테더 3억2500만개, 바이낸스 해킹 공격자가 이더리움으로 바꿨다

바이낸스 해킹 공격자가 테더(USDT) 약 3억2500만개를 이더리움(ETH) 약 12만2300개로 바꿨다. 달러 연동 명목가로 3억2500만달러(약 4345억원) 규모다.

블록체인 분석업체 TRM랩스(TRM Labs)는 30일 오전 9시30분(한국시간)까지 확인한 온체인 거래를 담은 분석 보고서에서 교환 내역을 공개했다. 공격자는 UniswapX 등 주문 체결 계약을 통해 테더를 전문 거래자와 시장조성자에게 넘겼다. 당시 이더리움 시세는 개당 2300~2350달러(약 308만~314만원)였지만, 교환 대가로 받은 물량의 환산 가격은 개당 약 2650달러(약 354만원)였다. TRM랩스는 공격자가 시세보다 10% 넘게 불리한 조건으로 테더를 처분했다고 분석했다.

같은 거래 묶음에 있던 테더 1억7500만개는 교환되지 못하고 동결됐다. 별도 공격자 지갑은 테더 6000만개를 에이브(Aave)에 담보로 맡기고 이더리움 약 1만9760개를 빌렸다. 이후 에이브는 관련 시장을 동결했다. TRM랩스는 교환과 담보대출이 자산 동결 전에 이뤄졌다고 설명했다.

TRM랩스는 10개 블록체인의 바이낸스 지갑에서 공격자 주소로 약 63억6000만달러(약 8조5033억원)가 이동했다고 집계했다. 대부분은 첫 이동 뒤 약 20분 동안 빠져나갔다. 바이낸스는 보안 사고를 확인한 뒤 여러 네트워크의 출금을 일시 중단했다.

공격 준비는 최소 36시간 전부터 진행된 것으로 TRM랩스는 분석했다. 공격에 사용된 지갑에는 28일 토네이도캐시(Tornado Cash)에서 소액 자금이 세 차례 들어왔다. 공격자는 별도 지갑에서 코드를 시험한 뒤 바이낸스 지갑에 적용했다.

이더리움 네트워크에서는 공격자가 미리 준비한 서명 승인 50건 중 하나를 사용해 바이낸스의 핫월렛이 공격자가 통제하는 코드의 지시를 따르도록 바꿨다고 TRM랩스는 분석했다. 보고서는 이 과정에 이더리움 EIP-7702 위임 기능이 사용됐다고 설명했다. 핫월렛은 인터넷에 연결해 거래 처리에 쓰는 지갑이다.

다른 블록체인에서도 비슷한 시각 유효한 서명이 붙은 자금 이동이 발생했다. TRM랩스는 이 기록이 바이낸스의 지갑 거래 서명 체계가 침해됐을 가능성을 가리킨다고 평가했다. 구체적인 침투 경로가 확정됐다는 뜻은 아니다.

체이널리시스는 보고서에서 동결 자산을 약 28억달러로 집계했고, TRM랩스는 30일 오전 9시30분(한국시간) 기준 온체인 동결액을 약 27억달러로 집계했다. 이 가운데 약 26억7000만달러(약 3조5698억원)는 스테이블코인 발행사들이 동결했고, 약 3000만달러(약 401억원)는 아비트럼(Arbitrum) 보안위원회의 조치로 공격자 통제 밖으로 옮겨졌다.

본지는 앞서 바이낸스 익스플로잇 연관 주소에서 USDT0 619만개가 동결되고 트론·이더리움 간 전송이 재개된 사실을 전했다. 자산 동결은 이동을 막는 조치로, 피해 자금 회수와는 구분된다.

TRM랩스는 공격자가 보유한 이더리움 42만개 이상과 비트코인(BTC) 1만8270개를 당시 약 24억달러(약 3조2088억원)로 평가했다. 두 자산은 스테이블코인처럼 발행사가 직접 동결할 수 없다. TRM랩스는 공격자 주소와 비트코인의 분할 이동 경로를 추적하고 있다고 밝혔다.