드리프트 해킹 피해자들, 1센트씩 돈을 돌려받다

$1,000 손실은 오늘 약 $10의 가치

2026년 최대 규모의 암호화폐 탈취 사건 중 하나로부터 6개월이 지난 지금, 드리프트 피해자들은 마침내 돈을 돌려받기 위해 누를 수 있는 버튼을 갖게 됐다. 그러나 오늘 그 버튼을 누르면, 검증된 $1,000 손실은 대략 $10.40으로 돌아온다. 드리프트는 10월 1일 DFX에 대한 청구를 열었다. DFX는 4월 1일 익스플로잇으로 잃어버린 금액을 나타내는 솔라나(Solana) 기반의 회수 토큰이다.

검증된 손실액은 약 2억 9,540만 달러에 달해 그 반대편에서 대기 중인 반면, 회수 풀은 약 311만 달러로 시작했다. 피해자들은 이제 묘한 내기에 직면했다. 달러당 1센트 수준의 지급을 받고 끝내거나, 토큰을 팔거나, 혹은 훨씬 큰 자금이 언젠가 들어오길 바라며 버티는 것이다.

드리프트 재단의 설계는 좋게 말해도 흥미롭다. drift.trade 청구 페이지는 “DFX는 4월 사건에서 검증된 USDT 손실 1달러당 1토큰”이라고 설명한다. 총 공급량은 299,500,810.998 DFX로 고정돼 있으며, 재단은 “추가 DFX는 절대 발행되지 않는다”고 말한다. 현재 풀을 그 방대한 토큰 수로 나누면 계산은 금세 처참해진다. 출시 시점 기준으로 DFX 1개는 약 0.0104 USDT로 상환될 수 있었다.

재단은 선택지를 분명히 제시한다. 보유자는 “Redeem: DFX를 소각하고 USDT를 받기”, “Sell: DFX를 전송하거나 레이디움(Raydium) 같은 2차 시장에서 거래하기”, 또는 “Hold: 입금이 도착하고 공급이 줄어드는 동안 회수 풀에 대한 청구권을 유지하기”를 할 수 있다. 다만 현금화하면 그것으로 끝이다. 웹사이트는 “상환은 최종적이다(Redemptions are final)”라고 명시한다.

풀은 더 커질 것으로 ‘예정’

이 구조의 구원투수는 311만 달러가 최종 회수 풀이 아니라는 점이다. 드리프트가 재구축하고 리브랜딩한 거래소 벨로시티(Velocity)는 일일 순 프로토콜 수익의 일부를 회수 풀로 흘려보낸다. 테더는 최대 1억 2,750만 USDT를 약정했고, 전략적 파트너들은 추가로 2,000만 USDT를 약속했다. 회수된 도난 자산도 풀로 들어올 예정이라고 한다. 하지만 약정은 현금이 아니다.

청구가 열린 뒤 첫 번째 금요일까지 약 216,480 DFX가 상환돼 대략 2,250 USDT로 교환됐고, 벨로시티의 첫 일일 수익 스윕(sweep)은 고작 31 USDT를 보탰다. 대규모 파트너 자금은 아직 들어오지 않은 상태였다. 재단은 이 메커니즘이 기다리는 사람에게 유리하다고 말한다. 재단의 청구 포털 문서에는 “DFX를 규정하는 세 가지 속성은 다음과 같다: 회수 풀은 오직 증가만 하고, 상환 금액은 결코 줄지 않으며, 공급량은 오직 감소만 한다”고 적혀 있다.

만약 상환으로 인해 DFX의 10%가 사라지면, 남아 있는 각 토큰은 향후 예치금의 몫을 대략 11% 더 받게 된다. 청구 기간이 2028년 1월 1일에 종료되면 청구되지 않은 토큰은 소각된다. 그럼에도 드리프트는 수익을 약속하는 데는 신중하다. 청구 포털 문서는 다음을 덧붙인다:

“이 수치는 메커니즘을 설명하기 위한 것이다. 전망이나 약속이 아니다.”

토큰 뒤에 있는 2억 8,500만 달러 탈취 사건

이 모든 장치가 존재하는 이유는 공격자들이 4월 1일 비범한 범행을 성공시켰기 때문이다. 조사관들은 북한과 연계된 그룹이 수개월 동안 퀀트 트레이딩 회사로 가장한 뒤, 드리프트 보안위원회(Security Council) 구성원들을 속여 거래를 사전 서명(pre-sign)하도록 유도했다고 말한다. 약 16:05 UTC에 그 서명들은 공격자에게 관리 권한(administrative control)을 넘겨줬다.

그들은 이어 CVT라는 가치 없는 토큰을 담보로 상장하고, 약 $1에 근접한 인위적 가격을 바탕으로 5억 개 토큰을 예치한 뒤 실제 자산을 인출했다. 체이널리시스(Chainalysis)는 약 2억 8,500만 달러가 빠져나갔다고 추정했으며, 여기에는 약 1억 5,930만 달러의 JLP와 7,140만 달러의 USDC가 포함된다. 탈취 자산은 빠르게 이동했다. 자산은 몇 분 만에 스왑되고 이더리움으로 브리지됐다.

피해자들은 이제 회수에 베팅하고 있다

그 전리품의 대부분은 여전히 손이 닿지 않는 곳에 남아 있다. 드리프트는 9월 30일 기준 약 130,259 ETH가 4개의 이더리움 지갑에 분산돼 있다고 밝혔다. 약 23,094 ETH는 이미 이더리움 믹서 토네이도 캐시(Tornado Cash)를 거쳐 이동했고, 다른 곳에서는 약 920만 달러가 동결됐다고 한다. 동결, 법 집행기관, 또는 공개 바운티를 통해 회수된 모든 자금은 DFX로 흘러들어갈 예정이라고 한다. 바이비트(Bybit)가 운영하는 바운티는 실제로 회수된 자산의 10%를 제공한다.

그 결과 피해자들은 암호화폐 해킹에서 탄생한 가장 기묘한 금융 상품 중 하나를 떠안게 됐다. 손실은 자유롭게 거래 가능한 토큰이 되었고, 풀에 현금이 유입되고 경쟁 청구가 사라질수록 상환 가치는 상승한다. 재단은 이 거래를 간명하게 요약한다. “그것은 시장이 결정할 일이다.” $1,000을 잃은 사람에게 시장이 내린 초기 답은 약 $10.40이다.