크립토닷컴, 1330억 원 규모 해킹 피해 은행 지목

크립토닷컴은 1330억 원 이상의 암호화폐 자금이 크라켄, 크립토닷컴, OKX 계정에서 이체된 사건과 관련해 자금을 차단했다고 밝혔다. 이는 블록체인 분석가 ZachXBT가 11월 1일부터 4일 사이에 발표한 보고 내용과 일치한다. ZachXBT는 프렌치 은행 크레디트 무텔 아르케아(Credit Mutuel Arkea)가 암호화폐 거래소 계정을 통해 1330억 원 이상의 자금을 유출당한 것으로 보고 있으며, 이는 EU의 암호화폐 규제 프레임워크인 MiCA 기준으로 신청한 기관의 자금이 타격을 입었다는 점에서 주목된다. 이 사건은 11월 1일부터 4일 사이에 발생한 것으로 추정되며, 크라켄과 크립토닷컴은 해당 사건과 관련된 계정을 제한하거나 자금 이체를 차단했다고 확인했다.

블록체인 분석 기업 비트쿼리(Bitquery)는 1088억 원 상당의 자금이 크라켄, 크립토닷컴, OKX 계정에서 인출된 것으로 추적했으나, 전체 손실 규모의 정확한 확인은 불가능하다고 밝혔다. ZachXBT는 "이 사건은 금융기관의 내부 보안이 약한 경우를 보여주며, 특히 OTC(장외거래) 활동을 고려하면 실제 손실 규모는 더 클 수 있다"고 지적했다. 이는 기존의 해킹 사건과 달리, 은행이 암호화폐 서비스를 준비 중이던 상황에서 발생한 점에서 특이성을 띤다.

프렌치 은행 크레디트 무텔 아르케아는 11월 4일 공식 성명을 통해 사이버 공격으로 인해 사기성 거래가 가능해졌다고 밝혔으나, 고객 자금에는 영향이 없었다고 설명했다. 은행 측은 "이 사건은 금융기관의 재정적 안정성에 영향을 주지 않을 정도의 규모로 평가되고 있다"고 덧붙였다. 그러나 ZachXBT는 이 은행이 공격 기간을 다일간으로 보고 있으며, 공격이 지속된 점을 고려하면 피해 규모는 더 클 수 있다고 분석했다.

ZachXBT는 공격이 북한의 라자루스 그룹(Lazarus Group)이 수행한 것이라고 보지 않는다며, 이들의 이동 방식과 다른 점을 근거로 제시했다. 그는 "이번 공격은 서유럽의 대규모 금융기관이 악용된 것으로 보이며, 현재는 은폐 조치가 진행 중이다"고 주장했다. 이는 공격이 은행 내부 시스템의 약점을 노린 것으로 보이며, 은행이 공격 사실을 충분히 공개하지 않아 수사기관이 300억 원 상당의 자금을 동결하지 못했다고 지적했다.

크레디트 무텔 아르케아는 암호화폐 사업 진출을 준비 중이던 상황에서 이번 사건이 발생했다. 은행은 암호화폐 관련 서비스를 내년 상반기 중 도입할 계획을 세우고 있었으며, 이 과정에서 내부 시스템과 거래소 간 연계 테스트를 진행 중이었다고 알려졌다. 특히, OTC(장외거래) 기능을 포함한 시스템이 테스트 중이었으며, 이는 공격자가 내부 시스템의 인증 흐름을 악용할 수 있는 여지를 제공했다는 점에서 주목된다.

ZachXBT는 이번 사건의 공격 시점이 11월 1일 오전 9시 23분 29초부터 시작된 것으로 추정하고 있다. 이 시간대는 은행의 내부 시스템과 거래소 간 자금 이체를 위한 인증 프로세스가 활성화된 시점과 일치한다. 공격자가 이 시간대에 일련의 인증 요청을 연속으로 전송한 것으로 분석되며, 이는 은행의 보안 모니터링 시스템이 정상적으로 작동하지 않았음을 시사한다. 공격이 지속된 기간은 최소 23시간 29분으로, 이는 단순한 해킹이 아니라 계획적이고 지속적인 접근을 의미한다.

현재 크립토닷컴은 자금 이체 차단 조치를 취한 후, 해당 자금이 다시 이동하지 않도록 블록체인 상에서 추적 중이다. 이 과정에서 크립토닷컴은 자체 분석 시스템을 통해 자금의 이동 경로를 실시간으로 추적하고 있으며, 이는 이번 사건이 단순한 해킹이 아니라 조직적이고 정교한 조작일 가능성을 높인다. 이는 은행의 내부 시스템과 거래소 간 보안 인프라의 격차를 다시금 부각시키고 있다.

현재 크레디트 무텔 아르케아는 피해 규모를 정확히 산정 중이며, 공격이 발생한 시점과 경위에 대해 추가 조사 중이다. 크립토닷컴은 자금 이체를 차단한 후, 해당 자금이 다시 이동하지 않도록 조치를 취했다고 밝혔다. 이 사건은 암호화폐 거래소와 금융기관 간의 보안 격차를 다시금 부각시키며, 금융기관의 디지털 자산 관리 역량에 대한 심층적 검토를 요구하고 있다.