1600만달러 차단…메르카도 비트코인, 고객 자산 보전 약속

메르카도 비트코인(Mercado Bitcoin)은 해킹 관련 자산 1600만달러(약 216억원)를 넘게 차단했다고 밝혔다. 고객 자산 부족분은 회사 자금으로 보전하겠다는 방침도 재확인했다.

회사는 11월 4일 차단액이 1500만달러(약 202억원)를 넘었다고 밝혔고, 6일 공식 FAQ에서 차단액이 1600만달러를 초과했다고 밝혔다. 공개된 차단액의 기준이 1500만달러에서 1600만달러로 높아졌다.

차단은 해당 자산의 이동을 막았다는 뜻이다. 차단액이 고객에게 반환됐거나 계정에 다시 입금됐다는 의미는 아니다.

사고는 11월 2일 회사 핫월렛을 대상으로 발생했다. 회사는 예방 조치로 입출금을 중단했다.

회사는 4일 업데이트에서 고객별 부족분을 회사 자금으로 보충하고 필요한 자산을 시장에서 다시 매입할 준비를 하고 있다고 밝혔다. 고객 잔액 기록은 보존됐다고 설명했다.

문자 답변에서 회사 측은 고객 손실을 예상하지 않으며 약 4000만달러(약 539억원)의 손실을 부담할 것이라고 밝혔다고 블룸버그 라인(Bloomberg Línea)은 전했다. 이 금액은 회사 공식 FAQ에 최종 피해 총액으로 제시되지 않았다.

한국시간 3일 오전 업데이트에서 회사는 약 1100만달러(약 148억원)를 차단했고, 약 3800만달러(약 512억원)는 아직 차단되지 않았다고 설명했다. 당시 수치와 이후 차단액은 서로 다른 시점의 집계다.

초기 차단액과 미차단액을 더하거나 최신 차단액을 빼 확정 피해액을 계산할 근거는 없다. 회사가 보전하겠다고 밝힌 금액과 외부 분석업체의 자산 이동 집계도 구분해야 한다.

온체인 분석업체 비트쿼리(Bitquery)는 전송 당시 가격 기준으로 회사 지갑에서 11개 블록체인에 걸쳐 4860만달러(약 655억원)가 빠져나갔다고 집계했다. 이는 회사가 발표한 차단액과 집계 대상이 다르다.

비트쿼리는 이더리움(ETH) 고객 입금 주소 3만6042개에서 약 26만6000달러(약 3억6000만원) 상당이 이동했다고 분석했다. 주소 수는 피해 고객 수와 같지 않다.

이더리움 입금 주소의 자산 이동은 한국시간 11월 2일 오후 9시 27분부터 3일 오전 1시 56분까지 이어졌다. 비트쿼리는 회사가 사고를 신속히 통제했다고 알린 뒤에도 이동이 계속됐다고 분석했다.

회사는 공격이 핫월렛에만 영향을 줬고 고객 데이터 유출은 없었다고 발표했다. 비트쿼리는 입금 주소의 이동도 포착했지만, 블록체인 기록만으로 공격자가 서명 권한을 얻은 경로를 입증할 수는 없다고 밝혔다.

체이널리시스(Chainalysis)는 공격 규모를 약 4900만달러(약 661억원), 관련 자산의 이동 범위를 17개 블록체인으로 추산했다. 약 1000만달러(약 135억원)의 동결을 도왔다고도 밝혔다.

체이널리시스가 언급한 동결액은 회사가 발표한 전체 차단액에 별도로 더할 수 있는 금액이 아니다. 체이널리시스와 비트쿼리의 집계가 같은 기준인지는 확인되지 않았다.

본지는 앞서 메르카도 비트코인의 고객 손실 보전 약속과 당시 1290만달러 동결을 보도했다. 이번 공식 FAQ에서는 차단액이 1600만달러 이상으로 갱신됐다.

회사는 11월 9일부터 웹사이트를 단계적으로 열어 잔액·거래 내역·보유 자산 조회를 먼저 제공할 예정이다. 입출금과 거래는 각 기능의 보안 검증을 마친 뒤 순차적으로 재개할 계획이며, 전체 거래 서비스 재개 시점은 밝히지 않았다.