비트코인(BTC) 거래소 Mercado Bitcoin 해킹 피해액 4,600만 달러 돌파

메르카도 비트코인, 입출금 전면 중단

브라질 최대 암호화폐 거래소 Mercado Bitcoin (BTC)이 월요일 입출금을 전면 중단했다. 회사는 이날 새벽 자사 시스템 중 하나에서 보안 사고가 발생한 사실을 확인했다. 온체인 데이터 기준 의심 출금액은 여러 네트워크에서 4,000만 달러를 넘섰고, 분석가의 실시간 집계는 4,600만 달러를 돌파한 뒤에도 계속 늘어나는 중이다. 회사는 침해를 파악해 신속히 통제했으며, 고객 자금은 한 푼도 유실되지 않았고 KYC 기록을 포함한 고객 데이터도 노출되지 않았다고 밝혔다. 피해 자산 가운데는 비트코인(BTC) 106개가 포함됐는데, 비트코인 가격의 일일 거래대금에 비하면 적은 몫이다. 거래소는 재개 시점을 제시하지 않았고 침해된 시스템이 무엇인지도 공개하지 않았다.

Hypernative, 10개 체인에서 출금 탐지

블록체인 보안 기업 Hypernative는 거래소와 연결된 지갑이 최소 10개 네트워크에서 움직였다고 지목했다. 여기에는 비트코인, 이더리움, 솔라나, 트론, 폴리곤, 아비트럼, 아발란체, BNB 스마트 체인, 스텔라가 포함된다. 첫 의심 이동은 브라질 시간 일요일 밤 11시경 나타났고, 가장 큰 출금은 UTC 06:19~06:53 사이에 터졌다. 이 구간에 대부분의 지갑이 잔액을 새로 생성한 주소로 옮겼다. 공격자 클러스터는 현재 약 2,852 ETH, 106 BTC, 1만 700 SOL, 670만 XLM, 7만 7,000 AVAX를 보유하고 있으며, 그 외 200개가 넘는 토큰까지 더해지면 주소 군 전체가 고래 등급에 들어갈 규모다. 전송은 전부 일반 서명 트랜잭션이었고, 스마트 컨트랙트 취약점 악용은 아니었다.

Arkham 분석가 Emmett Gallic는 동부시간 오전 기준 피해액이 4,600만 달러를 넘었다고 보고했다. 공격자가 오래된 입금 주소를 계속 쓸어 담는 데다, 밈코인과 알트코인을 홀딩하지 않고 바로바로 매도하고 있어 수치는 계속 오를 수밖에 없다. 거래소는 사건 연루 목적지 주소를 X에 공개했으며, 비트코인, 이더리움 호환 네트워크, 솔라나, 스텔라, 트론을 아우른다. 회사는 식별과 추적을 위한 공유라고 설명했고, 당국과 협조하며 자산 추적도 진행 중이다. 성명은 고객 잔고가 손대지 않았다고 강조한다. 옮겨진 자금이 고객 자산이 아니라 거래소 자산으로 보인다는 점에서 이 구분은 실제로 의미가 있다.

테더, 450만 USDT 동결

발행사 가운데 가장 빨리 움직인 것은 Tether였다. CEO Paolo Ardoino는 ET 10:06에 X를 통해 밝혔다: 사건과 연결된 450만 USDT 이상을 동결했다는 것이다. 이 수단은 주소를 블랙리스트에 올릴 수 있는 중앙화 발행사가 있는 토큰에서만 작동한다. Bitcoin (BTC)와 ETH 같은 네이티브 자산은 같은 방식으로 동결할 수 없어, 해당 체인의 회수는 거래소 협조와 법적 절차에 기대야 한다. Tether는 이 거래소 자체에도 지분이 있다. 지난 7월 Mercado Bitcoin에 2,000만 달러를 투자했고, 당시 거래소는 이용자 450만 명을 확보했다고 밝힌 바 있다. 동결액은 아직 최종 회수 데이터로 확정된 수치가 아니다.

서명 권한 탈취 경로는 미공개

회사는 어떤 시스템이 침해됐는지, 얼마나 가져갔는지, 서비스가 언제 다시 열리는지 아직 말하지 않았다. Hypernative에 따르면 공격자가 서명 권한을 어떻게 확보했는지도 불명확하다. 개인키 노출 가능성과 출금을 승인하는 인프라의 결함이 열린 질문으로 남아 있다. 초기 분석에서는 스마트 컨트랙트 결함을 파고든 흔적이 없었고, 이동은 전부 소스 지갑이 스스로 승인한 것처럼 서명된 일반 전송이었다. 회사는 전체 손실을 부담하겠다고 밝혔다. 공격 귀속은 아직 이뤄지지 않았고, 며칠 전 Binance 사건과 이번 침해를 잇는 공개 증거도 없다.

Binance 해킹 불과 며칠 뒤

사건은 사상 최대 암호화폐 도난 사건 불과 며칠 뒤에 터졌다. 10월 29일 공격자는 Binance 엔지니어의 노트북을 침해해 출금 처리에 쓰이던 내부 시스템에 접근했고, 63억 달러 규모의 자산에 손을 댔다. FBI는 이 공격의 배후를 북한의 TraderTraitor 조직으로 본다. 11월 1일까지 Binance는 도난 자산의 95%를 대체했고 출금을 단계적으로 재개했다. Tether는 이 사건에서 약 15억 7,000만 달러의 USDT를 동결했다고 밝혔고, Circle은 8억 달러가 넘는 USDC를 잠갔다. 그럼에도 약 33억 달러의 도난 자금은 아직 행방이 확인되지 않았다. Polymarket은 별도로 지난 목요일 270만 달러 규모의 익스플로잇을 공개하고 피해 사용자에게 전액 보상하겠다고 말했다.

회수 수단과 그 한계

온체인 기록이 사건의 뼈대를 그린다. 지목된 모든 이동은 평범하게 서명된 전송이었으므로 최종 피해를 가르는 변수는 어느 컨트랙트가 뚫렸는가가 아니라 서명 권한을 어떻게 가져왔는가다. 지금까지의 회수 수단은 테더의 블랙리스트, 공개된 목적지 주소, 손실 전액 부담 약속뿐이다. 네이티브 Bitcoin (BTC)와 ETH는 동결할 수 없어 전체 탈취액 대비 추적 가능한 회수 풀은 작게 유지된다. 이번 사건은 서명 권한이 열 체인에 흩어질수록 공격 표면이 넓어진다는, 거래소 측 다중체인 커스터디를 두고 나온 비트코인 맥시멀리즘의 오랜 비판에 무게를 더한다. 침해는 약세장 구간에 뒤따랐다. 비트코인은 두 달 연속 10월 하락을 기록했고 월간 낙폭은 7.3%였다. 4,000만 달러를 넘게 열린 집계는 현재 4,600만 달러를 넘어섰고, 청산이 멈추기 전까지는 계속 움직일 것이다.