ZachXBT, Crédit Mutuel Arkéa 1억3,300만 달러 규모 암호화폐 탈취 피해 지목

크레디 뮈튀엘 아르케아, 피해 금융그룹으로 지목

온체인 수사자 ZachXBT가 프랑스 은행그룹 크레디 뮈튀엘 아르케아(Crédit Mutuel Arkéa)를 1억3,300만 달러를 넘는 암호화폐 탈취 사건의 피해자로 지목하고, 수요일 실제 피해 규모는 더 클 가능성이 높다고 경고했다. 도난 자금 추적과 거래소 동결 요청으로 알려진 익명의 이 수사자는 피해 대상을 자산 약 2,350억 달러를 보유한 은행그룹으로 소개하며, 하루 만에 털린 것이 아니라 여러 날에 걸쳐 공격이 이뤄졌다고 말했다. 그는 사라진 자금 일부가 거래소 밖 대규모 거래에서 상대방 역할을 하는 마켓메이커가 개입하는 장외거래(OTC) 경로로 흘렀다고 밝혔고, 이 장외거래 흐름이 초기 추정에서는 빠져 있었다고 지적했다. 해당 흐름까지 합산하면 탈취 금액은 더 커질 것이며, 온체인에서 측정 가능한 수준을 넘어설 수 있다는 게 그의 설명이다.

추정 피해액은 사흘 동안 두 차례 상향됐다. 월요일 ZachXBT는 중앙화 거래소 계좌에서 빠져나가는 1억600만 달러가 넘는 의심 출금을 처음 공개했다. 이어 화요일에는 추가 출금 2,700만 달러를 추적해 피해액을 1억3,300만 달러 이상으로 올렸는데, 이 가운데 일부는 그의 첫 경고가 공개된 뒤에도 인출됐다. 은행의 연루 주장은 독립적으로 확인된 바 없고, 수요일 기준 은행이나 프랑스 당국의 공식 입장도 확인된 것이 없다. 공격자가 자금 접근 권한을 어떻게 얻었는지도 공개되지 않아 원인 규명은 막혀 있는 상태다.

스테이블코인은 이더리움과 모네로로 전환

자금 이동 경로 자체는 상당히 명확하게 매핑됐다. 온체인 분석 결과 의심 출금은 Kraken, Crypto.com, OKX의 계좌로 이어졌고, 약 6,300만 달러의 스테이블코인이 4시간 창 안에서 이더리움(ETH)으로 전환된 것으로 나타났다. 이 규모의 전환은 얇은 시장에서 유의미한 슬리피지를 만들기 마련이다. 호가창이 판매자에게 불리한 가격 움직임 없이 이런 물량을 소화할 수 없기 때문에, 이런 규모의 이체는 보통 분할되거나 장외거래 데스크를 경유한다. 용의자들은 USDC와 USDT로 자금을 인출한 뒤 이를 이더리움과 모네로(XMR)로 바꿨다. 모네로는 송신자, 수신자, 금액을 모두 감추는 프라이버시 코인이다. 자금은 두 체인 사이의 단일 원자스왑이 아니라 여러 블록체인을 연속해서 거쳐 이동했고, 자산과 체인을 넘어갈 때마다 수사자가 초기 출금과 연결할 수 있는 단서가 줄어든다. ZachXBT는 이 자금 이동 방식이 역대 최대 규모 암호화폐 탈취 다수에 지목된 해킹 조직, 북한 라자루스 그룹의 전형적 수법과 맞지 않는다고 봤다. 그만큼 귀속 특정은 현재로선 미해결이다.

거래소 대응도 시작됐다. Kraken과 Crypto.com은 의심 탈취와 연관된 계좌를 제한하거나 자금을 차단했고, 두 거래소 모두 자사 플랫폼은 안전하게 유지되고 있다고 밝혔다. ZachXBT는 추가로, 사건이 제때 공개되지 않은 탓에 유럽연합 수사기관이 동결을 요청할 기회를 갖기 전에 이미 3,000만 달러가 넘는 자금이 세탁됐다고 주장했다.

닫혀버린 동결의 창

헤드라인 수치보다 더 중요한 세부 사항은 두 가지다. 첫째, 2,700만 달러가 첫 경고가 공개된 이후에도 빠져나갔고, 3,000만 달러 세탁 추정치는 유럽연합 수사기관의 동결 창이 행동하기 전에 닫혔음을 뜻한다. 탈취 자금 회수에서는 탐지 속도가 아니라 공개 속도가 얼마나 되찾는지를 결정한다. 둘째, 라자루스 그룹 수법과의 불일치가 귀속 특정을 열어두고 있으며, 모네로 전환은 이후 모든 경유 단계를 더 따라가기 어렵게 만들 것이다. 원인 역시 여전히 공개되지 않았다. 은행도 수사자도 접근 경로를 설명하지 않았다. 사후 분석이나 공식 입장이 나오기 전까지 1억3,300만 달러라는 수치는 최종 확정액이 아니라 하한선으로 읽어야 한다.