바이낸스 탈취 XRP 6000만개 남아…스왑 입금액과 교환량은 달라

바이낸스 보안 사고로 탈취된 리플(XRP) 2억3346만개 가운데 약 6000만개가 11월 10일 오후 8시(한국시간) 기준 추적 주소에 남아 있었다. 주소 잔액 감소가 같은 수량의 비트코인 교환 완료나 현금화를 뜻하지는 않는다.

엘립틱(Elliptic)은 10일 갱신한 추적 보고서에서 전날 밤 약 3500만개의 리플이 THORChain을 거쳐 교환됐고, 대부분 비트코인(BTC)으로 바뀌었다고 밝혔다. 당시 남은 리플 가운데 약 3300만개는 앞서 자금을 받은 주소 중 아직 움직이지 않은 마지막 주소에 있었다. 엘립틱은 추적 주소의 잔액과 거래 처리 결과를 별도로 집계했다.

바이낸스는 초기 조사 보고서에서 10월 29일 핫월렛 5개가 공격자 통제 주소로 리플 2억3346만개를 보냈다고 밝혔다. 이후 자금은 여러 주소로 나뉘었고, 일부가 THORChain을 거쳐 다른 자산으로 이동했다.

추적 주소 잔액은 6일 약 1억9200만개, 7일 약 1억4800만개, 9일 약 9500만개로 줄었다. 이 수치는 각 날짜의 주소 잔액을 보여준다.

본지는 앞서 탈취된 리플 약 4200만개가 대부분 비트코인으로 전환된 정황을 보도했다. 이번 잔액 집계는 그와 다른 기준 시점의 주소 보유량이다.

탈취 리플은 11월 2일 새 계정 7곳으로 나뉘었고, 이 가운데 6곳은 각각 100만개 이상을 받았다. 본지는 당시 새 계정 7곳으로 분산된 흐름도 전했다.

주소 잔액은 특정 시점에 해당 주소에 남은 리플 수량이다. 주소에서 자산이 이동했다는 사실만으로 스왑이 성공했는지, 환불됐는지, 목표 자산이 지급됐는지를 알 수는 없다.

◇ 스왑 입금액과 실제 지급량은 다르다

THORChain의 스트리밍 스왑 문서는 큰 교환을 여러 차례로 나눠 처리한다고 설명한다. 성공한 실행분은 목표 자산으로 지급하고 미체결분은 원래 자산으로 돌려줄 수 있다. 첫 실행이 실패하면 입금액 전체가 환불될 수도 있다.

Bitint는 9일 공개한 온체인 재구성에서 비트코인 블록 975,012까지의 정산 기록과 THORChain 환불 내역을 대조했다. Bitint가 정의한 입금 집단에서 비트코인 지급에 쓰인 리플은 최대 9385만개라고 제시했다.

이 수치는 엘립틱의 11월 10일 추적 주소 잔액과 집계 대상·기준 시점이 다르다. 따라서 두 수치를 더하거나 빼 같은 총량의 상반된 추정치로 볼 수 없다.

Bitint의 9385만개는 자체적으로 정의한 입금 집단에서 실제 비트코인 지급에 쓰인 리플의 상한이다. 탈취된 전체 리플 수량이나 현금화 규모를 뜻하지 않는다.

보고서는 탈취 자금 가운데 법정화폐 등으로 현금화된 액수가 미미한 수준일 가능성이 높다고 평가했다. 상당 부분은 자산 종류가 바뀐 채 공개 블록체인 주소에 남아 있는 것으로 설명했다.

◇ 리플 스왑 경로 중단, 전체 거래는 운영

같은 추적 업데이트에는 THORChain의 리플 거래가 7일 중단돼 스왑이 거의 하루 멈췄고, 8일 다시 교환이 확인됐다고 기록됐다. 10일 오전에는 리플 스왑이 다시 중단된 것으로 보였으며 새 입금은 환불됐다.

THORWallet 상태판이 12일 오전 8시 10분(한국시간)에 읽은 운영값에는 XRP Ledger의 거래와 출금 서명이 중단된 것으로 표시됐다. 같은 시각 전체 네트워크의 거래 기능은 운영 중이었다.

THORChain 개발자 문서는 거래 중단이 해당 체인의 스왑을 막고, 서명 중단은 외부 체인으로 나갈 거래를 대기시킨다고 설명한다. 두 조치는 적용 범위와 거래 처리 단계가 다르다.