ZachXBT, EU 기관에서 탈취한 1억 600만 달러 세탁 경로 추적: 암호화폐 거쳐 모네로까지

USDC에서 이더리움, 그다음은 모네로

탈취당한 1억 600만 달러 이상의 디지털 자산이 중앙화 거래소 계정을 떠나 이더리움을 거쳐 모네로로 이어지는 경로에 올라 있다. 온체인 수사자 ZachXBT가 11월 2일 이 사건을 공개했다. 유럽연합 내 한 기관이 여러 중앙화 거래소에 보유하던 계좌에서 하루 앞선 11월 1일, 스테이블코인 USDC와 USDT 형태로 자금이 부정하게 인출된 것이다. 피해 기관과 관련 플랫폼은 모두 실명이 공개되지 않았고, 회수 소식도 없다. 기록된 첫 경로는 USDC를 이더리움(ETH)으로 바꾸는 것이었다. 스테이블코인이 계좌를 떠나자마자 즉시 스왑 서비스를 통해 바뀌었고, 이 보고서에 언급된 플랫폼으로는 WellWallet과 Kyrrex가 있다. 이후 자금은 여러 체인을 넘나들며 움직였고, 크로스체인 서비스 Wagyu를 통해 일부 자금이 모네로(XMR)로 전환됐다. 경로 전체 중 온전히 읽을 수 있는 구간은 이더리움 구간뿐이다. 이 구간의 모든 전송은 공개 장부에 시간과 주소가 기록되기 때문이다. 모네로는 정반대의 목적을 위해 설계된 블록체인이다. 발신자, 수신자, 전송 금액을 모두 감추며, 그래서 흔적을 지워야 하는 탈취 자금이 잦은 궁극적인 목적지가 된다. 이 투명성 격차 때문에 이번 사건은 전형적인 거래소 해킹과 결이 다르게 읽힌다. Etherscan 리뷰에서 보여주듯 온체인 추적이 가능한 구간과 불가능한 구간이 갈리는 지점이 바로 여기다. 출발점에서 즉시 스왑 서비스를 택한 것도 의미가 있다. 이런 플랫폼은 대형 거래소가 새로 들어온 8자리 규모 출금 요청에 적용하는 출금 보류나 신원 확인 절차 없이 자산을 빠르게 바꿔주고, 큰 잔액을 여러 단계로 쪼개도 매번 일상적인 가스비 수준의 비용만 부담하면 되기 때문이다.

ZachXBT는 북한과 연계된 해킹 조직 라자루스 그룹이 범행을 저질렀을 확률을 "극히 낮다"고 판단했다. 피해자의 프로필이 아니라 자금 세탁 방식 자체를 근거로 한 판단이다. 이 결론이 나온 한 주는 귀속을 둘러싼 질문이 연이어 터진 주였다. 10월 29일 바이낸스에서 약 63억 달러 규모로 보고된 유출 사건이 발생했고, FBI는 공식 성명에서 그 공격을 북한 소행으로 밝혔다. 두 사건의 구분이 중요한 이유는 여기 있다. 국가 연계 조직은 탈취 자금을 시간이 걸려도 현금화할 수 있는 수단을 통해 천천히 세탁하는 경향이 있기 때문이다. 같은 기간 플랫폼 공격이 잇따랐다. 브라질 대형 거래소 Mercado Bitcoin은 11월 2일 자사 시스템에서 보안 사고를 감지했다며 예치금 입출금을 중단했다. 자체 공지에서 고객 피해와 데이터 유출은 없다고 밝혔지만, 블록체인 보안 업체 Hypernative는 회사와 연결된 월렛에서 4,000만 달러 이상이 유출된 것으로 추정했다. 자유 소프트웨어 기반 비트코인 결제 처리기 BTCPay Server는 11월 1일, 자체 호스팅 인스턴스의 핫월렛에서 무단 인출이 보고됐다며 운영자들에게 결제 서버 중단을 권고했다. 이 프로젝트는 설계상 자체 호스팅이 원칙이라 노출 정도는 운영자마다 달랐다. 팀은 공격이 2026년 7월 23일 목요일 배포된 2.4.1 이전 버전 서버를 겨냥했음을 확인했고, 구버전을 쓰는 이용자에게는 남은 핫월렛 잔액을 모두 다른 곳으로 옮기고 새 월렛을 만든 별도 서버로 이전하라고 안내했다. 거래소 계정이든 결제 처리기든 운영자 노드든, 핫월렛이 이번 주 사건들의 공통점이다.

스마트 계약이 아닌 위탁 계좌

이번 사건은 스마트 계약 취약점이 아니었다. 자금은 위탁 거래소 계좌에 있었고, 출금이라는 통로로 빠져나갔다. 라자루스 배제의 근거도 코드 익스플로잇이 아니라 세탁 설계였다. 공개 장부의 투명성은 양날이다. 누구나 고래가 5시간 만에 6,297만 달러어치 27,553 ETH를 매수하는 장면을 확인하거나, Kanye West 관련 월렛이 바이낸스에서 2,074 ETH를 출금하는 것을 적발할 수 있는 것도 이 투명성 덕분이다. 조사자가 이번 경로의 이더리움 네트워크 구간을 홉마다 읽을 수 있었던 것도 같은 이유다. Wagyu를 통한 모네로 전환이 바로 그 가시성이 끊기는 지점이며, 읽을 수 없는 구간이야말로 이 작전의 목적이다. 11월 2일 보고 기준, 탈취 자금의 마지막 기록된 위치는 Wagyu를 통한 크로스체인 전환 이후의 모네로이며, 그 이후 흔적은 기록에 없다.