비트겟 해커 지갑, 사흘간 52건 이체로 1,948만 달러 이동…99%가 비트코인

거래소 비트겟(Bitget)을 노린 해킹 자금이 다시 움직이고 있다. 블록체인 분석업체 아캄(Arkham)은 해커 연계 지갑이 10월 15일(현지시각) 이후 새 주소로 7,801만 달러를 보냈다고 밝혔다. 최근 사흘 남짓 동안에만 52건의 이체로 1,948만 달러가 빠져나갔고 대부분 비트코인이었다. 다만 자금이 어디로 갔는지는 확인되지 않았다. 이하 날짜는 현지시각, 시각은 한국시간(KST) 기준으로 환산했다.

아캄이 포착한 52건의 이체

아캄이 집계한 최근 이체 구간은 10월 21일 UTC 10시 2분(한국시간 같은 날 오후 7시 2분)부터 10월 24일 UTC 2시 48분(한국시간 같은 날 오전 11시 48분)까지다. 이 기간 52건의 이체로 1,948만 달러가 움직였다. 비트코인이 1,933만 달러였고 나머지는 이더리움이었다. 소스에 제시된 반올림 수치로 계산하면 비트코인 비중은 약 99.2%이고 이더리움은 약 15만 달러 수준이다.

아캄은 이 업데이트를 “비트겟 해커가 훔친 자금을 세탁하고 있는가?”라는 질문 형태로 올렸다. 하지만 거래소·믹서(자금 출처를 흐리는 서비스)·장외거래(OTC) 데스크 등 수신처를 특정하지는 않았다. 라벨이 붙은 지갑에서 돈이 빠져나간 사실만 담았을 뿐 매각이나 현금화, 회수 여부는 가리지 못했다.

더 긴 기간으로 보면 10월 15일 이후 새 주소로 간 금액은 7,801만 달러다. 일별로는 15일 2,331만 달러, 16일 868만 달러, 17일 115만 달러, 18일 1,051만 달러였다. 19일에는 기록된 이동이 없었고 20일 1,513만 달러, 21일 1,174만 달러, 22일 18만 4,160달러, 23일 730만 달러가 이어졌다.

아캄의 설명에는 작은 불일치도 있다. 첫 게시글의 시각을 따지면 구간은 64시간 46분인데 이후 글에서는 같은 1,948만 달러가 “지난 48시간” 동안 움직였다고 적었다. 시간 표기가 어림값과 정확한 타임스탬프 사이에서 엇갈린다는 얘기다.

남은 자금 2억 4,254만 달러, 기준에 따라 비율이 갈린다

아캄은 해커가 보유한 것으로 라벨링된 잔액을 2억 4,254만 달러로 평가했다. 이 가운데 비트코인이 2,960.01BTC, 약 2억 4,199만 달러어치다. 이더리움과 하이퍼코어(Hypercore), 솔라나, 트론에도 소규모 잔액이 남아 있다고 했다.

아캄은 이 잔액을 도난액 3억 5,000만 달러의 69%로 설명했다. 그런데 비트겟 자체 집계는 다르다. 비트겟은 처음 3억 5,160만 달러로 잡았던 피해액을 약 3억 8,750만 달러로 고쳤다. 9월 25일 복구 공지에서 첫 계산에 빠졌던 지캐시(Zcash)와 트론 자산이 포함됐다고 밝혔다. 비트겟은 이것이 추가 도난이 아니라 원래 이체를 더 완전하게 분류한 결과라고 설명했다.

3억 8,750만 달러를 기준으로 하면 아캄의 잔액 스냅숏은 약 62.6%에 해당한다. 보도는 두 비율 모두 회수 규모를 보여주지는 않는다고 선을 그었다. 남은 라벨 보유분과 사건 당시 달러 추정치를 비교한 값이기 때문이다.

과거 추적 결과도 새 이체의 행선지를 알려주지는 않는다. 분석업체 AMLBot은 9월에 약 4BTC가 코인조인(CoinJoin, 여러 거래를 섞어 추적을 어렵게 하는 기법)으로 들어간 것을 추적했다. 트론의 USDT가 USDT0를 거쳐 이더리움으로 넘어가고 ETH 스왑과 쓰레드체인을 지나 비트코인이 된 경로였고 이 과정에서 약 4.59BTC가 나왔다. 비트쿼리는 9월 25일 UTC 14시 38분(한국시간 같은 날 오후 11시 38분)까지 66건의 스왑이 126.71BTC 결제로 이어졌다고 매칭했다.

