11월 2일, 범죄자들이 브라질에서 가장 오래되고 가장 큰 암호화폐 거래소 Mercado Bitcoin의 핫월렛에서 10개 블록체인 네트워크에 걸쳐 동시에 자산을 빼냈습니다. 피해 추정액은 3,000만 달러에서 4,900만 달러까지 엇갈립니다. 거래소는 입출금을 중단했고 언제 재개할지 밝히지 않고 있습니다. 11월 3일 아침에도 플랫폼은 여전히 점검 중이었습니다.
Mercado Bitcoin은 2013년부터 운영돼 왔으며 스스로를 브라질 최초의 암호화폐 브로커라고 소개합니다. 고객 수는 자료에 따라 450만~480만 명입니다. 거래소는 10월 27일 브라질 중앙은행에 라이선스를 신청했습니다. 7월에는 Tether가 지주회사 2TM의 소수 주주가 됐습니다.
어떻게 진행됐나
AuditKey에 따르면 준비는 이미 11월 1일 모스크바 시간 21시 20분쯤 시작됐습니다. 첫 송금은 04시 36분 Arbitrum 네트워크에서 나갔습니다. 이어 CertiK 애널리스트 딕슨 우가 설명한 대로, 공격자는 약 4시간 동안 작은 네트워크에서 소액을 시험했습니다. 본격적인 인출은 09시 19분부터 09시 53분까지 약 30분간 이어졌고, Bitcoin, Ethereum, Solana, Stellar, Tron, Avalanche를 포함한 10개 네트워크에서 핫월렛이 비었습니다.
스마트 계약 취약점은 없었습니다. 거래소의 유효한 키로 서명된 평범한 송금이었습니다. 공격자가 어떻게 서명 권한을 얻었는지는 알려지지 않았습니다. AuditKey는 블록체인만으로는 외부 해킹과 내부자의 행위나 협력업체의 장애를 구분할 수 없다고 강조합니다.
"공격 차단"이라더니 인출은 계속됐다
모스크바 시간 15시 56분, Mercado Bitcoin은 "시스템 중 하나"에서 발생한 사고를 발견해 신속히 차단했으며 고객은 아무것도 잃지 않고 데이터도 유출되지 않았다고 발표했습니다. 하지만 블록체인에서는 다른 일이 벌어지고 있었습니다. Bitquery 집계에 따르면 공격자는 15시 27분부터 19시 56분까지 Ethereum에서 고객 입금 주소 36,042개를 비웠고, BNB Chain에서도 21시 08분까지 주소 143개를 더 쓸어 갔습니다. 즉, 거래소 발표 이후에도 약 4시간 동안 자금을 계속 빼낸 것입니다.
여기서 금액은 약 26만 6,000달러로 크지 않습니다. 이 주소의 91%에는 10달러 미만이 들어 있었습니다. 더 중요한 점은 따로 있습니다. 공격자는 핫월렛뿐 아니라 고객이 계좌에 입금할 때 쓰는 주소의 키까지 갖고 있었습니다. 우는 "이 일을 한 자는 고객 입금 주소에서도 돈을 빼낼 수 있다"고 말합니다. The Record가 취재한 연구자들은 고객 자금이 영향을 받지 않았다는 거래소의 설명을 반박합니다. 형식상 거래소의 말이 맞습니다. 입금 주소의 코인은 거래소가 보관하고, 고객에게는 잔액 기록만 있을 뿐입니다. 하지만 바로 그렇기 때문에 모든 것은 거래소가 약속을 지키느냐에 달려 있습니다.
피해 규모: 3,000만~4,900만 달러
- AuditKey: 3,030만 달러. 신뢰할 만한 가격이 있는 토큰만 집계.
- Hypernative: 최소 10개 네트워크에서 4,000만 달러 이상.
- Bitquery: 4,860만 달러, EVA 토큰 제외 시 4,740만 달러.
- 거래소가 도움을 요청한 Chainalysis: 17개 네트워크에서 약 4,900만 달러. Bitquery에 따르면 이 17개에는 무관한 지갑의 자금이 오간 네트워크도 포함되며, 거래소 자체의 손실은 10개 네트워크에서 발생했습니다.
