Unocoin, BitGo 동결 지갑에서 자금 유출 확인

동결에도 자금 이동

인도 암호화폐 거래소 Unocoin이 금요일, BitGo가 계정을 동결한 상태에서도 회사 지갑 하나에서 자금이 빠져나갔다고 확인했다. 11월 6일부터 추적해 온 보안 사고 관련 발표 가운데 가장 충격적인 내용이다. 회사는 X에 게시한 성명에서 BitGo가 동결을 확인했던 지갑에서 자금이 이동했으며, BitGo 멀티시그 지갑 내부의 백업 복구 경로가 악용된 것으로 보인다고 밝혔다. 뉴욕증권거래소에서 BTGO라는 티커로 거래되는 BitGo는 이 주장에 대해 공개적으로 이의를 제기하지 않았다. Unocoin은 키를 누가 보유했는지 밝히지 않았고, 유출된 암호화폐 규모도 아직 공개하지 않았다.

@Unocoin · X 게시물

X에 게시한 성명.

X에서 보기

시간표가 핵심이다. Unocoin은 11월 6일 의심 활동을 발견하고 두 자산 수탁사에 법인 계정 동결을 요청했고, Fireblocks는 11:24(UTC)에, BitGo는 11:29(UTC)에 동결을 적용했다. 당시 어느 수탁사도 손실을 확인하지 못했다. 이런 유형의 멀티시그 지갑은 수탁사가 접속 불가 상태가 될 경우 고객이 자금에 접근할 수 있도록 복구 경로를 갖추고 있다. BitGo의 Wallet Recovery Wizard 문서는 사용자의 프라이빗 키와 백업 키를 이용해 BitGo 없이 자산을 이동하는 절차를 설명하며, 그런 복구 거래는 BitGo와 합의된 정책을 우회한다고 명시한다. 마법사에는 백업 공개키, 사용자 공개키, 지갑 패스프레이즈, 그리고 BitGo 공개키 또는 지갑 주소가 필요하며, 결과 거래는 자산을 새 주소로 보낸다. Unocoin은 이 경로가 "악용된 것으로 보인다"며 접근 방식과 사용 경위를 확인 중이라고 밝혔다. 회사는 고객 암호화폐의 90% 이상이 콜드월렛에 보관돼 있음도 확인했다.

서비스 중단, 서버 재구축과 온체인 추적

운영은 여전히 중단된 상태다. Unocoin은 11월 6일 무단 활동을 처음 감지했고, 추가 자금 이동을 확인한 뒤인 11월 9일 월요일 모든 서비스를 중단했다. 목요일에는 BitGo 지갑 인프라에 속한 이더리움 주소에서 나간 거래 내역을 공개했으며, 회사 서버가 침해당했다고 밝혔다. 같은 주소가 ERC-20 토큰 자금 조달에 쓰였고, 조사 대상 거래는 BitGo 플랫폼 외부에서 서명 및 전파된 것이라고 회사는 보고했다. Unocoin은 복구 기능이 오용됐다고 보지만, 전송이 어떻게 실행됐는지, 디지털 자산이 실제로 사라졌는지는 아직 확정하지 못했다. 회사는 BitGo의 잔돈 주소(change address) 설정 때문에 전체 거래 이력 재구성이 어렵다고 지적하며, 서버 전체를 재구축 중이고 이에 영업일 기준 4~5일이 걸릴 것으로 본다고 설명했다. 입출금 재개 일정은 공표되지 않았다.

온체인 데이터 기준 11월 12일까지 Unocoin과 연결된 것으로 태깅된 주소는 약 80,986개였고, 이 주소들의 합산 가치는 0으로 나타났다. 같은 데이터에서 이 지갑들이 최근 한 달간 보유한 자산은 많아야 수백 달러 수준이었고, 3개월 최고점도 25만 달러를 조금 넘는 데 그쳤다. 즉 이 클러스터는 거래소 전체 규모의 극히 일부만 담고 있다. 인도 사이버보안 기관은 11월 5일 목요일 암호화폐 거래소 등 금융사를 겨냥한 AI 지원 공격 캠페인을 경고했지만, 이번 사고와의 연관은 확인되지 않았다. BitGo는 별도로 4분기 실적이 아닌 3분기 순이익 4,410만 달러를 발표했으며, 여기에는 디지털 자산 보관 자산의 미실현 평가익 7,150만 달러가 반영됐다. 이 사건의 중심에 있는 복구 마법사는 수탁사의 사인 없이 자산을 이동시키는 여러 지갑 복구 경로 중 하나다.

이번 사건은 동결 자체가 뚫린 사례가 아니라 하나의 기능이 실패한 사례로 읽힌다. 자금은 BitGo가 공개적으로 문서화한 경로로 빠져나갔고, 이는 곧 보안 경계가 수탁사 통제 밖에 있는 백업 키를 고객이 얼마나 잘 보호하느냐에 달려 있음을 뜻한다. 이 모호성은 2024년 7월 2억 3,400만 달러 규모의 WazirX 해킹 당시 WazirX와 수탁 파트너 Liminal이 수개월간 서로를 탓했던 책임 논쟁을 다시 소환한다. Unocoin이 손실 규모를 공표하고 키 보유자를 특정하기 전까지, ERC-20 토큰 자금 조달에 쓰인 그 이더리움 주소만이 자금의 행방을 보여주는 유일한 온체인 증거로 남아 있다.