ZachXBT, EU 기업서 USDC·USDT 1억 600만 달러 유출...자금은 모네로로

거래소 계좌에서 빠져나간 스테이블코인

11월 1일, 유럽연합 역내의 한 기업(정체 비공개)이 운영하던 중앙화 거래소 계좌에서 1억 600만 달러를 넘는 자금이 인출돼 나갔다. 온체인 기록에 이 출금 내역이 그대로 남아 있으며, 온체인 조사가 텔레그램 조사 글을 통해 11월 2일 저녁 자금 추적 경로를 공개했다. 그에 따르면 의심 자금은 스테이블코인인 리플(XRP)과는 무관한 USDC와 USDT 형태로 여러 중앙화 거래소 계좌에서 빠져나왔다. 피해 기업이나 제3자는 아직 금액과 방법을 공식 확인하지 않았고, 해당 유럽 기업의 신원도 공개되지 않았다. 추적 기록이 보여주는 것은 단계별로 흔적 지우기가 이뤄진 경로다. 행위자는 먼저 USDC를 USDC 스왑 데스크에서 가장 유동성이 깊은 거래쌍인 이더로 바꿨다. 이어 신원 확인 요건이 느슨한 즉시 환전 서비스(WellWallet, Kyrrex 등)를 통해 이더를 다른 자산으로 몇 분 안에 바꿔치기했고, 다음 단계에서 자금을 모네로(XMR)로 전환했다. 모네로는 전송 금액과 거래 상대를 설계상 감추는 프라이버시 중심의 레이어 1 블록체인이다. 마지막에는 여러 퍼블릭 체인을 넘나드는 옴니체인 방식으로 가치를 옮겨, 점프마다 추적 사슬이 끊기도록 했다. ZachXBT는 가장 큰 규모의 자금 이동이 약 24시간 창 안에 집중됐다고 보며, 행위자가 빠르게 움직였다고 평가했다. 스테이블코인으로 인출하면 탈취 시점의 가치가 고정되기 때문에, 피해 기업이 침묵하는 가운데서도 1억 600만 달러라는 금액을 정확히 적시할 수 있다. 여러 계좌에서 동시에 인출된 점은 단일 키 유출이 아니라 로그인 자격 정보에 대한 조직적 침해를 가리키지만, 침입 경로는 아직 문서화되지 않았다. 그는 또한 탈취와 연관된 여러 주소를 공개해 거래소와 커뮤니티 감시자가 자체 장부와 입금 내역을 대조할 수 있게 했다.

환전 뒤 닫히는 동결 창구

ZachXBT는 두 번째 판단도 덧붙였다. 여러 세탁 특징을 근거로, 오랜 거래소 해킹 행보로 알려진 북한 조직 라자루스 그룹이 이 의심 탈취의 배후가 아닐 가능성이 높다고 보았으며, 실제 범인의 신원은 여전히 미확인 상태다. 미해결된 부분은 운영 차원의 문제다. 자금이 정말 여러 중앙화 거래소 계좌에서 나갔다면 침해는 계정 계층에서 일어난 것이다. 로그인, API 키, 출금 화이트리스트, 비정상 출금 차단이 모두 스테이블코인이 표식되기 전까지 작동하지 않은 셈이다. 이 순서가 중요한 이유는 두 자산 모두 여전히 발행사의 통제 대상이기 때문이다. USDC와 USDT는 발행사 동결 메커니즘을 갖고 있으며, 발행사나 거래소가 개입할 수 있는 시점은 가치가 그들이 접근 가능한 형태로 남아 있는 동안뿐이다. 동결은 토큰 수준에서 작동한다. 발행사는 자산을 보유한 주소를 블랙리스트에 올릴 수 있지만, 자금이 이더나 모네로로 바뀌면 그 권한은 따라가지 못한다. 환전 한 번마다 선택지가 사라진다. 이더로 바뀌는 순간, 즉시 스왑을 통과하는 순간, 모네로에 도착하는 순간 창구는 닫힌다. 거래소에는 주소 블랙리스트 공유를 더 빠르게 하고, 블랙리스트 주소 입금을 실시간으로 표식하는 KYT 알림을 교차 거래소 차원에서 강화해야 한다는 교훈이 남는다. 중앙화 플랫폼에 큰 잔액을 둔 기관에는 다중 인증, 출금 쿨다운, 보관사 분산이 다시 대두된다. 탈취된 총액 중 두 스테이블코인의 정확한 비율은 아직 공개되지 않았다. 사건이 터진 시점엔 USDC 발행사 서클 자체가 시스템 정비 중이다. 서클은 레거시 USDC 브리지 프로토콜인 CCTP V1의 12월 1일 중단을 예정했다(관련 내용은 CCTP V1 중단 예고에서). COINOTAG가 미리 본 서클(CRCL) 3분기 실적 전망은 주당순이익 0.40달러와 USDC 성장을 함께 내다본다. 최근 7일 기준으로는 USDC 유통량이 8억 달러 감소한 것으로 나타났다. 발행사가 도구를 다시 짓는 그 시점에, 도구를 우회하는 속도를 도둑들이 시연하고 있는 셈이다.

미확인 손실, 미상 범인

이 사건의 증거 기반은 체인 자체다. 주소가 공개됐고, 환전 경로가 문서화됐으며, 총액이 제시됐다. 그럼에도 정작 돈을 잃었다는 기업의 확인은 없다. 우리의 판단은 다음과 같다. 침입 지점은 프로토콜 취약점보다 계정 수준이었을 가능성이 크며, 따라오는 대책은 화려하지 않다. 자격 정보 교체, 화이트리스트 감사, 몇 분 안에 실행되는 사전 표식 동결이다. 이더와 모네로로의 전환이 발행사의 통제 범위를 빠르게 벗어나기 때문이다. 중앙화 거래소의 계정 탈취는 또한 대부분의 디파이 보험 보장 밖에 있다. 이 보험은 온체인 프로토콜 익스플로잇을 전제로 작성되고, 자격 정보 침해는 그 대상이 아니기 때문이다. 현재로서는 사건이 진행 중이다. 범인은 미식별, 경로는 모네로와 여러 브리지를 거치고 있으며, 피해 기업도 손실 금액도 독립적으로 확인된 바 없다.