크레디트 뮤투엘 아르케아 사이버 공격: 1억 3,300만 달러가 암호화폐 거래소로 유입된 것으로 확인

크레디 무튀엘 아르케아, 사이버 공격 확인 및 송금 중단

자산 규모 약 2,380억 달러(2,115억 유로)에 달하는 프랑스의 거대 은행이 10억 단위 규모의 암호화폐 자금 세탁 수사 중심에 섰습니다. 크레디 뮈투엘 아르케아는 수요일 해킹 사실을 인정하며, 공격자들이 무단 거래를 실행했다고 설명했습니다.

이 은행은 11월 4일 공식 보도자료를 통해 다음과 같이 밝혔다:

“크레디 뮈투엘 아르케아는 사기 거래가 이루어지게 한 사이버 공격의 표적이 되었음을 발표합니다.”

이 은행은 규제 당국에 이를 통보했으며, 보안팀이 추가 손실을 방지하기 위해 대응하는 동안 특정 송금 서비스를 일시적으로 중단했다. 은행 측은 “이번 사건은 해결되었으며 현재 통제되고 있다”고 밝히며, 추가 검증 절차를 거친 후 업무가 점진적으로 재개되고 있다고 설명했다.

그러나 이 기사를 작성하는 시점에서 해당 기관은 정확한 재정적 손실 규모를 공개하지 않았으며, 이에 따라 수사 당국의 추정치는 아직 확인되지 않은 상태다.

ZachXBT, 암호화폐 거래소를 통해 1억 3,300만 달러 추적

이 사건은 11월 2일, 가명의 블록체인 탐정인 ZachXBT가 신원 미상의 유럽 기관이 중앙화 거래소에서 1억 600만 달러 이상을 인출한 사실을 지적하면서 대대적으로 드러났다. 추가 추적 결과 약 2,700만 달러가 더 발견되어, 의심되는 총액은 1억 3,300만 달러를 넘어섰다.

블록체인 분석 기업 비트쿼리(Bitquery)는 크라켄(Kraken), 크립토닷컴(Crypto.com), OKX와 관련된 약 1억 880만 달러 규모의 USDC 인출 내역을 독자적으로 추적했습니다. 이 회사의 조사 결과, 약 21시간 동안 15개의 지갑으로 전송된 178건의 거래가 확인되었습니다. 두 조사 기관의 수치는 추적 범위가 서로 다르므로 합산해서는 안 됩니다.

Fortuneo 자금은 어떻게 암호화폐 네트워크로 유입되었는가?

프랑스 언론인 그레고리 레이몬드(Grégory Raymond)는 이번 도난 사건이 암호화폐 거래소 해킹이 아닌, 아르케아(Arkéa)의 온라인 뱅킹 자회사인 포르투네오(Fortuneo)를 통해 시작된 것으로 추정된다고 보도했다. 사기범들은 위조된 신원을 이용해 개설한 거래소 계좌로 무단 법정화폐 이체를 지시한 것으로 알려졌다. 입금된 자금은 디지털 자산으로 전환된 후 인출되었다.

은행 인프라에 접근한 정확한 방법은 아직 확인되지 않았다. 수사관들은 11월 1일 밤부터 2일 새벽 사이에 유니스왑X(UniswapX)를 포함한 거래를 통해 약 6,300만 달러 상당의 스테이블코인이 27,553 이더(ETH)로 교환된 사실을 확인했다.

이후 자금 이동은 인스턴트 스왑 서비스와 프라이버시 코인 모네로(XMR)를 경유한 것으로 알려졌으며, 이로 인해 최종 수취인을 파악하는 작업이 복잡해졌습니다. ZachXBT는 신속한 정보 공개가 이루어지지 않은 점을 비판하며, 동결 대상이 될 수 있는 3,000만 달러 이상의 자금이 이미 직접적인 회수 경로를 벗어나 이동했을 가능성이 있다고 지적했습니다.

크레디 뮈투엘 아르케아(Crédit Mutuel Arkéa) 고객들의 자금은 안전한가?

해당 기관은 예금자들이 이번 공격으로 인한 재정적 손실을 부담하지 않을 것이라고 밝혔다. “예금자들의 이익은 완전히 보호되며, 자산 보호는 최우선 과제입니다.” 11월 4일 성명에서는 피해 금액이 “그룹의 재무 건전성과 안정성을 훼손할 정도는 아니다”라고 덧붙였다.

580만 명 이상의 회원과 고객에게 서비스를 제공하는 이 협동조합 은행 그룹은 또한 이번 사건 이후 발생할 수 있는 피싱 시도에 대해 경고했다. 보안 팀은 계속해서 사태의 여파를 평가하고 보안 조치를 강화하고 있으며, 은행 측은 추가 업데이트를 제공하겠다고 약속했다. 이번 사건은 암호화폐 자금 세탁 작전이 블록체인 인프라 침해보다는 사기성 일반 은행 송금에서 시작될 수 있음을 보여준다.