THORChain(RUNE), Bitget 해커 차단 요구 거부... 630만 달러 ETH 스왑 후

2,390 ETH, 비트코인으로 전환

Bitget 해커와 연결된 지갑이 월요일에도 탈취한 이더리움을 비트코인으로 계속 전환했습니다. 온체인 기록에 따르면 단일 오전 세션 동안 약 630만 달러 규모의 자금이 THORChain(RUNE) 스왑 네트워크 로 흘러 들었습니다. 검토한 온체인 데이터를 보면 UTC 기준 03:55~06:23 사이에 27건의 스왑이 성공적으로 체결됐고, 약 2,390 ETH가 75.2 BTC로 교환됐습니다. 흥미로운 점은 모든 비트코인 지급이 단일 집계 주소로 향했다는 사실입니다. 주문은 대략 100 ETH, 즉 건당 약 26만 5,000달러 규모로 배치 단위로 들어왔으며, 블록체인 트래커 Lookonchain은 이 이더리움 지갑을 해커 활동의 일부로 식별했습니다. 이 기록에는 400 ETH를 추가로 커버하는 4건의 스왑이 아직 보류(pending) 상태로 표시되어 있습니다. 모든 주문이 원활하게 체결된 것은 아닙니다. 100 ETH 스왑 2건은 지정된 최소 가격을 충족하지 못한 부분이 발생해 부분 체결에 그쳤고, 약 114 ETH가 송신 지갑으로 반환됐습니다. 이는 스위퍼의 실행을 갉아먹는 슬리피지 의 실증적 증거입니다. THORChain의 구조가 이 흔적을 추적 가능하게 만듭니다. 이 프로토콜은 계정 없이 크로스체인 거래를 정산합니다. 최고의 암호화폐 거래소 에 보관된 자산과 달리 컴플라이언스팀이 출금을 동결할 수 있는 거래소와는 달리, 송신자와 정산 사이에 아무도 존재하지 않습니다. 그럼에도 모든 홉(hop)은 기본 블록체인 기록에 공개적으로 추적 가능한 상태로 남습니다.

Bitget의 동결 요청과 현상금

Bitget의 요청은 9월 24일 해킹 사건에서 비롯됐습니다. 공격자가 백엔드 지갑 시스템에 침투해 거래소 자체 승인 절차를 전송 서명에 활용하면서, 거래소 지갑에서 약 3억 8,800만 달러(회사 공식 발표 기준 3억 8,750만 달러)가 유출됐습니다. Bitget은 이 침투 기법이 북한 해커 조직과 매우 유사하다고 밝혔습니다. 토요일, CEO Gracy Chen은 THORChain에 서비스 거부를 요청 하며 공개된 공격자 주소 목록에 대한 접근을 차단해 달라고 요청했습니다. 그는 탈중앙화가 "알려진 도난 자금 이체를 돕기 위한 방패가 아니라 설계 원칙"이라고 강조했습니다. Bitget은 동결 또는 회수 성공 시 5%의 현상금을 걸었고, 추적 파트너인 SlowMist는 탈중앙화가 만능 변명이 되어서는 안 된다고 촉구했습니다. THORChain의 첫 대응은 이렇게 반박했습니다. 이 프로토콜은 비트코인 네트워크 , 이더리움, BNB Chain 같은 레이어 1 체인만큼 퍼미션리스(permissionless)합니다. 그렇다면 도난 자금이 해당 네트워크를 통과할 때 그 네트워크는 어떤 책임을 져야 하는가?라는 질문을 던졌습니다. 비판도 이어졌습니다. OKX 창립자이자 CEO인 Star Xu는 THORChain의 검증인(Validator)이 볼트 자산을 공동으로 통제한다고 지적했습니다. 보안 업체 GoPlus는 이미 약 101.5 BTC(약 850만 달러)가 이 프로토콜을 통해 빠져나갔으며, 추가로 2,763만 XRP(약 4,300만 달러)가 비트코인으로 스왑되고 있다고 추정했습니다.

지난 5월의 전면 중단 전례

THORChain은 월요일 X(트위터)에서 이 요청을 정면으로 반박 했습니다. 팀은 "전면 중단(halt)은 특정 자금이나 개별 스왑에 대한 선택적 동결이 아니다"라고 밝혔고, 이 프로토콜은 "설계상 검열하지 않는다"고 덧붙였습니다. 이 구분에는 의도가 있습니다. 네트워크가 긴급 통제 권한을 행사한 적은 있지만, 특정 주소를 겨냥한 적은 단 한 번도 없었기 때문입니다. 지난 5월, 공격자가 THORChain 자체 스왑 볼트에서 약 1,070만 달러를 유출했을 때, 개발자들이 취약점을 수리하는 동안 노드 운영자들이 네트워크 전면 중단에 동의했습니다. 거래는 약 5주 후인 6월 22일에 재개됐으며, 5월 공격자의 주소는 블랙리스트에 올라 있지 않습니다. 이 프로토콜은 해킹 자금의 반복적인 통로이기도 합니다. 4월 Kelp DAO의 2억 9,200만 달러 규모 익스플로잇 공격자들은 이곳으로 자금을 이동시켰고, 15억 달러 규모의 Bybit 해킹 이후에는 북한의 Lazarus Group도 이와 같은 방식을 사용했습니다. Bitget 유입은 수익 측면에서도 상당합니다. 해킹 이후 이틀 동안 THORChain은 6억 7,800만 달러를 처리했으며, 그 이전 주의 일일 거래량은 2,000만~6,000만 달러 수준이었고, 총 시스템 수익으로 약 120만 달러를 벌어들였습니다. 우리는 이전 보고서 에서 이 초기 요청을 다룬 바 있습니다.

저희 데스크의 관점에서 이 사건의 본질은 위선이 아니라 검증 가능성입니다. 온체인 증거는 완결된 상태로 공개되어 있습니다. 공격자의 이더리움 지갑, 체결된 27건의 스왑, 단일 비트코인 집계 주소까지 모두 공개되어 있으며 누구나 독립적으로 검증할 수 있습니다. 이것이 바로 Bitget의 공개 주소 목록과 5% 현상금이 기능할 수 있는 이유입니다. Bitget 자신의 설명에 따르면 문제의 근본 원인은 거래소 내부에 있습니다. 서명 승인 절차가 무너진 백엔드 지갑 시스템, 즉 내부 통제 실패입니다. 복구 방안은 취약점 패치와 전체 손실을 충당하는 사용자 보호 기금(User Protection Fund)의 결합입니다. 퍼미션리스 라우팅은 계속해서 해킹 자금을 흡수할 것입니다. 결국 업계가 실질적으로 통제할 수 있는 도구는 차단이 아니라 추적입니다.