해커는 왜 훔친 토큰을 가장 먼저 ETH로 바꿀까…동결 불가능한 자산과 속도 때문

바이낸스 해킹 직후 테더(Tether)와 서클(Circle)이 스테이블코인을 동결(특정 주소의 토큰 이동을 막는 조치)해 약 30억 달러(약 4조 원, 1달러 1,344원 기준)가 묶였다. 그러나 공격자 지갑에 남은 47만 900 ETH는 동결 대상에서 빠졌다. 트론위클리에 따르면 해커들은 훔친 토큰을 가장 먼저 이더(ETH)로 바꾸는데, 이는 이더에 대한 신뢰가 아니라 통제권과 속도 때문이다.

바이낸스는 10월 29일(현지시각) 발생한 사건으로 약 63억 4,000만 달러(약 8조 5,000억 원) 규모 자산이 영향을 받았다고 11월 3일 보고서에서 추산했다. 피해는 회사가 감당하겠다는 입장이다. 이 글에서는 이미 알려진 사건 개요보다 자금이 어떻게 움직였는지에 초점을 맞춘다.

동결된 30억 달러와 동결 불가능한 ETH

트론위클리는 세탁 과정의 핵심 차이를 ‘동결 가능 여부’로 설명했다. 테더는 주소 하나를 블랙리스트에 올려 USDT 이동을 막을 수 있다. 서클도 USDC가 담긴 주소를 블랙리스트에 올려 입출금을 멈출 수 있다. 일단 동결되면 발행사가 개입하지 않는 한 잔액은 움직이지 못한다.

반면 네이티브 ETH(이더리움 블록체인 자체의 기본 자산)에는 발행사도, 관리자 키도, 동결 기능도 없다. 이 매체는 어떤 회사도 프로토콜 차원에서 ETH 잔액을 막을 수 없다고 짚었다. 개입 지점은 훨씬 뒤다. 해당 자금이 규제를 받는 거래소에 입금을 시도하는 순간 입금이 거절되는 방식뿐이다.

블록체인 데이터 업체 비트쿼리(Bitquery)가 모은 발행사 성명에 따르면 테더는 15억 6,700만 달러어치 USDT를 즉시 동결했다. 서클이 동결한 USDC는 8억 2,300만 달러다. 보도는 이를 합쳐 스테이블코인 동결 규모를 약 30억 달러로 제시했다. 같은 시점 공격자 지갑의 ETH 47만 900개는 블랙리스트에 오르지 않았다.

머카도 비트코인 공격에서도 되풀이된 수법

트론위클리는 같은 패턴이 바이낸스 해킹과 머카도 비트코인(Mercado Bitcoin) 공격에서 모두 나타났다고 전했다. 두 사건 모두 공격자가 첫 몇 시간 안에 토큰을 전부 ETH로 옮겼다는 것이다. 훔친 코인을 쌓아 두거나 곧바로 현금화하지 않는다는 점이 공통이다.

머카도 비트코인 사례는 수치가 구체적이다. 머카도 비트코인은 1,100만 달러가 넘는 스테이블코인을 동결했다. 그러나 아캄 인텔리전스(Arkham Intelligence)에 따르면 공격자는 다른 암호화폐 1,050만 달러어치를 338번의 스왑(토큰 교환)을 거쳐 4,605 ETH로 바꿨다. 동결 가능한 자산은 묶였고 동결이 안 되는 자산은 빠져나간 셈이다.

이 매체는 이런 선택이 ETH를 보유하고 싶어서가 아니라 자금을 더 안전하게 움직이기 위한 것이라고 설명했다. 투자자 입장에서도 ETH로의 전환은 시장 선호가 아니라 암호화폐 자산 구조에 대한 합리적 대응이라는 평가다.

유동성·속도·THORChain 경로

ETH가 첫 목적지가 되는 이유는 동결 문제만이 아니다. 트론위클리는 대형 해킹 대부분이 이더리움이나 EVM 호환 체인(이더리움 가상머신과 호환되는 블록체인)에서 일어나고, 여기서는 ETH가 수수료(가스) 자산이라고 짚었다. 브리지(체인 간 자산 이전) 없이 곧바로 ETH로 바꾸면 지연이 줄어든다. 수사 당국이 몇 분 안에 움직이는 상황에서는 속도 자체가 방어 수단이 된다.

유동성도 이유다. ETH는 거래 풀이 깊어 소형 알트코인보다 슬리피지(주문 규모 때문에 체결가가 불리하게 밀리는 현상)가 작다. 큰 금액을 모으기 쉽고 이후 쪼개거나 브리지하거나 다른 자산으로 바꾸는 관문으로도 쓴다. 바이낸스 사건에서 조사자들은 SOL에서 USDC, ETH를 거쳐 비트코인으로 이어지는 흐름을 추적했다. 마지막 단계에서는 거래소 계정이 필요 없는 크로스체인 프로토콜 THORChain이 쓰였다.

