바이낸스 해커, RLUSD 4275만개 송금 실패…8초 뒤 XRP 이체

바이낸스 해킹에서 공격자의 첫 자산 이동 시도는 실패했다. 공격자가 약 4275만달러(약 572억원) 상당의 스테이블코인 RLUSD를 보내려 했지만 수신 XRP레저 계정이 활성화되지 않았고, 8초 뒤 리플(XRP) 1억8501만7485.5개 이체는 성공했다.

딕슨(Dickson) 서틱(CertiK) 엔지니어는 30일 공개한 온체인 분석에서 첫 시도가 한국시간 오전 5시4분52초 이뤄졌다고 밝혔다. 바이낸스의 XRP 지갑에서 공격자 주소로 RLUSD 약 4275만개를 보내려던 거래였다. 딕슨의 분석상 이 거래는 처리되지 않아 토큰은 공격자 지갑으로 이동하지 않았다.

실패 원인은 수신 계정의 상태였다. XRP레저 공식 문서는 주소가 있어도 일정량의 XRP가 입금되기 전에는 블록체인상에 계정이 생성되지 않는다고 설명한다. RLUSD 같은 발행 토큰을 받으려면 별도의 신뢰선 설정도 필요하다.

첫 실패 8초 뒤에는 바이낸스 지갑에서 공격자 주소로 리플 1억8501만7485.5개가 전송됐다. 이 거래로 수신 계정이 생성됐다. 딕슨은 오전 5시9분까지 바이낸스의 다른 XRP 지갑 4곳에서도 자산이 빠져나갔다고 분석했다.

이후 자금 이동은 여러 블록체인으로 이어졌다. 딕슨의 추적 기록에는 오전 5시10분 솔라나(SOL) 96만5455.1개, 오전 5시18분 옵티미즘(OP) 4420만개가 각각 이동한 것으로 나타났다.

오전 5시20분에는 비트코인(BTC) 1만8270.2개가 11건의 거래를 통해 이동했다. 공격자는 같은 블록에서 비트코인을 1000개 단위로 나누는 방식도 활용했다. 이 기록은 성공한 거래에 관한 것으로, 앞선 RLUSD 송금 실패액과는 구분된다.

오전 5시20분부터 22분 사이에는 트론 네트워크에서 테더(USDT) 6억1270만개와 트론(TRX) 4640만개가 이동했다. 오전 5시30분부터 35분 사이에는 아비트럼(ARB)과 아발란체(AVAX)에서도 자금 유출이 이어졌다.

이더리움(ETH) 네트워크에서는 위임 서명을 이용한 거래가 확인됐다. 공격자는 오전 5시20분59초 바이낸스 14(Binance 14) 지갑과 관련된 EIP-7702 위임 서명 50개를 한 거래에 담아 제출했다.

각 서명에는 서로 다른 논스가 적용됐다. 이 가운데 하나가 실제 지갑 상태와 일치하면서 공격자의 스마트컨트랙트 코드에 실행 권한이 위임됐다.

오전 5시24분23초에는 한 건의 자산 인출 거래로 이더리움 16만7464개와 테더 16억1500만개 등이 외부 주소로 빠져나갔다. 이는 바이낸스 14 지갑에서 발생한 거래다.

딕슨은 공격자가 약 55분 동안 8개 블록체인에서 60억7000만달러(약 8조1156억원) 상당의 자산을 옮겼다고 분석했다. 바이낸스는 사고의 전체 영향 규모를 약 63억달러(약 8조4294억원)로 추산했다.

바이낸스는 초기 조사에서 데브옵스 엔지니어의 노트북 침해를 통해 공격자가 서비스 컨테이너에 접근하고 비인가 출금 거래를 제출했을 가능성을 제기했다. 지갑 개인키가 직접 유출됐다는 증거는 찾지 못했다고 밝혔다.

딕슨은 사고 진행 8시간 시점의 후속 게시물에서 탈취액을 63억달러(약 8조4294억원)로 제시하고, 이 가운데 28억3000만달러(약 3조7865억원)가 동결됐으며 32억1000만달러(약 4조2950억원)는 여전히 이동할 수 있다고 밝혔다. 그는 TRM이 사건을 북한 연계 TraderTraitor 활동으로 지목했다고 전했다.

같은 게시물에서 딕슨은 아비트럼 보안위원회가 이더리움과 아비트럼 자산 약 3100만달러(약 415억원)를 동결했다고 밝혔다. 이더리움에 남아 있는 자산은 이더리움으로 매도되고 있다고도 전했다.

본지는 앞서 바이낸스에서 자산이 빠져나간 지갑에 고객 잔고를 뒷받침하는 암호화폐가 담겨 있었다고 보도했다. 이번 분석은 첫 RLUSD 송금 실패와 8초 뒤 성공한 이체, 이후 여러 체인으로 이어진 자금 이동을 시간순으로 제시했다.