엘립틱, 해커들이 탈취 XRP 약 5,000만 달러어치 대부분 비트코인으로 교환했다고 밝혀

엘립틱은 금요일까지의 활동을 담은 업데이트에서 역대 최대 규모의 바이낸스 해킹과 연관된 해커들이 XRP 약 4,200만 개, 약 5,000만 달러어치를 교환했다고 밝혔다. 교환을 통해 주로 비트코인을 얻었으며 대부분 THORChain을 이용했다. 엘립틱은 다른 탈취 자산을 바꿔 얻은 비트코인이 하룻밤 사이 거의 두 배로 늘어 약 1,650 BTC, 약 1억2,400만 달러어치가 됐다고 밝혔다. 증가분 대부분은 XRP 교환으로 발생했다. 탈취 사건과 연관된 주소에는 약 1억9,200만 XRP, 약 2억2,600만 달러어치가 아직 교환되지 않은 채 남아 있었다.

바이낸스는 XRP를 포함한 10월 29일 탈취 사건의 피해액을 63억4,000만 달러로 평가했다. 당일 세계협정시(UTC) 20시 5분부터 20시 9분 사이 핫월렛 5개에서 공격자 주소로 XRP 2억3,346만 개가 이체됐다. FBI는 이번 공격 캠페인을 북한의 트레이더트레이터 그룹 소행으로 지목했다. 바이낸스는 출금을 점진적으로 복구해 왔다. 바이낸스는 약 28억5,000만 달러를 동결하거나 가로챘으며 고객 손실을 보전하기 위해 회사 자금을 사용하고 있다고 밝혔다.

엘립틱은 처음에 움직임이 없었던 약 2억3,300만 XRP 보유분이 11월 2일 세계협정시 2시 12분부터 4시 사이 새 주소 6개로 옮겨졌다고 밝혔다. 엘립틱에 따르면 해당 보유분은 11월 5일까지 6개 주소에 그대로 남아 있었다. 이 가운데 두 주소는 11월 5일 오후 XRP를 새 계정 수십 곳으로 분산하기 시작했으며, 비트코인으로 교환하는 것이 목적이었다. 교환은 주로 THORChain을 통해 이뤄졌다. 소량의 이더리움 보유분도 그날 저녁 THORChain을 통해 비트코인으로 교환됐다. 엘립틱은 규모가 가장 큰 탈취 비트코인과 이더리움 보유분은 그대로 손대지 않은 상태라고 밝혔다. 이 일련의 과정은 엘립틱이 바이비트 해킹 이후 관찰한 활동과 비슷하다. 동결할 수 있는 토큰과 유동성이 중간 수준인 토큰을 비트코인으로 바꾼 뒤 OTC 브로커를 통한 현금 인출을 시도하는 방식이다.

엘립틱은 바이낸스 해킹 이후 16개 블록체인에서 지갑 2만 개 이상을 추적했다. 엘립틱의 집계에는 서비스 최소 36곳과 거래 최소 6만5,000건도 포함된다. 이는 30초마다 지갑이 하나씩, 10초마다 거래가 하나씩 추가되는 속도다. 탈취 사건과 연관된 주소에는 여전히 약 31억1,000만 달러가 남아 있으며, 대부분 이더리움과 비트코인이다. 지금까지 현금으로 전환된 금액은 미미한 수준일 가능성이 크다.

발행사는 여러 스테이블코인을 동결할 수 있지만, 같은 방식으로 XRP를 동결하거나 비트코인을 동결할 수는 없다. 테더와 서클은 10월 29일 상당한 규모의 스테이블코인 보유분을 동결했다. 이후 공격자는 해당 동결 조치의 대상이 아닌 자산을 우선시했다. XRP를 비트코인으로 바꾸는 것도 이런 전략에 부합한다. 비트코인은 새 주소들에 분산되면 회수하기가 더 어려워지기 때문이다.

엘립틱이 산정한 가격으로 약 8,700만 달러어치인 탈취 SOL 보유분 전체가 스왑, 브리징 또는 믹싱을 거쳤으며, 상당량이 비트코인으로 바뀌었다. TRX 약 2억2,000만 달러어치가 관련된 초기 자금 세탁도 대부분 이뤄졌다. T3 금융범죄대응 조직은 해킹 전에 조용히 운영을 중단했다. 주요 이더리움 및 NEAR 보유분은 일부만 움직였다.

11월 1일 이후 교환된 자금 가운데 33 BTC, 250만 달러어치가 와사비 방식의 코인조인에 들어갔다. 이더리움과 SOL 약 110만 달러어치도 입금을 중단하기 전 프라이버시 캐시에 들어갔다. 엘립틱은 활동 속도를 볼 때 실시간으로 판단하는 AI 에이전트가 아니라 일반적인 자동화 방식으로 진행됐음을 알 수 있다고 밝혔다. 엘립틱은 규칙적인 실행 시점, 미리 정해진 금액, 무차별적인 재시도, 몇 시간 간격으로 이뤄진 전술 변경을 근거로 들었다.

미국 은행 감독 당국은 바이낸스 침해 사건 이후 대출기관들에 연락했다. 비트코인 시장의 당면한 관심사는 남은 약 1억9,200만 XRP와 나중에 비활성 상태인 이더리움이 현금화 시도가 시작되기 전에 얼마나 비트코인으로 바뀔지다. THORChain 운영자와 다른 브리지들이 공개된 공격자 주소를 충분히 신속하게 차단해 추가 XRP 교환을 늦출 수 있을지는 여전히 미지수다.