거래소 예치금 급증과 오래된 BTC 이동으로 콜드카드 도난 피해액이 8,800만 달러로 급증

세 번째 파동으로 피해 규모 확대

갤럭시 리서치는 X를 통해, 분석 시점 기준으로 세 차례로 추정되는 파동으로 약 4,585개의 주소에서 자금이 유출되었으며, 약 8,860만 달러 상당의 비트코인이 탈취되었다고 밝혔다. 이 연구 그룹은 이번 조사 결과가 예비적이며 전적으로 공개된 비트코인 블록체인 데이터에 기반한 것임을 경고했다. ‘콜드카드 스윕 워치(Coldcard Sweep Watch)’라는 또 다른 대시보드는 토요일 오후 5시(EDT) 기준 도난 규모를 1,158.8480 BTC로 집계하고 있다.

갤럭시의 연구진에 따르면, 첫 번째 파동이 가장 규모가 컸으며, 7월 30일 41분 동안 1,195개의 주소에서 1,082.65 BTC를 탈취했다. 두 번째 작전은 다음 날 1,478개의 주소에서 76.16 BTC를 탈취했다. 세 번째 공격은 7월 31일부터 8월 1일까지 이어졌으며, 1,912개의 주소에서 약 208 BTC를 탈취했다.

이 세 번째 작전은 앞선 두 차례의 단순한 연장선처럼 보이지 않았습니다. 1차 및 2차 파동은 소수의 수집 및 보유 주소를 통해 자금을 몰아넣는 방식이었습니다. 반면 3차 작전은 피해자들의 자금을 293개의 별도 P2WSH 금고로 보냈는데, 이는 코인이 이동할 때까지 지출 조건을 숨길 수 있는 비트코인 주소 유형입니다.

이러한 개별 금고 구조로 인해 외부 관찰자가 자금을 한데 묶어 파악하기가 더 어려워집니다. Galaxy는 이러한 변화가 최초 공격자가 첫 번째 자금 수거 작전이 공개된 후 작전을 재구성한 것일 수도 있고, 다른 세력이 동일한 취약점을 가진 주소 풀을 발견한 것일 수도 있다고 설명했습니다. 블록체인 기록만으로는 어느 설명이 맞는지 판단할 수 없습니다.

갤럭시는 이 활동을 2021년 3월 17일에 배포된 취약한 코인카이트(Coinkite) 콜드카드 펌웨어 버전과 연관 지었다. 영향을 받은 코인 중 그 펌웨어 버전 이전에 생성된 것은 없었으며, 피해자 주소의 중앙값은 약 3.5년 동안 비활성 상태를 유지해 왔는데, 이는 장기 콜드 스토리지에서 예상되는 행동 양상과 일치한다.

거래소 입금, 두 번째 신호로 부상

연구진이 의심되는 도난 사건을 분석하는 동안, 중앙화된 암호화폐 거래소들은 7월 31일 비트코인 입금이 급증한 것으로 기록되었습니다. Timechainindex.com의 Sani가 공유한 데이터에 따르면, 당일 거래소 순유입량은 11,163 BTC에 달했습니다.

리버(River)는 약 3,679 BTC를 수령했으며, 이어 바이낸스(Binance)가 3,224 BTC, 크라켄(Kraken)이 2,848 BTC, OKX가 1,291 BTC를 수령했다. 중앙화된 거래소들은 신원 미상의 주소들로부터 총 15,205 BTC를 수령했으며, 이로 인해 단 하루 만에 보고된 보유량이 대폭 증가했습니다.

대규모 거래소 유입은 종종 주목을 받는데, 이는 거래 플랫폼에 예치된 코인이 매도, 담보, 또는 내부 보관 이전을 위해 준비된 것일 수 있기 때문이다. 이 데이터만으로는 7월 31일 입금이 콜드카드 사용자, 공격자, 또는 해당 사건에 직접 대응한 누군가로부터 온 것임을 입증할 수는 없다.

그럼에도 시점은 상당히 주목할 만합니다. 보안 위협은 보유자들이 저장 방식을 재조정하거나, 코인을 거래소로 이동시키거나, 더 이상 신뢰하지 않는 지갑 설정을 포기하도록 확실히 유도할 수 있습니다. 또한 이는 관련 없는 기관 간 이체, 고객 예치금, 거래소 장부 정리와 동시에 발생할 수 있어, 유입 급증은 중요하지만 결정적인 증거는 아닙니다.

수면 상태에 있던 수많은 비트코인이 이동하기 시작하다

Bitcoin.com News가 btcparser.com에서 수집한 통계에 따르면, 2010년부터 2017년 사이에 생성된 수많은 주소가 9년에서 16년 동안 비활성 상태를 유지하다가 코인을 이동하기 시작하면서 세 번째 동향이 나타났습니다. 7월 30일부터 8월 1일까지 확인된 거래량은 10 BTC 및 30 BTC 규모의 반복 이체를 포함해 총 약 306 BTC에 달했다. 2010년 7월 2일에 생성된 한 주소는 50 BTC가 넘는 오래된 코인베이스 거래를 이동시켰다. 그 밖의 거래로는 2014년 생성된 주소에서 37.8 BTC가 이체된 것과, 2017년 7월 29일에 생성된 세 개의 지갑에서 동시에 이루어진 일련의 이체가 포함되었다. 이 세 지갑은 동일한 블록 내에서 37.5 BTC와 두 건의 30 BTC 이체를 각각 수행했다.

현재 이용 가능한 데이터만으로는 이러한 휴면 지갑의 활동을 콜드카드(Coldcard) 해킹 사건과 직접적으로 연결 지을 수 없습니다. 실제로 갤럭시 리서치(Galaxy Research)는 의심되는 피해자들의 코인이 모두 2021년 취약한 펌웨어가 출시된 이후에 생성된 반면, 최근 활동이 포착된 휴면 지갑 중 상당수는 콜드카드가 등장하기 수년 전부터 비트코인을 보유하고 있었다고 상세히 밝혔습니다.

그러나 사니(Sani)가 보고한 거래소 활동과 마찬가지로, 오랫동안 비활성 상태였던 비트코인(BTC) 보유자들은 자신의 보안 설정을 재검토하고 자금을 수탁 서비스를 포함한 대안으로 옮기고 있을 수 있습니다.

현재까지 알려진 바에 따르면, 갤럭시 리서치는 첫 두 차례의 공격에서 발생한 7개의 보유 주소와 세 번째 공격에서 발생한 293개의 금고를 모니터링하고 있다고 밝혔습니다. 해당 금고에서 첫 인출이 이루어지면 관련 스크립트가 노출될 수 있으며, 여러 주소에서 동일한 서명 키나 지출 구조가 나타나는지 여부가 드러날 수 있습니다.

기사 작성 시점 기준, 온라인 시장 심리는 여전히 극심한 약세 기조를 보였으며, BTC는 코인당 정확히 62,326달러로 63,000달러 아래에서 거래되고 있다.