도난당한 암호화폐의 진짜 행방: 45일간의 자금세탁 과정 속으로

6년 동안 160억 달러 이상 사라졌다

암호화폐 도난은 더 이상 디지털 자산 업계가 서서히 벗어나고 있는 일시적인 현상이 아니라, 그 자체로 하나의 산업이 되었습니다. 지금까지 지난 5년 동안만 해도 온체인 분석가들은 급증하는 도난 총액을 집계해 왔습니다(2022년 37억 달러, 2023년 17억 달러, 2024년 22억 달러, 2025년 34억 달러)로, 그 증가세는 멈출 기미를 보이지 않고 있다.

사실, 작년 총 피해액의 거의 절반이 단 한 건의 사건, 즉 2025년 2월 발생한 바이비트(Bybit) 해킹 사건에서 비롯되었다는 점을 언급할 필요가 있다. 이 사건에서 공격자들은 거래소의 콜드 월렛 서명 절차를 해킹하여 15억 달러를 탈취했으며(이는 역사상 최대 규모의 암호화폐 도난 사건으로 기록되었다).

보안 업체 Blockaid에 따르면 올해 상반기 상황도 놀랍도록 유사했으며 사상 최다인 212건의 사고로 총 약 11억 달러의 피해가 발생했다. 가장 큰 규모의 단일 피해는 4월 19일 리스테이킹 프로토콜 켈프DAO(KelpDAO)를 노린 공격(2억 9,300만 달러)이었으며, TRM 랩스는 지난 6개월 동안 207건의 사건을 집계했는데, 이는 전년 동기 대비 두 배 이상 증가한 수치다.

45일간의 수법

앞서 언급한 탈취 사건 이후 일반적으로 일어나는 일들은 이제 거의 대본처럼 정형화되었으며, 연구원들은 대략 45일 동안 세 단계로 진행되는 독특한 자금 세탁 주기를 설명하고 있다.

0일차부터 5일차까지는 속도가 가장 중요하며, 도난당한 토큰은 일반적으로 탈중앙화 금융(DeFi) 프로토콜을 통해 교환되고(활동량이 최대 370%까지 급증함), 믹싱 서비스로 이동됩니다. 믹싱 서비스는 코인을 한데 모아 섞어 출처와 목적지 간의 연결 고리를 끊습니다. 6일차부터 10일차까지는 자금이 크로스체인 브리지를 통해 체인을 넘나들며, 고객 신원 확인(KYC) 절차가 제한적인 거래소를 거쳐 이동합니다.

그 후, 대략 20일차부터 45일차까지 코인은 KYC가 없는 거래소, 즉시 환전 서비스, 중국어권 장외(OTC) 네트워크, 그리고 제재 대상인 Huione 마켓플레이스와 같은 보증 서비스를 통해 소액 단위로 현금화됩니다. 결과적으로, 이 주기가 끝날 무렵 자금은 수많은 체인, 믹서, 관할 구역을 거치게 되어, 출처 추적이 여전히 가능하더라도(블록체인은 결코 잊지 않기 때문에) 자금 회수는 거의 불가능해집니다. 참고로, 바이빗(Bybit)의 경우 가장 뛰어난 화이트햇 전문가들을 보유하고 있었음에도 불구하고, 도난당한 자금 중 회수된 비율은 5% 미만에 그쳤습니다.

2026년: 해킹은 늘어나고, 탈취액은 줄어든다

올해 공격자들은 표적을 확대했는데, KelpDAO와 같은 프로토콜 악용 사례와 더불어 4월 한 달 동안만 6억 4,167만 달러가 도난당하며 월간 기록을 경신했기 때문이다. 라자루스(Lazarus)와 연계된 북한 해커 집단이 상반기 손실의 약 55%를 차지했으며, 피싱 및 개인 지갑 탈취를 포함한 CertiK의 집계에 따르면 이 기간 동안 344건의 사건으로 총 13억 2천만 달러의 피해가 발생했습니다.

가장 최근에는 콜드카드(Coldcard) 하드웨어 지갑 악용 사례가 공격 수법이 비트코인 분야로도 확대되고 있음을 보여주었습니다. 취약한 시드(seed)를 사용한 지갑에서 약 1억 1,600만 달러를 탈취한 후, 공격자는 코인을 통합하기 시작했고, 관찰자들은 그 모든 이체 경로를 지켜보았습니다. 이 사건을 계기로, 투명성과 불가역성과 같은 비트코인의 핵심 차별화 요소들은 거의 하룻밤 사이에 양날의 검이 되어버렸습니다. 도난당한 코인의 이동 경로는 누구나 볼 수 있었지만, 그 코인을 되돌릴 수 있는 사람은 아무도 없었기 때문입니다.

회복이 거의 불가능한 이유

이러한 공격이 발생할 때, 반복적으로 신뢰할 수 있게 효과를 발휘해 온 유일한 수단은 중앙화된 스테이블코인 동결입니다. 테더(Tether)와 서클(Circle)은 계약 수준에서 주소를 블랙리스트에 올릴 수 있어, 도둑들이 여전히 보유하고 있는 USDT나 USDC를 즉시 동결시킬 수 있습니다. 바로 이 때문에 정교한 공격자들은 침해 발생 후 몇 분 만에 훔친 스테이블코인을 이더리움이나 비트코인으로 전환하며, 동결 범위에서 벗어나기 위해 가격 변동 위험을 감수합니다.

이는 의미심장한 비대칭성을 드러냅니다. 즉, 검열 저항성이 가장 높은 자산일수록 세탁하기 가장 쉽고, 동결되기 쉬운 자산일수록 회수하기 가장 쉽다는 것입니다. 모든 자금 세탁 전략은 궁극적으로 ‘일시 정지 버튼’을 누를 수 있는 누군가가 눈치채기 전에, 잡힐 수 있는 자산을 잡을 수 없는 자산으로 전환하기 위한 경쟁입니다.

암호화폐 절도 사건의 불편한 현실은 예방이 거의 전부를 차지한다는 점입니다. 거래소와 분석 업체는 규정을 준수하는 플랫폼을 거치는 자금을 동결할 수 있는데, 바로 이 때문에 자금 세탁자들은 아무도 동결할 수 없는 디파이(DeFi)와 믹서 서비스를 우선적으로 이용합니다.

믹서나 Huione과 같은 서비스에 대한 제재는 비용을 증가시키지만, 자금 흐름을 차단하기보다는 단순히 후속 서비스로 밀어낼 뿐입니다. 또한 45일이라는 시한은 국경을 넘는 법적 절차가 시작되기도 전에 코인이 이미 이동 경로를 모두 마친 경우가 대부분임을 의미합니다.

사용자와 플랫폼이 얻어야 할 교훈은, 일단 자금이 도난당하면 그 압도적 다수가 결코 돌아오지 않는다는 점입니다. 게다가 공격자들의 사이클은 규제 대응보다 훨씬 빠르며, “암호화폐 도난이 감소하고 있다”는 헤드라인이 등장하는 해마다, 다음 10억 달러 규모의 반례가 이미 진행 중입니다. 블록체인은 모든 것을 기록하지만, 아무것도 돌려주지 않습니다.