코인텔레그래프가 인용한 블록체인 분석업체 체이널리시스 관련 보도도 바이낸스 해커들이 훔친 솔라나 토큰을 비트코인으로 바꾸기 시작했다고 전했다. 두 보도의 경로는 SOL을 거쳐 ETH, 비트코인으로 넘어가는 흐름이라는 점에서 방향이 같다.

디파이와 시장으로 번진 충격

해킹 여파는 탈중앙 대출 시장에도 닿았다. 크립토슬레이트에 따르면 공격자와 연결된 지갑이 에이브 대출 프로토콜에 USDT 6,000만 개를 공급하고 래핑이더 1만 9,762개를 빌렸다. 당시 가치는 약 4,460만 달러다. 에이브의 위험 관리 서비스 업체 LlamaRisk는 10월 30일 평가에서 이 포지션이 과담보 상태이며 정상 청산 대상이어서 공급자를 위험에 빠뜨리지 않는다고 판단했다.

그래도 에이브는 비상 조치를 취했다. 가디언이 V3 리저브 175개와 V4 리저브 117개를 동결했다. 신규 공급과 대출은 막혔지만 상환·인출·청산은 가능했다. 인출이 몰리면서 일부 대형 리저브의 이용률은 92~100%까지 치솟았고 대출 금리도 올랐다. 해당 리저브는 10월 31일까지 재개됐다. LlamaRisk는 11월 2일 업데이트에서 일부 비스테이블코인 담보 설정이 복원됐다고 밝혔다. 다만 USDT·USDC·USDT0의 담보 대출 한도는 영향받은 구성에서 여전히 0이었다.

수치로 보면 에이브의 예치 총액은 10월 27일 174억 3,500만 달러에서 11월 3일 164억 500만 달러로 약 10억 3,000만 달러 줄었다. 리도는 225억 5,700만 달러에서 218억 4,400만 달러로 7억 1,300만 달러 감소했다. 다만 크립토슬레이트는 토큰 가격이 내려도 TVL이 줄어들 수 있어서 자본 이탈이나 지급 불능을 단정할 수 없다고 선을 그었다.

스테이블코인 시장도 위축 중이었다. DeFiLlama 대시보드 기준 시가총액은 11월 3일 2,938억 달러로 30일간 100억 달러 넘게 줄었고, 이 가운데 USDT와 USDC 몫이 약 84억 달러로 추정된다. 크립토슬레이트는 감소 흐름이 해킹 이전부터 시작됐다고 덧붙였다. 별도 시계열에서는 10월 4일 3,088억 달러에서 10월 27일 3,033억 달러로 내렸다.

거래소·규제·투자자가 받아든 과제

시장은 일단 충격에서 반등하는 모습이다. 코인텔레그래프에 따르면 비트코인은 해킹 직후 7만 7,000달러 아래로 밀렸고 BNB는 24시간 동안 8% 넘게 하락했다. 수요일 전체 시가총액은 24시간 전보다 2% 올라 약 2조 6,300억 달러가 됐다. 같은 날 주간 저점은 약 2조 5,500억 달러였고 10월 28일 수준과는 약 1,000억 달러 차이가 났다.

그레이스케일의 리서치 책임자 잭 팬들은 11월 3일 보고서에서 이번 사건이 신뢰에 일시적 차질일 수 있다고 봤다. 미국 상장지수상품이 쓰는 기관 수탁의 중요성도 강조했다. 비트와이즈의 리서치 책임자 앙드레 드라고슈(André Dragosch)는 미국 현물 비트코인 ETF 자금 유출이 기관 심리의 구조적 변화가 아니라 단기 위험회피 환경과 관련 있다고 코인텔레그래프에 말했다.

트론위클리는 업계에 던지는 숙제도 정리했다. 거래소 간 동결 공조는 훔친 자금 일부를 지킬 수 있다. 그러나 ETH나 비트코인으로 바뀐 금액은 막지 못한다. 그래서 지갑 스크리닝(의심 주소 선별)과 정보 공유가 이 단계의 실질적 대응 수단이 된다.

규제 측면에서는 중앙화 스테이블코인이 컴플라이언스(준법 감시) 접점을 제공하고 네이티브 자산은 그렇지 않다는 격차가 부각된다. 이 매체는 이 격차가 미국 지니어스법 등 향후 발행·동결 권한 규정 논의에 영향을 줄 수 있다고 했다. 이 법은 인가받은 발행사가 동결 명령을 따르도록 의무화한다. 모든 스왑이 공개 블록체인에 남기 때문에 아캄·체이널리시스·엘립틱 같은 업체가 추적할 수 있다는 점도 짚었다. 이 매체는 거래소·발행사·수사기관 공조로 초기 스왑의 생존 시간이 짧아지고 크로스체인 프로토콜에도 FBI가 THORChain을 압박한 것처럼 스크리닝 도구 도입 압력이 커질 것으로 내다봤다.