코인DCX, 폐기 지갑 이체 실패로 1,600만 달러 손실 부담

인도 최대 암호화폐 거래소인 코인DCX는 내부 절차가 폐기된 지갑에서 고객 예치금을 이체하지 못해 1,600만 달러의 손실을 부담했다고 밝혔다. 코인DCX는 일요일 블로그 게시물에서 손실액을 1,599만 USDT로 제시했다. 코인DCX는 손실이 거래소의 과거 운영 지갑 인프라에 속한 주소 TQKJQ와 관련 있다고 밝혔다.

블록체인 조사관들은 지난주 뭄바이에 본사를 둔 거래소와 연관된 지갑에서 약 1,600만 달러 규모의 의심스러운 이체가 발생했다고 확인했다. 코인DCX는 처음에는 해당 보도를 부인했고, 수밋 굽타 최고경영자(CEO)는 X에서 이를 오보라고 표현했다. 코인DCX 대변인은 문제가 된 주소가 2025년 1월에 생성됐으며, 코인DCX에 약 4,400만 달러의 손실을 안긴 2025년 7월 해킹 당시 침해됐다고 말했다. 대변인은 코인DCX가 해킹 이후 해당 주소들을 사용하지 않았다고 밝혔다. 코인DCX는 처음에는 해당 활동이 거래소와 관련이 없다고 말했다.

그러나 온체인 조사관 잭XBT는 유동성 공급자가 TQKJQ라는 주소를 포함해 적어도 하나의 주소를 사용했다고 말했다. 잭XBT는 TQKJQ가 이르면 2026년 4월과 5월에도 이용자 예치금을 코인DCX의 현재 공개 핫월렛으로 이체했다고 밝혔다. 코인DCX는 일요일 게시물에서 과거 운영 지갑 인프라가 2025년 7월 19일 공개한 보안 사고 당시 침해됐다고 밝혔다. 코인DCX는 사고 이후 해당 인프라를 폐기했다고 말했다.

블로그 게시물에 따르면 일부 이용자는 2025년 해킹 이후에도 실수로 폐기된 주소에 계속 예치금을 보냈다. 코인DCX는 예치금이 폐기된 지갑에 들어오는 즉시 해당 이용자 계정에 반영했다고 밝혔다. 스위핑(sweeping)으로 불리는 보조 서비스는 해당 예치금을 코인DCX의 기본 지갑으로 이체하도록 돼 있었다. 코인DCX는 특정 기간에 스위핑 절차가 실패해 폐기된 주소에 예치금이 쌓였다고 말했다. 블로그 게시물은 손실을 해킹으로 규정하지 않았다. 코인DCX는 비정상 이체를 한 당사자를 밝히거나 이체가 어떻게 이뤄졌는지 설명하지 않았다. 폐기된 주소가 다시 해킹됐는지 코인DCX에 질문이 제기됐다.

코인DCX는 10월 21일 회사 시스템에서 비정상적인 활동을 감지했다고 밝혔다. 코인DCX는 통제 조치와 즉각적인 대응으로 활성 지갑과 거래 시스템이 영향을 받지 않도록 보호했다고 말했다. 코인DCX는 다음 날 블록체인 데이터와 이용자 제보를 통해 비정상적인 자금 이체를 파악했다고 밝혔다. 코인DCX는 고객의 암호화폐 예치 잔액에는 영향이 없었으며 모두 확인됐다고 말했다. 코인DCX는 모든 이용자 자금이 다중 수탁 보호 장치와 오프라인 보안 통제를 갖춘 분리된 콜드월렛에 안전하게 보관돼 있다고 밝혔다. 콜드월렛은 오프라인으로 운영된다.

코인DCX는 폐기된 인프라를 검토하고 사건의 전개 과정을 파악하는 데 시간이 걸렸다고 인정했다. 코인DCX는 더 적극적으로 소통할 수 있었다고 인정했다. 코인DCX는 검토를 통해 전체 상황을 파악한 뒤 업데이트를 게시했다고 밝혔다.