트리플에이 핫월렛서 970만 달러 유출 의심…이더리움 한 지갑에 5227 ETH 집결

싱가포르 소재 스테이블코인 결제 인프라 업체 트리플에이(Triple-A)의 핫월렛(상시 온라인 지갑)에서 이더리움, 트론(TRON), TON, 솔라나 등 최소 4개 네트워크에 걸쳐 970만 달러 상당의 자산이 빠져나간 것으로 의심된다. 온체인 분석가 스펙터(Specter)가 이상 거래를 처음 포착했고, 이후 블록체인 보안업체 페크실드(PeckShield)가 경보를 증폭시키면서 피해 추정 규모가 970만 달러 이상으로 커졌다. 공격자로 추정되는 계정은 탈취한 스테이블코인과 유동자산을 탈중앙화거래소(DEX)에서 교환한 뒤 이더리움으로 자금을 옮겨 한 주소에 집결시킨 것으로 나타났다. 트리플에이는 보도 시점까지 침해 사실을 공식 확인하지 않았다.

온체인 분석가가 먼저 포착한 이상 거래

스펙터가 트리플에이와 연계된 핫월렛에서 벌어진 이상 인출을 처음 발견해 알렸다. 스펙터는 7월 24일(현지시각) 소셜미디어를 통해 트론·이더리움·TON·솔라나 등 여러 체인에 걸쳐 트리플에이 관련 핫월렛에서 지속적인 자금 유출이 발생하고 있다고 밝혔다. 당시 스펙터는 930만 달러 이상이 빠져나가 교환된 뒤 이더리움으로 브리지됐다고 추정했다. 이후 페크실드가 토요일에 발표한 경보를 통해 이 사안을 재차 조명했고, 뒤이은 추정치는 970만 달러 이상으로 늘어났다.

두 매체가 인용한 온체인 데이터에 따르면 피해 규모는 시간이 지나면서 계속 상향 조정됐다. 크립토뉴스(crypto.news)는 확인된 유출 네트워크로 이더리움·솔라나·트론·TON(The Open Network) 등 최소 4개를 지목했고, 일부 보도에서는 폴리곤과 아비트럼(Arbitrum) 거래도 포착돼 피해 범위가 최대 6개 체인까지 확대될 수 있다고 전했다. 뉴스비트코인닷컴(news.bitcoin.com)이 인용한 페크실드 분석은 이더리움, 트론, 폴리곤, 아비트럼, 솔라나, TON 등 6개 체인에서 자금이 빠졌다고 명시했다.

이더리움 한 주소에 5,227 ETH 집결

탈취된 자산의 최종 종착지는 이더리움 위의 한 지갑이었다. 공격자로 추정되는 주체는 각 체인에서 확보한 스테이블코인과 유동자산을 탈중앙화거래소에서 교환한 뒤 이더리움 네트워크로 브리지했다. 이렇게 모인 자금은 0x01F8로 시작하는 단일 주소에 쌓였고, 경보가 발표된 시점 기준 이 지갑에는 약 5,227 ETH(크립토뉴스 집계로는 5,226.66 ETH)가 보관돼 있었다. 당시 시세로 약 970만 달러에 해당하는 규모다.

주목할 점은 자금이 한 번에 옮겨진 것이 아니라 여러 차례로 나눠 이 주소에 도착했다는 사실이다. 뉴스비트코인닷컴은 이런 방식이 과거 여러 체인을 거쳐 자산을 체계적으로 전환한 뒤 한곳에 재집결시킨 다른 악성 행위자들의 패턴과 일치한다고 분석했다. 페크실드는 앞서에도 비슷한 이더리움 집결 사례를 포착한 적이 있다며, 몇 주 전 하데라(Hedera)에서 이더리움으로 525만 달러가 브리지된 의심 사례를 함께 언급했다.

결제 인프라 업체 겨냥한 핫월렛 공격, 패턴은 반복된다

트리플에이는 가맹점이 암호화폐로 결제를 받고 법정화폐로 정산할 수 있도록 지원하는 결제 인프라 업체다. 이 구조상 핫월렛에는 고객 자금과 빠른 처리를 위한 유동 스테이블코인이 순환하며 쌓여 있다. 인터넷에 상시 연결된 핫월렛은 처리 속도가 빠른 대신 오프라인 콜드 스토리지보다 침해 위험에 노출되기 쉽다는 지적이 나온다.

뉴스비트코인닷컴은 트리플에이가 올해 핫월렛 침해를 당한 결제 처리업체·거래소 목록에 새로 이름을 올렸다고 짚었다. 공격자가 핫월렛의 개인키나 잘못 설정된 스마트컨트랙트에 접근해 유동자산을 빠르게 빼낸 뒤, 중앙화 플랫폼이 자금을 동결하기 전에 DEX와 브리지를 거쳐 세탁하는 흐름이 반복되고 있다는 설명이다. 실제로 5월에는 그래비티 브리지(Gravity Bridge)에서 540만 달러가 빠져나가 바이낸스(Binance)를 거쳐 흔적을 지우려던 사례가 있었는데, 이번 트리플에이 사건과 유사한 수법이라는 평가다.

트리플에이 공식 확인 없이 의혹 단계에 머물러

사건 발생 이후 상당한 시간이 지났지만 트리플에이 측의 공식 대응은 나오지 않았다. 뉴스비트코인닷컴에 따르면 침해 정황이 알려진 지 8시간이 지난 시점에도 회사 측 성명은 없었다. 크립토뉴스도 회사가 침해 사실 자체를 확인하지 않았고, 의심스러운 활동이 언제 시작됐는지, 지갑에 어떻게 접근이 이뤄졌는지, 유출된 자산이 트리플에이 자체 자금인지 아니면 기업 고객이나 결제 수령자의 자산인지도 밝히지 않았다고 전했다.

공식 성명과 기술적 조사 결과가 나오기 전까지 이번 사안은 확정된 프로토콜 익스플로잇이 아니라 ‘의심되는 핫월렛 침해’ 단계에 머물러 있다는 게 크립토뉴스의 평가다. 결제 인프라 업체의 핫월렛이 잇달아 표적이 되는 상황에서, 이번 사건이 실제 고객 자금 피해로 이어졌는지, 트리플에이가 어떤 후속 조치를 내놓을지가 관전 포인트로 남아 있다.