머카도 비트코인 해킹, 4시간 더 지속…블록체인 데이터 '반박'

브라질 암호화폐 거래소 머카도 비트코인(Mercado Bitcoin)에서 발생한 보안 침해 사고가 거래소가 자체적으로 '통제되었다'고 발표한 지 약 4시간 동안 공격자의 자금 탈취가 계속된 것으로 나타났습니다. 새로운 블록체인 분석 결과에 따르면, 이번 사고로 총 4,860만 달러에 달하는 자산이 11개 네트워크를 통해 유출된 것으로 추정됩니다. 이는 거래소가 발표한 3,630만 달러보다 훨씬 높은 수치입니다.

블록체인 분석 업체 비트쿼리(Bitquery)의 분석에 따르면, 공격자는 머카도 비트코인과 연계된 36,042개의 이더리움 입금 주소에서 약 4시간 동안 자금을 빼내간 것으로 파악되었습니다. 비트쿼리의 분석 결과는 머카도 비트코인이 공격을 신속하게 차단했다는 자체 발표와 배치됩니다.

머카도 비트코인은 현지 시간으로 11월 2일 오전 9시 56분에 보안 사고를 신속하게 통제했다고 발표했습니다. 그러나 비트쿼리는 같은 날 오전 9시 27분부터 오후 1시 56분까지 36,042개의 이더리움 고객 입금 주소가 비워졌다고 밝혔습니다. 이들 주소에는 약 266,000달러가 들어있었으며, 이는 전체 피해액의 일부에 불과합니다. 하지만 거래소가 사고 통제 사실을 알린 이후에도 공격자는 해당 주소에 담긴 자금을 계속 이동시킨 것으로 보입니다.

고객 입금 주소는 암호화폐를 받는 개인 계좌와 유사한 역할을 합니다. 거래소는 일상적인 거래 처리를 위해 이러한 코인들을 '핫 월렛(hot wallet)'이라고 불리는 공유 온라인 지갑으로 모읍니다. 입금 주소에서 자금을 이동시키려면 해당 주소의 개인 키(private key), 즉 이체를 승인하는 비밀 정보가 필요합니다. 비트쿼리는 출금이 각 입금 주소에서 직접 승인되었다는 사실을 근거로, 공격자가 해당 주소의 개인 키에 접근했거나, 혹은 그들을 대신하여 거래를 서명할 수 있는 시스템에 침투했을 가능성이 있다고 분석했습니다.

비트쿼리 연구진은 "각 주소마다 키가 필요하거나, 그들을 대신하여 서명하는 시스템에 접근해야 한다"고 설명하며, 일반적으로 거래소는 단일 마스터 키에서 입금 키를 생성하기 때문에 공격자가 다른 고객 주소에도 접근할 수 있을 위험이 있다고 경고했습니다.

이번 해킹으로 인한 피해액 규모 또한 논란의 여지가 있습니다. 초기 추정치는 4,000만 달러 이상이었으나, 머카도 비트코인의 최신 FAQ에서는 영향을 받은 자산이 약 3,630만 달러라고 명시했습니다. 반면 비트쿼리는 11개 블록체인에 걸쳐 총 4,860만 달러가 탈취되었다고 추정하고 있습니다. 머카도 비트코인의 공식적인 업데이트 내용에는 자체적인 통제 주장과 이후 발생한 자금 이전 사이의 간극에 대한 설명이 부족한 상황입니다. 회사는 고객의 손실을 자체 자금으로 보상할 것이라고 약속했습니다.

비트쿼리는 해당 거래소의 입금 주소가 안전하다고 확인될 때까지 기존 입금 주소의 재사용을 자제할 것을 고객들에게 권고했습니다. 머카도 비트코인의 재개 계획은 11월 9일부터 잔액 확인만 가능하도록 시작될 예정이며, 입금, 출금 및 거래 재개 시점은 아직 미정입니다. 이번 사건은 암호화폐 거래소의 보안 관리 능력과 정보 투명성에 대한 의문을 제기하며, 투자자들의 주의를 촉구하고 있습니다.