해커들, 3억 8,750만 달러 규모 자금 세탁 시작…비트겟서 BTC 약 5,000개 유출

출금 재개 이후 비트겟의 추적 대상 비트코인 잔액은 3억 8,750만 달러 규모 해킹 사건에 이어 약 4,642 BTC 감소했다. 디파이라마(DeFiLlama) 데이터에 따르면 잔액은 35,412 BTC에서 약 30,770 BTC로 줄었다. 당시 가격으로 환산하면 감소분은 비트코인 약 3억 9,100만 달러어치에 해당했다. 그레이시 첸 비트겟 최고경영자는 9월 28일 UTC+8 기준 17시까지 비트겟이 총 4,098.036 BTC에 해당하는 출금 주문 9,585건을 처리했다고 밝혔다. 추적 대상 보유량 감소분은 첸이 비트겟이 고객 출금 주문을 통해 처리했다고 밝힌 비트코인 규모를 넘어섰다. 디파이라마는 거래소 소유로 분류된 지갑의 자산을 추적한다. 잔액 변화는 고객 출금뿐 아니라 지갑 이동이나 주소 추적 범위의 차이를 반영할 수도 있다. 이처럼 빠른 자금 유출은 비트겟이 8년 역사상 최대 보안 사고를 조사하는 동안 4일간 출금을 동결한 뒤 이용자들이 어떻게 반응하는지 보여준 첫 신호였다. 비트겟은 출금 인프라를 추가 점검한 뒤 9월 28일 UTC 기준 08시에 비트코인 출금을 재개했다. 이더리움 출금은 9월 29일, USDT 출금은 9월 30일 재개될 예정이었다. 다른 토큰 출금과 법정화폐 및 개인 간 거래 서비스는 10월 2일 재개될 예정이었다. 비트겟은 공격으로 개인 키나 콜드월렛 보유분이 침해되지 않았다고 고객을 안심시키려 했다. 첸은 완료된 내부 추적 조사에서 공격자들이 제3자 제품의 취약점을 악용해 내부 인증 정보를 확보한 것으로 확인됐다고 밝혔다. 첸은 공격자들이 이후 해당 인증 정보로 비트겟의 위험 통제를 우회하는 사기성 출금 지시를 제출했다고 말했다. 첸은 비트겟이 영향을 받은 시스템을 격리했다고 밝혔다. 그녀는 거래소가 내부 인증 정보를 폐기하고 새로 발급했으며, 민감한 인프라에 대한 접근 체계를 재구성했다고 말했다. 비트겟은 해당 업체가 수정 작업을 진행하는 동안 영향을 받은 제3자 기능을 비활성화했다. 맨디언트와 슬로우미스트를 비롯한 블록체인 보안업체들이 포렌식 분석과 탈취 자산 추적을 지원하고 있었다. 비트겟은 앞서 이번 사건이 지갑 인프라의 핵심 백엔드 시스템과 관련돼 있다고 밝혔다. 거래소는 출금 재개 전에 취약점을 수정했다고 말했다. 비트겟은 이번 사건으로 고객이 손실을 입지 않을 것이라고 밝혔다. 회사는 부족분을 보호기금(Protection Fund)으로 충당하겠다고 말했다. 첸은 비트겟이 일주일 안에 자체 자본을 투입해 기금을 3억 달러 초과 규모로 보충할 계획이라고 밝혔다. 탈취 자산이 브리지, 크로스체인 프로토콜, 프라이버시 서비스에 분산되면서 자금을 회수하기는 점점 더 어려워지고 있었다. 조사관 잭엑스비티(ZachXBT)는 중국의 불법 행위자들이 자신이 북한과 연계된 것으로 의심된다고 묘사한 해커들을 대신해 이번 공격으로 얻은 자금을 세탁하고 있다고 밝혔다. 잭엑스비티는 자금이 여러 체인으로 이동해 와사비를 비롯한 믹싱 서비스로 유입되고 있다고 말했다. 잭엑스비티는 세탁 네트워크의 한 참여자가 올해 앞선 시점에 발생한 2억 9,200만 달러 규모 켈프다오(Kelp DAO) 공격 이후의 자금 이동과 관련돼 있다고 밝혔다. 그는 트레이더트레이터(TraderTraitor) 캠페인의 소행으로 지목된 여러 공격 뒤에도 비슷한 행태를 목격했다고 말했다. 이 자금 세탁 활동으로 인해 무허가형 인프라가 탈취 자산이 시스템을 통과할 때 개입해야 하는지를 둘러싼 논쟁의 중심에 토르체인(THORChain)이 섰다. 토르체인은 특정 지갑이나 스왑을 선별적으로 차단하지 않겠다고 밝혔다. 네트워크는 자신의 역할을 비트코인과 이더리움 같은 검열 저항성 네트워크에 비유했다. 고플러스(GoPlus)는 이 비교에 반박했다. 보안업체는 토르체인의 구조가 노드 운영자에게 기반 계층 검증자가 갖지 못한 권한을 부여한다고 말했다. 고플러스는 토르체인의 임계 서명 볼트를 지적하며, 활성 노드들이 함께 외부 전송을 승인한다고 설명했다. 업체는 해당 볼트에서 자산을 내보내려면 명시적인 서명 행위가 필요하다고 밝혔다. 고플러스는 체인별 서명 중단, 네트워크 전체 일시 중지, 미미르 거버넌스도 노드 운영자들이 개입을 조율할 수 있다는 근거로 들었다. 고플러스는 토르체인이 5월 자체적으로 발생한 1,070만 달러 규모 공격을 진압하는 동안 네트워크를 중단했다고 밝혔다. 업체는 같은 비상 대응 체계를 비트겟 공격자와 연계된 주소에 적용할 수 있다고 주장했다. 토르체인은 그 결론에 이의를 제기했다. 네트워크는 중단 조치는 프로토콜을 보호하기 위한 것이며 이용자, 지갑 또는 스왑을 선별적으로 검열하는 것과는 다르다고 밝혔다. 토르체인은 또 5월 사건 당시 공격자 주소가 블랙리스트에 오르지 않았다고 말했다. 네트워크는 탈취된 것으로 알려진 자금이 시스템을 통과할 때 프로토콜은 중립을 유지해야 한다고 밝혔다. 고플러스는 토르체인이 그런 입장을 통해 금전적 이익을 얻고 있다고 비판했다. 업체는 비트겟 공격으로 탈취된 자산 가운데 약 101.5 BTC, 약 850만 달러어치가 토르체인을 거쳐 빠져나갔다고 추산했다. 고플러스는 또 2,763만 XRP, 약 4,300만 달러어치가 비트코인으로 전환되고 있다고 밝혔다. 업체는 2025년 바이비트(Bybit) 해킹 자금 세탁에서 토르체인이 한 역할도 거론했다. 고플러스는 공격자가 수십만 ETH를 프로토콜을 통해 이동시켜 수백만 달러의 수수료를 발생시켰다고 말했다. 업체는 노드 운영자들이 불법 자금 흐름에 개입하지 않을 때 수수료 수익이 이해 상충을 유발한다고 주장했다. 이더리움, USDT 등 자산의 출금이 재개되는 가운데 조사관들은 여러 체인에 나뉘어, 운영자들이 차단을 거부할 수도 있는 인프라를 거치는 자산을 회수하려 하고 있다.