프랑스 은행, 1억 3300만 달러 해킹 후 송금 재개…암호화폐 손실 미확인

프랑스의 주요 은행인 크레디 뮤추얼 아르케아(Crédit Mutuel Arkéa)가 공급업체 플랫폼을 통한 공격으로 인해 발생한 사기성 암호화폐 거래 사건 이후 대부분의 운영을 복구했다고 발표했습니다. 이 은행은 11월 4일, 일부 고객 송금이 지연되었음에도 불구하고 거의 모든 서비스가 정상화되었다고 밝혔습니다.

은행 측은 이번 공격이 외부 서비스 제공업체의 플랫폼을 통해 이루어졌으며, 공격자들이 은행 자체 계정을 이용해 다른 은행으로 자금을 이체했다고 설명했습니다. 이후 이 자금들이 암호화폐로 전환되었을 가능성이 있다고 덧붙였습니다. 그러나 아르케아는 이러한 암호화폐 전환 사실을 직접적으로 확인하거나, 이체된 자금이 특정 암호화폐 지갑으로 연결되는 경로를 명확히 밝히지는 않았습니다.

은행은 이번 공격이 포르튀네오(Fortuneo)라는 온라인 뱅킹 자회사를 통해 이루어진 것이 아니라고 부인했으며, 고객 계정이 직접적으로 공격 대상이 되지 않았다고 강조했습니다. 또한, 이 사건이 통제 가능한 상황으로 종결되었으며 고객의 자산 보유 현황에는 영향을 미치지 않았다고 강조했습니다.

아르케아는 약 1억 1,800만 유로(약 1억 3,300만 달러)의 금액이 도난당했는지 여부에 대해서는 공식적으로 확인을 유보했습니다. 다만, 보고된 손실 규모의 대략적인 수치만 인정하며, 현재 일부 자금이 동결되었고 회수 노력이 진행 중이기 때문에 확정적인 재정적 손실액을 산정하기는 이르다고 설명했습니다. 은행 측은 사기성 거래에 연루된 금액이 동결된 자금과 회수된 금액을 제외하면 은행의 최종 손실액과 반드시 일치하지는 않을 것이라고 밝혔으며, 이번 사건으로 인해 은행의 재정 건전성에 위협이 되지는 않을 것이라고 덧붙였습니다.

은행의 초기 발표는 예방적 조치로서 거래를 일시 중단하고, 보안 점검 및 강화된 보안 조치 시행 후 점진적으로 서비스를 재개했다는 내용을 담고 있었습니다. 이후 업데이트된 정보에서는 오전 중에 거의 모든 운영이 재개되었다고 밝혔습니다.

아르케아는 이번 공격의 기원과 방법을 파악하기 위해 사법 당국 및 경찰과 협력하고 있다고 전했습니다.

**암호화폐 추적 결과는 무엇을 보여주는가?**

한편, 블록체인 분석 업체 비트쿼리(Bitquery)는 자체적으로 추적한 결과, 11월 1일과 2일에 걸쳐 총 1억 880만 달러 상당의 USDC(스테이블코인)가 특정 지갑으로 인출된 것을 확인했다고 보고했습니다. 이 인출은 11월 1일 12:25 UTC부터 다음 날 09:09 UTC까지 약 21시간 동안 발생했습니다. 비트쿼리는 이 지갑들을 크라켄(Kraken), 크립토닷컴(Crypto.com), OKX 등 주요 거래소와 연관된 것으로 라벨링했습니다.

하지만 비트쿼리는 은행 송금이나 거래소 계정 정보를 직접적으로 확인할 수 없기 때문에, 아르케아 은행에서 암호화폐로의 의심되는 경로를 독립적으로 증명하거나, 자금을 수령한 계정의 소유자를 식별하는 데는 한계가 있다고 밝혔습니다.

**아르케아의 이체와 암호화폐 연결 고리의 불확실성**

아르케아 은행은 자체 계정을 통한 이체를 설명했지만, 비트쿼리는 별개의 암호화폐 인출 흐름을 추적했습니다. 비트쿼리가 추적한 1억 880만 달러는 은행의 확정된 손실액이 아닙니다. 아르케아 은행은 공격자들이 자체 계정을 이용해 다른 은행으로 거래를 보냈으며, 이를 통해 전문 플랫폼을 통해 암호화폐로 전환되었을 가능성이 있다고 언급했지만(2023년 11월 4일자 해명), 비트쿼리는 라벨링된 지갑에서 1억 880만 달러 상당의 USDC 인출을 추적했을 뿐, 이러한 자금 흐름이 아르케아 은행에서 시작되었다는 직접적인 증거를 제시하지 못했습니다. 따라서 은행에서 암호화폐로의 실제 자금 이동 경로와 최종 손실액은 여전히 불확실한 상태입니다. 이번 사건은 금융 기관의 사이버 보안 및 제3자 공급업체 관리의 중요성을 다시 한번 강조하며, 암호화폐 시장으로의 자금 이동 경로 추적의 어려움을 시사하는 사례로 남을 것으로 보입니다.