2억3350만 리플(XRP), 바이낸스 공격자 주소에 남아

바이낸스(Binance)에서 탈취된 리플(XRP) 약 2억3350만개가 31일에도 공격자 주소에 남아 있는 것으로 나타났다. 주소 잔액은 조회 시점의 상태를 보여준다.

TRM 랩스(TRM Labs)는 10월 30일 오전 5시5분부터 9분 사이 바이낸스 지갑 5곳에서 리플 2억3346만개가 공격자 주소 하나로 이동했다고 집계했다. 앞서 본지가 전한 해킹의 첫 XRP 이체 가치는 2억9600만달러(약 3960억원)였다.

Bithomp 계정 화면은 31일 해당 주소의 잔액을 약 2억3350만개로 표시했다. 이 잔액은 앞서 집계된 유출량과 비슷한 수준이다.

엘립틱(Elliptic)은 30일 오후 10시10분(한국시간) 갱신한 분석에서 탈취된 리플이 움직이지 않았다고 기록했다. 이는 해당 분석을 갱신한 시점까지의 관측이다.

계정 화면은 특정 시점의 잔액을 보여주며 거래 이력 전체를 나타내지는 않는다. 따라서 Bithomp의 31일 잔액과 엘립틱의 분석은 각각 관측 시점이 다른 자료다.

공격자 신원은 공식 확인되지 않았다. TRM 랩스는 TraderTraitor와 북한 연계를 높은 확신으로 지목했고, 엘립틱은 북한 연계 행위자일 가능성을 제시했지만 정부나 수사기관의 공식 귀속 발표는 없었다. 바이낸스도 공격자를 특정하지 않았다.

사고 전체 유출 규모 추정치는 바이낸스 63억달러(약 8조4300억원), TRM 랩스 63억6000만달러(약 8조5100억원), 엘립틱 64억3000만달러(약 8조6000억원)로 차이가 있다. TRM 랩스는 10개 체인, 엘립틱은 11개 체인을 집계했으며 추정치 차이의 단일한 원인은 확인되지 않았다.

◇ 리플 동결과 수탁 자산 동결은 다르다

XRP 레저 공식 문서는 리플이 발행자가 있는 토큰이 아닌 네트워크의 기본자산이어서 레저 차원의 발행자 동결 기능을 적용할 수 없다고 설명한다. 별도 발행자가 있는 토큰은 발행사의 동결 기능을 지원할 수 있다.

TRM 랩스는 도난된 스테이블코인 RLUSD 8850만개 가운데 4050만개가 발행사 조치로 동결됐다고 분석했다. 바이낸스가 밝힌 온체인 동결액은 사고 전체 기준 약 30억달러(약 4조140억원)다.

엘립틱은 거래소나 금융기관이 사고 연계 주소를 식별해 자금이 들어오면 동결할 수 있다고 설명했다. 이 조치는 해당 서비스가 보관하는 자산에 적용되며 공격자 주소에 있는 리플을 레저에서 직접 묶는 기능은 아니다.

따라서 사고 전체 동결액을 리플의 동결·회수액으로 볼 수는 없다. 레저에서 자산을 동결하는 것과 수탁 서비스에 들어온 자산의 처분을 막는 것은 서로 다른 조치다.

리플을 처분하려면 거래를 실행해야 한다. XRP 레저에는 탈중앙화거래소(DEX) 기능이 있고 수탁 거래소를 거치는 경로도 있지만, 현재 주소 잔액은 공격자가 어느 경로를 택했는지 보여주지 않는다.

◇ 주소 잔액의 명목가치가 매도 충격을 뜻하진 않는다

바이낸스 가격 화면은 31일 오전 1시19분(한국시간) 리플 가격을 1.25달러(약 1670원)로 표시했다. 24시간 변동률은 -4.34%, 거래량은 52억달러(약 6조9600억원)였다.

해당 가격을 유출 물량에 적용한 명목가치는 약 2억9200만달러(약 3910억원)로, 표시된 24시간 거래량의 약 5.6%다. 이는 유출 물량과 하루 거래량의 규모를 비교한 값이다.

24시간 거래량은 이미 체결된 거래의 합계이며 매수 주문 잔량이나 매도에 따른 가격 변화를 나타내지 않는다. 이 수치만으로 공격자의 매도 여부나 가격 영향의 방향과 폭을 산출할 수는 없다.

바이낸스는 사고 손실을 이용자 자산 보호기금(SAFU)과 회사 자금으로 보전하겠다고 밝혔다. 초기 조사에서는 DevOps 엔지니어의 노트북 침해 가능성을 제시했으며, 기술 보고서는 조사를 마치고 사실관계를 검증한 뒤 공개할 예정이다.