업비트 580억 해킹 1년...ETH 34만200개→0.06개

 

국내 암호화폐 거래소 해킹 규모 1위｜업비트 자산으로 충당했지만, 사실상 찾을 길 없어

---

회원 수 300만 명(글로벌 포함), 182개의 암호화폐와 286개의 거래쌍 등은 두나무의 암호화폐 거래소 업비트 3주년 지표 중 일부다. 하지만 이면에는 국내 암호화폐 거래소 해킹 규모 1위라는 주홍글씨가 숨어있다.

지난해 11월 27일 오후 1시 6분 이더리움(ETH) 핫월렛 342,000개(약 580억 원 규모)가 해커의 공격을 받아 자산이 유출된 사건도 내달이면 1년이다. 사건 발생 업비트의 원화 마켓(KRW)에서 1개당 17만 원에 거래됐던 이더리움은 현재 개당 45만6000원에 거래 중이다.

당시 업비트의 핫월렛(0x5e032243d507c743b061ef021e2)에 보관되어 있던 이더리움 34만2000개가 최초로 이동된 해커의 지갑(0xa09871aeadf4994ca12f5c0b6056bbd1d343c029)은 0.06개가 전부다. 치고 빠지는 식으로 지갑 쪼개기와 세탁을 거쳐 단 한 개의 이더리움도 남지 않고 모두 전송했으며, 사실상 회수 불가능한 상태에 이르렀다.

3일 전에 다시 활동을 시작한 업비트 해커1 / 자료=이더스캔

28일 <본지>가 이더리움 익스플로어 이더스캔, 이더플로어, 블록체인닷컴, 비트쿼리 등을 통해 남아있는 이더리움을 확인한 결과 0.061519938854404985 ETH로 집계, 당시 580억 원의 가치는 3만 원도 되지 않는 것으로 밝혀졌다. 이는 지난해 11월 27일에 해커의 지갑으로 전송된 이후 하루 만에 증발한 것이다.

이더스캔에 따르면 해커의 지갑을 업비트 해커(Upbit Hacker)로 코드 네임을 지정한 이후 거래 성사 횟수 118회, 세탁을 위해 사용한 암호화폐는 코인베네 코인(CONI)까지 포함해 57종이다. 특히 Upbit Hacker 1로 시작한 코드 네임은 이더리움 쪼개기를 위한 815개의 지갑 주소, 세탁을 위한 위장 거래는 1,374회다.

사건 발생 직후부터 보름 가까이 추적한 웁살라 시큐리티에 따르면 바이낸스, 후오비, Switchain, 60cek, 라토큰(LATOKEN) 등 글로벌 암호화폐 거래소에 입금된 정황을 포착한 게 전부다. 현재 웁살라 시큐리티는 '업비트 해킹 상황 게시판'을 폐쇄했으며, 일부 익스플로어 사이트와 포렌식 기업을 중심으로 업비트에서 유출된 이더리움의 경로를 추적 중이다.

이더스캔의 '업비트 해커1' 코드 네임은 815개까지 늘었다. / 자료=이더스캔

업비트의 자산으로 충당했지만, 이더리움 해킹은 여전히 진행 중이다. 국내 수사기관의 종합 발표도 업비트의 상황 종료 안내도 없다. 사건 발생 당시 소위 해커한테 털린 이후 찾을 방법이 없었다는 게 관계자들의 전언이다.

당시 바이낸스를 비롯한 국내외 암호화폐 거래소가 공조 체제를 구축해 적극적으로 협조했다고 밝혔지만, 이들이 협조해서 반환해준 사례가 없다. 일각에서는 '우리만 아니면 돼'라는 배타적인 인식이 강해 강 건너 불구경처럼 관망했다는 분위기가 조성돼 현재까지도 이어지고 있다.

업비트 580억 해킹 사고는 ISMS 인증과 실명 계좌는 어디까지나 신고제에서 허가제로 전환하기 위한 일종의 단계일 뿐 거래소가 안전하다는 안심보험 수준이 아니라는 의미다. 특히 특금법 통과 전에 발생한 사고지만, 내년 본격적인 시행을 앞둔 상황에서 제2의 업비트처럼 또 사고가 발생할 수도 있다는 위기감이 조성되고 있다.

업비트에서 유출된 이더리움이 최초로 전송된 지갑의 잔액 현황 / 자료=이더블록체인

해커가 업비트가 보유한 이더리움 일부만 노렸고, 빠른 거래를 위해 상대적으로 높은 가스비(1,000 Gwei)를 책정해 트랜잭션의 우선순위를 설정한 의도 자체가 여전히 거래소의 핫월렛이 그들에게 먹잇감인 셈이다.

또한 국내 거래소를 제외한 일부 글로벌 거래소는 고객 신원 확인(KYC)이 일정 수준의 금액 이하는 생략돼 국내외 거래소의 공조 체제 구축도 쉽지 않다.

단지 북한의 소행이라는 미국발 소식만 있을 뿐 어느 사람도 '상황 종료, 범인 체포, 해킹 수법 공개' 등 재발 방지를 위한 대책 마련과 관련 법 제정에 관심을 두지 않는 게 더욱 큰 문제다.

정부와 기업이 엇박자를 내는 사이 투자자 보호는 여전히 뒷전인 모양새다.

업비트에서 유출된 지갑 주소의 일부 / 자료=비트쿼리