3주 반 잠복한 침투 경로

사건은 9월 24일 UTC 18시 31분(한국시간 25일 오전 3시 31분)에 시작됐다. 비트겟의 핫월렛·웜월렛 일부에서 무단 이체가 나가기 시작했다. 대사(정산 대조) 시스템이 UTC 19시 5분에 불일치를 감지했고 리스크 관리 계층이 출금 요청을 자동 차단했다. 첫 이체부터 경보까지 34분이 걸렸다. 입금과 거래는 조사 중에도 계속 운영됐다.

피해 자산은 ETH, XRP, BNB, AVAX, USDT, USDC였고 이더리움·XRP 레저·아비트럼·애벌랜치·옵티미즘·BNB 스마트체인·베이스 등에 걸쳐 있었다. 이후 추적에서 지캐시와 트론 거래가 추가로 확인되며 피해액 추정치가 커졌다. 한 보안 매체는 최종 검증 금액이 12개 지갑 주소에 걸쳐 약 3억 8,800만 달러라고 전했고 손실 수치가 한 달 사이 세 번 바뀌었다고 짚었다.

침입 경로는 9월 30일 공개된 두 건의 독립 조사로 윤곽이 잡혔다. 블리핑컴퓨터는 공격자가 서드파티 보안 어플라이언스(전용 보안 장비) 2종의 제로데이(미공개 취약점)를 악용해 지갑 환경에 접근했다고 보도했다. 구글 클라우드의 사고 대응 조직 맨디언트는 공격자가 9월 24일 장비 A·B로 명명한 어플라이언스에서 권한을 얻었다고 밝혔다. B에 웹셸을 심고 명령제어 채널을 만든 뒤 운영 환경의 지갑 작업 서버로 옮겨가 악성 패키지를 배포했다는 내용이다.

슬로우미스트는 훨씬 긴 체류 기간을 제시했다. 로그상 가장 이른 악성 활동은 8월 31일이다. 한 노드의 숨겨진 스크립트가 데이터베이스 비밀번호가 담긴 환경 변수를 읽고 DB에 접속했다. 9월 23일과 25일에는 노드 2곳에서 비슷한 활동이 나타났다. 로그가 맞다면 공격자는 코인을 움직이기 전 약 3주 반 동안 조용히 머문 셈이다. 실제 탈취는 맞춤형 출금 도구로 3시간 가까이 이어졌다.

복구 일정과 남은 의문

비트겟은 사고 설명 페이지(10월 20일 업데이트)에서 단계적 출금 복구가 10월 2일 완료됐다고 밝혔다. 비트코인 출금이 9월 28일 UTC 8시(한국시간 오후 5시)에 먼저 재개됐다. 이더리움은 9월 29일, USDT는 9월 30일에 이어졌다. 고객 계정 잔액은 영향을 받지 않았고 차단 이후 추가 무단 이체는 확인되지 않았다고 회사는 설명했다.

비트겟은 원인을 서드파티 보안 제품의 취약점으로 설명했다. 공격자가 높은 권한의 내부 자격 증명을 얻어 기존 리스크 통제를 우회하는 위조 출금 명령을 보냈다는 것이다. 그레이시 천 최고경영자는 9월 30일 보호기금이 3억 달러 이상으로 복원됐다고 밝혔다. 비트겟은 이 기금으로 사고 손실을 흡수하겠다고 했다. 초기 공지에서 천 CEO는 “콜드월렛과 플랫폼 자산 대다수는 안전하며 영향을 받지 않았다”는 취지로 밝혔고 별도 자기수탁 지갑 비트겟 월렛도 독립 인프라라 피해가 없었다고 했다.

회수 프로그램도 가동 중이다. 피해 자산을 직접 동결하거나 회수하는 자발적 행동에는 별도로 5% 보상이 주어진다. 법원 명령이나 수사기관 요청 등 법적 절차에 따른 행동은 제외되고 자격 판단과 지급 여부는 비트겟 재량이다. 9월 25일 공지는 맨디언트와 슬로우미스를 조사 파트너로 밝혔고 일부 자산은 업계 파트너와 공조해 이미 동결했다고 했지만 동결 총액은 제시하지 않았다.

가장 큰 빈칸은 취약했던 장비의 제조사다. 공개된 보고서는 제품을 어플라이언스 A와 B로만 표기한다. 북한 소행이라는 판단도 앞서 제기됐으나 한 보안 매체는 아직 확정 결론이 아닌 의심 단계라고 짚었다.