콜드카드(Coldcard’s third theft) 3차 해킹에 연루된 것으로 추정되는 해커가 탈취한 비트코인 (BTC) 가운데 약 10%를 THOR체인(THORChain)을 통해 이더리움 (ETH)으로 교환한 정황이 포착됐다. 이로써 새로운 이더리움 자금 흐름이 형성됐지만, 전체 탈취 자금의 약 90%는 여전히 손대지 않은 상태로 남아 있다.
핵심 내용
- 콜드카드 해킹 세 차례 사례에서, 최초 해커 주소에서 확인된 첫 온체인 이동으로 기록됐다.
- 온체인 분석가들은 THOR체인을 거친 자금을 추적해 새로운 이더리움 주소를 특정했다.
- 3차 해킹으로 탈취된 자금 대부분은 여전히 움직이지 않고 있다.
비트코인 자금 이동 현황
갤럭시(Galaxy) 리서치 총괄 **알렉스 손(Alex Thorn)**은 인터뷰에서 공격자가 탈취 비트코인을 이더리움으로 바꾸기 시작했지만, 거래 실패가 반복되면서 여러 건의 스왑 거래가 재시도되고 있다고 설명했다. 이는 세 차례에 걸친 해킹에서 사용된 원래 주소들에서 자금이 실제로 온체인 이동을 보인 첫 사례다.
손은 “해커가 THOR체인을 통해 전액을 스왑하는 데 어려움을 겪고 있는 것으로 보인다. 거래가 계속 환불되고 있고, 해커는 다시 시도하고 있다”고 말했다.
잇단 환불에도 불구하고 공격자는 자금 이동을 포기하지 않고 계속 스왑을 시도한 것으로 관측된다.
손에 따르면 분석가들은 이 같은 스왑 경로를 추적해 새로운 이더리움 주소를 특정했고, 이를 관련 당국과 주요 암호화폐 기업에 공유했다. 크로스체인 이동 이후에도 추적 가능한 흔적을 보존해 둔 셈이다.
관련 기사: 우크라이나, 20개국 지갑 탈취한 100만 달러 규모 암호화폐 사기 적발
알렉스 손의 분석
손은 현재로서는 공격자가 자금 세탁을 위해 추가 믹싱·분산을 시도할지, 아니면 거래소로 직접 자금을 보낼지 불분명하다고 지적했다. 새로 확인된 이더리움 주소의 향후 활용 방식이 수사에서 핵심 변수로 떠오른 셈이다. 기존 탈취 주소가 더 이상 완전히 휴면 상태가 아니라는 점도 이 같은 관측에 힘을 싣는다.
THOR체인을 경유한 뒤에도 분석가들은 이더리움 상의 최종 목적지를 특정하는 데 성공했다. 이번 사례는 네트워크를 가로지르는 크로스체인 이동이 곧바로 온체인 추적을 단절시키지는 않는다는 점을 보여준다.
손의 공개로 거래소와 컴플라이언스 조직은 탈취 자금과 연계된 신규 주소 하나를 추가로 감시할 수 있게 됐다.
갤럭시 리서치는 앞서 콜드카드 익스플로잇으로 최소 1,789 BTC가 8,865개 주소에서 유출됐다고 추산했다. 해당 비트코인의 탈취 당시 가치는 약 1억1,470만 달러로 평가됐다. 갤럭시가 8월 25일에 낸 업데이트에 따르면, 이 가운데 1,561 BTC, 즉 추정 손실의 87.3%가 아직 지출되지 않은 상태로 남아 있는 것으로 분석됐다.
콜드카드 관련 자금은 이미 프라이버시 도구에도 유입된 바 있다. 블록체인 보안업체 CertiK는 8월 보고서에서 64 BTC와 200 ETH가 토네이도 캐시(Tornado Cash)를 포함한 믹서들로 전송됐다고 밝혔다. 또 8월 28일에는 연구진이 의도적으로 보안을 약화시킨 테스트 지갑이 공격자에 의해 모두 탈취되는 것을 포착해, 이번 작전이 최근까지도 활발히 진행 중이었음을 시사했다.