Mercado Bitcoin은 저녁 업데이트에서 직접 두 숫자를 제시했습니다. 약 1,100만 달러는 차단됐고 약 3,800만 달러는 "아직 차단되지 않았다"는 것입니다. 합치면 약 4,900만 달러입니다. 일부 매체는 3,800만 달러를 전체 손실로 보도했습니다. 실제로는 동결되지 않은 부분일 뿐입니다. Hypernative에 따르면 도난 자산에는 106 BTC, 2,852 ETH, 1만 700 SOL, 670만 XLM, 170만 TRX와 200개가 넘는 다른 토큰이 포함됩니다. Bitquery에 따르면 비트코인은 아직 움직이지 않았습니다.
동결: 이번에는 도움이 됐다
Tether는 모스크바 시간 13시 21분에 첫 차단을 했고, Circle은 약 6시간 뒤 합류했습니다. Bitquery가 집계한 동결 자금은 1,140만 달러입니다. Tether 590만 달러, Circle 390만 달러, Paxos 150만 달러, Agora와 Ripple 약 14만 5,000달러입니다. 35만 8,000 EURC는 여전히 동결되지 않은 상태였습니다. Chainalysis는 다른 수치를 내놓았습니다. 1,000만 달러 가까이이며, 그중 900만 달러 이상이 Tether에서 동결됐다는 것입니다. 아직 두 자료는 맞아떨어지지 않습니다.
이번에는 동결이 피해자에게 유리하게 작용했습니다. 하지만 이것은 같은 버튼입니다. 발행사는 여러분의 주소를 포함해 어떤 주소에서든 USDT나 USDC를 멈출 수 있고, 결정은 발행사가 내립니다. BTC, ETH, SOL, XLM은 누구도 동결할 수 없습니다. 그래서 공격자는 탈취한 자산 대부분을 스왑 서비스 Mayan과 Bridgers로 여유롭게 교환했습니다.
근거 없는 약속
거래소는 고객이 아무것도 잃지 않을 것이라고 되풀이합니다. 그 돈을 어디서, 언제까지 마련할지는 말하지 않습니다. 준비금도, 보험도, 주주도 언급하지 않습니다. 출금은 "안전해지면" 재개한다고 합니다. 11월 3일 아침까지 브라질 중앙은행, 증권거래위원회, 연방경찰은 공식 입장을 내지 않았습니다. 거래소는 "자금 회수를 도와주겠다"는 사기꾼도 따로 경고합니다. Mercado Bitcoin 고객이라면 이런 제안에 응하지 말고, 거래소가 안전하다고 발표하기 전까지 기존 입금 주소로 아무것도 보내지 마십시오.
남은 질문
- 공격자는 어떻게 서명 권한을 얻었나: 키, 서명 시스템, 직원, 협력업체 중 무엇을 통해서인가?
- 고객 주소에서 인출이 4시간이나 더 이어졌는데 거래소는 왜 공격이 차단됐다고 했나?
- 입금 주소의 키는 교체됐나, 그리고 기존 입금 정보로 다시 입금해도 되나?
- 거래소는 동결되지 않은 3,800만 달러를 어떤 돈으로 메울 것인가?
- 출금은 언제, 어떤 순서로 재개되나?
- 최종 피해액은 얼마이며 영향을 받은 네트워크는 10개인가, 17개인가?
시사점
거래소 잔액은 거래소의 약속입니다. 출금이 막혀 있는 동안 여러분의 코인은 거래소 데이터베이스의 한 줄로만 존재하며, 접근 권한은 거래소가 결정할 때 돌아옵니다. 거래소에는 거래에 쓰는 만큼만 두고, 나머지는 키를 본인만 가진 지갑에 보관하십시오. 다만 스테이블코인은 본인 지갑에 있어도 발행사가 동결할 수 있다는 점을 염두에 두십시오.
참고로, 그보다 사흘 전 Chainalysis가 자사 시스템 침해 사실을 공개했습니다. 지금 Mercado Bitcoin의 도난 자금 추적을 돕고 있는 바로 그 회사입니다.