XRP, 6,678개 지갑서 2천만 달러 유출…6차례 공격 발생
CryptoSlate2026년 9월 24일 03:508
지난 9월 15일부터 20일까지 불과 엿새 동안 6,678개의 XRP 지갑에서 약 2천만 달러(한화 약 277억 원) 상당의 XRP가 유출되는 대규모 해킹 사건이 발생했다. 이번 공격은 총 6차례에 걸쳐 진행되었으며, 탈취된 자금의 상당 부분이 다양한 블록체인 간 자산 이동을 돕는 THORChain을 통해 이동한 것으로 파악되었다. 현재 DCENT는 공격자들이 어떻게 서명 키를 탈취했는지 조사 중이며, 피해 사용자들에게 자산을 즉시 이동할 것을 촉구하고 있다.
블록체인 분석 기업 XRPL.to의 조사에 따르면, 해당 기간 동안 총 1,175만 XRP가 6,678개의 개별 지갑에서 빠져나갔다. 이는 DCENT가 모바일 앱 월렛과 관련된 무단 이체 사실을 사용자들에게 경고한 이후에도 이어진 것으로 확인되었다. 현재 XRP 가격(개당 약 1.59달러)을 기준으로 할 때, 유출된 XRP의 총 가치는 약 1,868만 달러에 달한다.
XRPL.to는 최초로 확인된 XRP 유출은 9월 15일 15시 35분(UTC)에 발생했다고 밝혔다. DCENT 측은 한국 시간으로 9월 16일에 첫 고객 보고를 받았으며, 같은 날 사용자들에게 앱과 공식 채널을 통해 이 사실을 알리고 주의를 당부했다. 그러나 이후에도 XRP 유출은 계속되었다.
XRPL.to의 분석에 따르면, 두 번째 XRP 인출 흐름은 9월 17일 07시 05분(UTC)에 시작되었으며, 마지막으로 포착된 유출은 9월 20일 20시 56분(UTC)에 이루어졌다. 이번 공격 방식은 두 가지로 나뉜다. XRPL.to는 추적한 데이터셋에서 4,208개의 지갑이 일반적인 결제 거래를 통해, 2,470개의 지갑은 선행 결제 거래 없이 계정 삭제(AccountDelete)를 통해 자금이 인출되었다고 집계했다. 특히 계정 삭제 거래는 4,950개의 지갑에서 발생했으며, 이 중 일부는 이미 부분적으로 자금이 인출된 상태였다. 계정 삭제는 일반적인 결제 거래로는 남을 수 있는 잔액까지 모두 추출할 수 있는 방식으로, 공격자들이 이러한 방식을 활용한 것으로 보인다. XRP 원장(XRPL) 계정은 유지되기 위해 최소한의 리저브(reserve)를 필요로 하지만, AccountDelete 거래는 계정을 폐쇄하고 삭제 수수료를 제외한 나머지 XRP를 다른 주소로 전송할 수 있다. 실제로 이러한 계정 삭제 방식을 통해 약 107,507 XRP(현재 가치 약 171,000달러)가 한 번에 이체되기도 했다.
XRPL.to는 이러한 결제 및 계정 삭제 거래가 해당 계정의 서명 키로 유효하게 서명되었다고 밝혔다. 그러나 블록체인 상의 기록만으로는 공격자들이 어떻게 해당 키를 획득했는지 명확히 드러나지 않고 있으며, DCENT 또한 아직까지 사고의 기술적인 원인을 공식적으로 발표하지 않았다.
**탈취된 XRP, THORChain 거쳐 대거 이동**
이번에 탈취된 XRP의 상당 부분은 조사자들이 자금 흐름을 추적하기 시작했을 무렵에는 이미 XRP 원장을 벗어나 이동한 것으로 확인되었다. XRPL.to는 9월 21일 11시 26분(UTC) 기준으로 약 567만 XRP가 THORChain을 통해 이동했으며, 이 중 약 559만 XRP는 두 차례의 인출 거래를 통해 이더리움(Ethereum)의 목적지 주소를 명시한 채 전송되었다고 밝혔다.
이 외에도 약 324만 XRP는 XRPL.to가 거래소로 설명한 unionchain.ai로 흘러 들어갔으며, 약 546,080 XRP는 NEAR Intents로, 535,666 XRP는 바이낸스(Binance) 입금 태그로 전송되었다. 조사 시점 기준으로는 약 131만 XRP가 여전히 공격과 관련된 것으로 보이는 지갑들에 남아있었다.
탈취된 XRP가 이동한 목적지들은 자산 회수를 더욱 복잡하게 만들고 있다. THORChain과 NEAR Intents와 같은 서비스는 서로 다른 네트워크 간에 가치를 이동시킬 수 있기 때문에, XRP가 이러한 플랫폼을 거쳐 다른 체인으로 옮겨질 경우 조사관들은 추가적인 추적 경로를 파악해야 하는 어려움에 직면하게 된다.
이번 사건은 하드웨어 월렛 사용자들에게도 영향을 미쳤다는 점에서 더욱 심각하다. 일반적으로 하드웨어 월렛은 개인 키를 오프라인에 보관하여 높은 보안성을 제공하는 것으로 알려져 있지만, 이번 사건은 사용자들의 서명 키가 어떻게 노출될 수 있었는지에 대한 의문을 제기한다. DCENT는 피해를 입은 사용자들에게 즉시 자산을 안전한 다른 지갑으로 옮길 것을 강력히 권고했다. 또한, 사용자들은 비밀번호, PIN 번호, 복구 구문 등 개인 키와 관련된 모든 정보를 안전하게 관리하고, 의심스러운 링크나 파일은 절대 클릭하지 않는 등 기본적인 보안 수칙을 철저히 준수해야 할 필요성을 다시 한번 강조하는 계기가 되었다.