인 가격은 24시간 동안 5.5% 하락했다. 11월 5일 목요일 공개된 온체인 분석이 타임라인을 확정했다. 블록체인 분석 업체 Bitquery의 조사에 따르면 공격자는 11월 2일 브라질 시각 오전 9시 27분부터 오후 1시 56분까지 거래소에 묶인 36,042개의 이더리움 입금 주소를 비웠다. 회사의 격리 발표는 그날 오전 9시 56분에 나왔다. 인출은 발표 29분 전부터 이미 진행 중이었고, 이후에도 거의 4시간을 더 흘렀다. 36,042개 주소의 잔고는 약 26만 6,000달러로 전체 피해 중 극히 일부지만, 공격자는 발표 이후에도 잔고를 마음대로 옮길 수 있었다. 입금 주소는 거래소가 고객마다 배정하는 개별 수신 계좌로, 여기서 자금을 빼내려면 해당 주소의 개인 키가 필요하다. Bitquery의 집계는 현재 11개 블록체인에서 총 4,860만 달러 피해로 수렴하고 있다. 이는 11월 4일 Mercado Bitcoin이 공식 X 계정에 밝힌 3,630만 달러를 넘는 수치다. 같은 공격자 주소는 본격 탈취 이전에 Base, Arbitrum, Optimism 지갑에서 약 39만 1,000달러를 받은 적도 있다. 연구진은 그 대부분을 BitMart에서 보낸 것으로 추적했으며, BitMart는 금액을 확인하지 않았다. BitMart 창립자 Sheldon Xia는 자사가 11월 2일 해킹을 당했고, 예비 조사 결과 Mercado Bitcoin 침해 배후 집단과 동일한 조직이 관련됐다고 밝혔다.

1,230만 달러의 집계 차이

엇갈리는 수치는 아직 정리되지 않았다. 초기 평가는 피해 자산을 4,000만 달러 이상으로 봤고, 거래소가 업데이트한 FAQ는 약 3,630만 달러를, 온체인 집계는 11개 네트워크에 걸친 4,860만 달러를 각각 제시한다. 세 숫자가 나란히 놓인 채 공식적 해명은 없다. 회사의 공개 업데이트는 격리 발표 뒤로도 인출이 계속된 이유를 설명하지 않았고, 자체 수치와 온체인 데이터의 차이도 밝히지 않았다. 다만 고객 손실은 자체 자금으로 전액 보상하겠다고 약속했다. 도난의 작동 원리를 보면 왜 이 물음이 열린 채 남는지 이해된다. 고객의 입금 주소는 개인 수신 계좌처럼 기능한다. 거래소는 사용자마다 주소를 하나 배정한 뒤 코인을 일상 거래를 처리하는 공용 핫월렛에 모은다. 이런 주소에서 송금하려면 개인 키가 필요한데, 이번 인출은 입금 주소 자체의 서명으로 직접 처리됐다. Bitquery 연구진은 이것이 가능하려면 주소마다 개별 키가 있거나, 그 대신 서명을 대행하는 시스템에 침입했어야 한다고 썼다. 연구진은 구조적 위험도 짚었다. 거래소는 보통 입금 주소 키를 하나의 마스터 키에서 파생시키므로, 마스터 자료를 손에 넣은 공격자는 다른 고객 주소까지 접근할 수 있을 수 있다는 것이다. 약 1,230만 달러의 집계 차이는 비워진 이더리움 주소 잔고 전체보다 크다. Mercado Bitcoin (BTC)이 개별 주소의 안전을 확인하기 전까지는 기존 입금 주소를 재사용하지 말라는 것이 지침이다. 거래소가 11월 4일 공개한 재개방 계획에 따르면 11월 9일 월요일에 잔고 조회만 가능해지며, 입금·인출·거래의 재시작 일정은 아직 정해지지 않았다. 인출이 돌아올 때까지 고객은 자금을 오래된 주소에 두고 움직일 방법이 없다.

온체인 기록과 대조하면 이번 사건은 리플레이 공격 같은 프로토콜 결함이 아니라 키 보관 실패의 양상을 띤다. 공격자는 수만 개 개별 주소에 대한 서명 권한을 4시간에 걸쳐 하나씩 행사했다. 실제 인출과 격리 발표가 29분 겹친 구간이 거래소 대응에서 가장 뾰족하게 따질 부분이 될 것이고, FAQ 수치와 온체인 집계의 차이는 회사의 회계가 체인 기록을 따라가지 못하고 있음을 보여준다. 노출이 완전히 닫혔는지는 마스터 키 문제에 달렸다. 11월 9일 조회 전용 재개방과 입금 주소 재발급 여부가 다음 확인 지점이다. 침해는 약한 시장 국면에도 닥쳤다. 5.5% 하락으로 시장은 7만 6,155달러 지지선 시험에 직면했다.