멀티시그 월렛 해킹에 2730만 달러 탈취…토네이도 캐시로 대규모 세탁 정황

리딩 멀티시그 월렛이 해킹당해 총 2,730만 달러(약 395억 원)가 탈취된 사건이 발생했다. 이 중 최소 1,940만 달러(약 281억 원)는 익명성이 높은 믹싱 서비스 ‘토네이도 캐시’를 통해 자금 세탁된 것으로 드러났다. 토네이도 캐시는 해커들이 탈취 자금을 은닉할 때 자주 사용하는 익명 전송 툴로, 이번 사건에서도 핵심 도구로 활용됐다.

이번 공격은 블록체인 보안업체 펙쉴드(PeckShield)가 처음 포착했다. 펙쉴드에 따르면, 해커는 디파이(DeFi) 렌딩 프로토콜 아베(Aave)에서 1,000 ETH(약 48억 원)를 인출한 뒤 토네이도 캐시로 송금했다. 이로써 총 6,300 ETH(약 302억 원) 이상이 이 믹싱 서비스를 통해 세탁된 것으로 추산된다.

공격자는 단순히 자금을 탈취한 데 그치지 않았다. 현재 그는 탈취한 자금 중 일부를 담보로 삼아 975만 달러(약 141억 원) 규모의 레버리지 거래 포지션을 유지하고 있다. 이는 이더리움(ETH) 2,050만 달러치(약 297억 원)를 롱 포지션으로 잡는 대신, 스테이블코인인 다이(DAI) 1,070만 달러치(약 155억 원)를 빌려 활용하는 방식이다.

해킹·사기 공세 집중된 2026년 초

이번 멀티시그 지갑 사고는 최근 24시간 사이에 탐지된 여러 보안 사고 중 하나에 불과하다. 펙쉴드는 또 다른 주소 '0xB8b4…3714'를 추적한 결과, 해당 주소가 트론(TRX) 기반 지갑에서 자금을 받아 이더리움 네트워크로 브릿징한 뒤, 2,479 ETH(약 119억 원)를 토네이도 캐시를 통해 세탁한 정황을 확인했다.

이번 공격은 이른바 ‘피그부처링(Pig Butchering)’이라 불리는 투자 유도형 연애 사기와 연계된 것으로 분석됐다. 이 수법은 피해자와 가짜 연애 관계를 맺은 뒤, 암호화폐 투자로 유도해 자금을 강탈하는 수법이다.

2025년 9월 발생한 유엑스링크(UXLink) 해킹의 후속 움직임도 함께 탐지됐다. 당시 해커는 248개의 래핑된 비트코인(wBTC)을 2,300만 DAI(약 333억 원)로 교환하며, 무단으로 발행한 수십억 개의 토큰을 처분한 것으로 확인됐다.

한편, 블록체인 보안 기업 서틱(CertiK)은 아비트럼(ARB) 기반 프로젝트 TMXTribe의 미감사 계약을 악용한 해킹도 적극 추적 중이다. 서틱은 공격자가 USDT를 활용해 TMX LP를 발행한 후, 이를 반복 스왑과 스테이킹·언스테이킹하며 140만 달러(약 20억 원) 상당의 자산을 탈취했다고 밝혔다. 과정 중 WETH와 SOL까지 포함된 복잡한 루프 구조가 탐지됐다.

렛저 고객 정보 유출, 물리적 위협까지 겹쳐

이번 디지털 해킹 공세와 맞물려, 실생활에서의 보안 위협도 증폭되는 양상이다. 하드웨어 지갑 제조사 렛저(Ledger)는 2026년 1월 5일, 결제 위탁업체 ‘글로벌이(Global-e)’의 보안 침해로 인해 고객 이름, 주소, 이메일, 전화번호 등이 유출됐다고 밝혔다. 비밀번호나 카드 번호, 개인 키는 유출되지 않았으나, 피싱 공격과 사회공학 기반 사기의 우려가 커지고 있다.

렛저 역시 지난 2020년에도 1백만 건 이상의 이메일과 거의 30만 명의 상세 개인정보를 유출한 전력이 있어, 이번 유출과 합쳐진다면 공격자들이 AI 도구를 활용해 ‘고가 보유자’ 식별에 악용할 가능성이 제기되고 있다.

블록체인 연구자 이그나스(Ignas)는 “사람들이 데이터 유출 이후 실제 물리적 공격을 당할 위험이 증가하고 있다”며 “경제 상황이 악화될 경우 암호화폐 보유자는 더욱 위험해진다”고 경고했다.

투자자인 하셉 쿠레시(Haseeb Qureshi)도 실제 물리적 공격, 이른바 ‘렌치 어택’ 데이터베이스 관리자를 인용해, 보유자와 공격 사례 모두 증가 중이라는 통계를 공유했다. 사용자 레조(Rezo)는 “렛저 인프라를 해킹한 건 아니지만, 외부 인프라 의존이 결국 중앙 집중 리스크로 이어졌다”며, 암호화폐의 물리적 보안 이슈에 대한 구조적 경고를 더했다.

해킹 줄었지만 긴장 상태 지속

펙쉴드에 따르면 2025년 12월 암호화폐 해킹 피해액은 7,600만 달러(약 1,102억 원)로, 전월 대비 60% 감소했다. 그러나 같은 기간에도 5,000만 달러 규모의 주소 변조형 사기(address poisoning), 2,730만 달러의 개인 키 유출, 700만 달러(약 101억 원) 상당의 트러스트월렛 사건 등 굵직한 사건이 이어졌다.

보안 전문가는 “지금은 디지털뿐 아니라 오프라인 보안까지 신경 써야 할 시점”이라며, “정보가 유출된 이들은 피싱 메일 경계는 물론 거주지 변경, 배송지 임시 주소 지정 등도 고려해야 한다”고 조언했다.

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.