2억8710만달러 탈취 자금 동결 못 해…피해자 반환은 0.8%

올해 해킹으로 탈취된 가상자산 가운데 2억8710만달러(약 3830억원)가 동결할 수 없는 지갑에 남아 있는 것으로 집계됐다. 공격자는 해킹 뒤 중앙값 기준 17분 만에 자금을 옮겼다.

블록체인 보안업체 블록에이드(Blockaid)는 1~8월 발생한 온체인 해킹 60건을 분석한 보고서에서 피해액이 총 11억8000만달러(약 1조5741억원)라고 밝혔다. 언체인드는 블록에이드가 9월 2일 기준으로 집계한 피해자 반환액이 980만달러(약 131억원), 전체 피해액의 0.8%였다고 19일 보도했다. 8140만달러(약 1086억원)는 동결됐지만 피해자에게 반환되지는 않았다.

자금 동결이나 회수가 이뤄진 사건은 60건 중 5건이었다. 공격자가 자금을 옮긴 시점을 분석할 수 있었던 59건에서는 이동까지 걸린 시간의 중앙값이 17분이었다. 40건(68%)은 한 시간 안에, 13건(22%)은 첫 1분 안에 자금이 이동했다.

이도 벤나탄(Ido Ben-Natan) 블록에이드 공동창업자 겸 CEO는 보고서와 함께 낸 성명에서 “보안팀이 공격을 감지하고 자금의 이동 경로를 파악해 대응을 조율하기에는 17분은 매우 짧다”고 말했다. 공격 뒤 자금이 빠르게 움직여 대응 시간이 제한된다는 설명이다.

동결할 수 없는 자금 2억8710만달러는 16건의 해킹과 관련됐다. 블록에이드는 이 자금 대부분이 특정 주소의 송금을 중앙 발행자가 막을 수 없는 자산에 있다고 설명했다. 이더리움(ETH), 비트코인(BTC), 래핑 토큰과 유동성 스테이킹 토큰 등이 포함됐다.

이 가운데 약 2억2900만달러(약 3055억원)는 4월 발생한 드리프트 해킹과 관련됐다. 블록에이드 집계로는 9월 2일 기준 공격자 주소 3곳에 이더리움 약 10만7165개가 남아 있었다. 자금이 거래소로 이동하거나 동결 가능한 자산으로 바뀌면 대응 기회가 생길 수 있지만, 믹서를 거치면 회수가 더 어려워질 수 있다고 블록에이드는 설명했다.

동결되거나 반환된 자금은 총 9120만달러(약 1217억원)였다. 이 가운데 9040만달러(약 1206억원), 99.1%는 프로토콜과 거버넌스 기구, 검증자가 자체 운용하는 통제 수단을 통해 확보됐다.

아비트럼 시큐리티 카운슬은 켈프DAO 해킹과 관련된 약 7100만달러(약 947억원)를 동결했다. 시스코인에서는 무단 발행된 토큰 약 900만달러(약 120억원)어치가 소각됐고, 스텔라 검증자들은 블렌드 해킹 뒤 약 690만달러(약 92억원)를 격리했다.

블록에이드는 프로토콜과 기관이 해킹 전에 자금 동결 권한자와 필요한 증거를 정하고, 침해된 주소를 계속 감시해야 한다고 권고했다. 보고서 집계에서는 동결·반환된 자금 대부분이 프로토콜 차원의 통제 수단으로 확보됐다.