NEAR Intents 380만 달러 해킹 자금이 비트코인과 모네로(XMR) 형태로 돌아왔다

380만 달러 유출, 모네로(XMR)로 돌아오다

NEAR Protocol (NEAR) Intents에서 10월 1일(목) 공격자가 유출한 380만 달러의 대부분이 반환됐다. 문제는 형태다. NEAR Intents 총괄 매니저 알렉스 셰프첸코는 10월 8일(목) 녹화된 발언에서 반환 자금 중 일부만 비트코인(BTC)으로 돌아왔다고 밝혔다. 나머지는 발신자와 수신자를 장부에 기록하지 않는 프라이버시 코인 모네로(XMR)로 바뀌어 있었다는 것이다. 이번 공개가 모네로 가격에 직접적인 영향을 주지는 않지만, 이번 분기 가장 이례적인 자금 회수 사례 한가운데에 이 코인을 놓이게 했다. NEAR Intents는 랩드 토큰 없이 여러 네트워크 간 자산 교환을 가능하게 하는 크로스체인 스왑 프로토콜을 운영하며, 10월 1일 공격은 정확히 그 장비를 노렸다. 팀은 피해 직후 피해 자금을 추적했고, 비트코인이 아닌 몫은 이더리움과 BNB 체인, 솔라나 위에 그대로 놓여 있다고 처음에 판단했다. 이 가정은 깨졌다. 셰프첸코는 “비트코인 블록체인에서는 모든 것이 정확히 식별됐다”면서도 다른 자산은 추적을 거부하는 경로로 이동했고, “실제로 XMR로 거래됐다”고 말했다. 모네로는 프로토콜 수준에서 거래 당사자를 가리며, 네트워크 계층 익명성 프로젝트인 Kovri를 포함한 프라이버시 스택 덕분에 금액과 상대방이 공개 장부에 드러나지 않도록 설계돼 있다. 경로 변경은 협상 방식도 바꿨다. 셰프첸코에 따르면 공격자가 접촉한 이유 중 하나는 실무적 질문을 풀기 위해서였다. “자금을 반환할 모네로 주소가 무엇인가”라는 질문이었다. 비트코인 주소라면 팀이 입금을 투명하게 지켜볼 수 있지만, 모네로 주소에는 그런 창이 없다. 결국 반환액의 대부분에 대해서는 공격자의 성의를 기다릴 수밖에 없었다. 이 규모의 해킹이 전액 회수로 끝나는 경우는 드물다. 그렇기에 이번 사건의 메커니즘을 뜯어볼 가치가 있다.

10월 2일 자금 반환 완료, 환전은 대기 중

반환 자체는 빠르게 마무리됐다. 셰프첸코는 10월 2일(금) 자금이 “전액 돌려져” 조사를 종료한다는 글을 올렸다. 같은 날 독립 온체인 분석가 쿤코로가 공개된 반환 주소를 검증한 결과, 비트코인 주소에 34.59 BTC, 즉 피해 총액의 약 78%가 입금된 것을 확인했고 나머지는 “다른 경로로” 돌아왔다고 결론지었다. 셰프첸코는 이 불일치를 인정했다. “맞습니다. 실제로 그랬습니다.” NEAR Protocol (NEAR) Intents가 여전히 XMR을 보유 중이냐는 질문에는 “이 부분은 진행 중”이라고 답했다. 팀은 이미 자체 자금으로 스마트 계약을 보충했으므로 남은 절차는 “돈을 원래 주머니로 돌려주는” 일이다. 그러려면 모네로를 USDT로 바꿔야 하는데, 프라이버시 중심의 모네로로 우회한 바로 그 이유 때문에 환전이 느려진다. 셰프첸코는 스왑을 처리하는 상대방에 대해 “자금 출처를 요구하는데, 자금 출처가 뭐라고 말하겠느냐”고 말했다. 모네로 체인에서 다른 네트워크의 토큰으로 가치를 옮기는 문제는 원래 아토믹 스왑이 풀도록 설계된 영역이지만, 이번 사례의 현실적인 경로는 먼저 질문을 던지는 거래소를 거친다. 셰프첸코는 반환액 중 XMR 비중을 밝히지 않았고, 이 코인과의 첫 직접 경험이 “정확히 이번 해킹 때”였다고 덧붙였다. 양측은 사내 메신저를 통해 내내 비공개 소통로를 유지했다. 공격자가 협조를 제안하며 시그널 연락처를 요구하는 온체인 메시지를 보내자, 셰프첸코는 시그널 그룹 초대장을 담은 암호화 메시지를 게시했다. 그 메시지는 “공격자의 공개 키로 암호화됐기” 때문에 공격자만 “복호화할 수 있는 유일한 사람”이었다. 해킹 이후 NEAR Intents에는 여러 건의 버그 바운티 제출이 접수됐으며, 그중 한 건은 유효한 것으로 확인돼 보상이 지급될 예정이다.

XMR 출구 경로가 병목이다

온체인 기록과 팀의 발글을 합치면 이번 사건은 기록이 가장 잘 남겨진 해킹 회수 사례 중 하나다. 34.59 BTC가 공개된 주소에서 눈으로 확인되고, 부족분도 문서로 인정됐다. 이 사례가 동시에 보여주는 것은 해킹 이후의 표준적인 출구인 모네로, 그리고 그 뒤에 따라오는 마찰이다. XMR 몫은 규모가 공개되지 않은 채 NEAR Intents에 돌아왔고, 모든 출구 경로는 자금 출처 증명을 요구한다. 공격자가 넘겨준 코인에 대해 팀이 마땅히 제시할 출처는 사실상 없다. 코인 차트 흐름을 추적하는 독자는 우리의 모네로 기술적 분석을, 이번 사건 뒤의 프라이버시 메커니즘이 처음인 독자는 모네로 사용법 가이드부터 읽으면 된다. 회수 이야기는 지금으로선 NEAR Protocol (NEAR) Intents의 환전 창구에서 멈춰 있다.