크립토 결제 처리업체 코인즈바이(Coinsbuy)가 8월 9일(현지시각) 크로스체인 해킹을 당해 최소 790만달러(약 112억원, 1달러 1,417원 기준)를 도난당했다. 온체인 조사관 스펙터애널리스트(SpecterAnalyst)는 이더리움과 TRON 지갑에서 동시에 자금이 빠져나갔다고 전했다. 코인즈바이는 피해를 본 고객 자금을 자체 보유금으로 전액 보전했다고 밝혔다. 회사는 공격자 신원 확인에 10만달러 현상금을 내걸었고, 도난 자금 일부는 추적이 어려운 프라이버시 코인 모네로(Monero, XMR)로 전환되고 있다.

5달러 테스트 거래로 시작된 크로스체인 공격

스펙터애널리스트에 따르면 공격은 8월 9일 오후 1시(UTC, 한국시간 같은 날 오후 10시) 무렵 시작됐다. 공격자는 5USDT짜리 소액 테스트 거래를 먼저 실행한 뒤, TRON 지갑 8곳에서 604만 USDT를 약 한 시간 만에 빼냈다.

같은 시간 이더리움에서도 지갑 3곳이 비워졌다. 189만 USDT와 77ETH가 동시에 빠져나갔고, 이 중 USDT는 공격 당일 새로 만들어진 지갑을 거쳐 1인치(1inch)에서 ETH로 교환됐다.

온체인 기록에 따르면 두 블록체인의 인출은 크로스체인 스와퍼 브릿저스(Bridgers)를 매개로 연결됐다. 브릿저스의 이더리움 정산 계약이 자금을 이더리움 스와프 지갑으로 직접 보낸 사실이 확인되면서, 별개로 보였던 두 건의 인출이 하나의 사건으로 규정됐다.

79%는 픽스드플로트로, 남은 자금은 모네로로

공격자는 도난 자금의 약 79%를 인스턴트 거래소 픽스드플로트(FixedFloat)를 통해 세탁했다. 1회용 주소 약 50개를 동원한 것으로 나타났다. 스펙터 인베스티게이션스(Specter Investigations)의 연락을 받은 체인지나우(ChangeNOW)는 6자리 규모(수십만달러대)의 자금을 동결했다.

펙쉴드(PeckShield)는 이후 체인지나우, 픽스드플로트, 빙엑스(BingX)를 거쳐 자금이 흘러간 경로를 추가로 추적했다. 지갑 5곳에 남아 있는 282ETH(약 54만2,000달러 상당)는 아직 움직이지 않은 상태다.

공격자는 확보한 자금 일부를 거래소를 거쳐 모네로로 전환하기 시작했다. 투명하게 조회되는 이더리움·TRON 네트워크를 벗어나 프라이버시 코인으로 넘어가면서 자금 추적 난이도가 크게 높아졌다는 게 조사관들의 설명이다. 코인즈바이는 이 여파로 입출금을 일시 중단했다가 곧 정상화했다.

전액 보전 선언, 그러나 공격 경로는 비공개

코인즈바이는 코인텔레그래프(Cointelegraph)에 보낸 성명에서 “영향을 받은 고객 자금 전액을 자사 보유금으로 완전히 충당해 이용자는 어떤 금전적 손실도 겪지 않았다. 플랫폼은 정상적으로 운영되고 있으며 모든 서비스가 정상 제공되고 있다”고 밝혔다. 코인데스크(CoinDesk)에는 “피해는 통제됐고 어떤 고객도 손실을 입지 않았다. 플랫폼은 안정적으로 정상 운영되고 있으며 조사가 진행 중이라 이 단계에서 추가 기술적 세부사항은 공개할 수 없다”고 전했다.

눈에 띄는 대응은 자금 복구 속도다. 코인즈바이는 24시간 안에 비워진 지갑을 공격 이전 잔액의 0.05% 오차 내로 채워 넣었다. 연구자들은 이를 두고 회사 스스로 개인키(프라이빗키) 유출은 아니라고 판단하는 신호로 해석한다. 다만 정확한 공격 경로는 아직 확인되지 않았다.

보안업체 고플러스시큐리티(GoPlus Security)는 이번 인출 패턴이 핫월렛(상시 인터넷 연결 지갑) 개인키 유출이나 관리자 권한 탈취와 부합한다고 평가했다. 다만 이는 아직 확인되지 않은 추정이다. 코인즈바이의 자체 문서에 따르면 소유자와 관리자는 서로 다른 거래 권한을 부여받고, API 연동은 클라이언트 ID와 비밀 크리덴셜에 의존하는 구조다. 어느 계정·시스템·크리덴셜이 뚫렸는지는 공개되지 않았다. 도난당한 790만달러가 회사 자산인지, 고객 예치금인지, 가맹점 잔액인지 혹은 이들이 섞인 것인지도 아직 밝혀지지 않았다.

코인즈바이는 신원 확인에 도움을 준 사람에게 10만달러를, 자금 회수에 도움을 준 경우 별도의 미공개 보너스를 지급하겠다고 밝혔다. 다만 지급 기준이나 마감일, 지급 방식은 공개하지 않았다. 회사는 이용자에게 비밀번호 변경, 계정 권한 점검, 신뢰할 수 없는 IP 삭제, 2단계 인증과 거래 알림 활성화, 필요시 API 크리덴셜 재발급을 권고했다.

잇따르는 크립토 해킹, 상반기 손실만 1조3,773억원

블록체인 분석업체 TRM랩스(TRM Labs)에 따르면 2026년 상반기 크립토 업계에서는 207건의 해킹이 발생해 총 9억7,200만달러(약 1조3,773억원)가 도난당했다. TRM랩스는 인프라·운영상 취약점을 노린 침해가 전체 사건의 약 15%에 불과했지만, 도난 금액 기준으로는 약 76%를 차지했다고 밝혔다. 코인즈바이 사례처럼 지갑 권한이나 운영 시스템을 노린 공격이 소수라도 발생하면 피해 규모가 압도적으로 커진다는 의미다.

보안업체 이뮤니파이(Immunefi)는 7월 한 달간 크립토 플랫폼들이 해킹으로 약 1억1,000만달러(약 1,559억원)를 잃었다고 집계했다. 같은 기간 확인·지급된 버그바운티(취약점 신고 보상) 건수는 18% 늘었다.

최근 몇 주간 블록체인 네트워크 위믹스(Wemix)에서는 공격자가 스테이블코인 WEMIX$의 소유권을 탈취하는 사건이 있었다. 암호화폐 지갑 서비스 세컨드파이(SecondFi)는 240만달러 규모 침해 이후 서비스 종료 절차에 들어갔다. 이달 초에는 비트코인 하드웨어 지갑 콜드카드(Coldcard)의 구버전 펌웨어 취약점을 노린 공격으로 1억달러(약 1,417억원) 넘는 피해가 발생하기도 했다. 해당 취약점은 일부 지갑의 복구 문구(시드 문구) 생성 시 무작위성을 약화시켜 개인키가 유추될 수 있게 만든 결함이었다.

앞서 15억달러(약 2조1,255억원) 규모 피해를 낸 바이비트(Bybit) 해킹 사건에서는 미국 법원이 도난 자금 추적과 동결을 지원한 사례가 있다. 코인즈바이 사건에는 아직 미국 당국이 공개적으로 관여했다는 발표는 없지만, 유사한 법적 대응이 이뤄질 가능성이 거론된다.