드리프트 재단(Drift Foundation)이 4월 1일(현지시각) 발생한 드리프트 프로토콜(Drift Protocol) 해킹의 복구 현황을 공개했다. 재단은 9월 30일 X(옛 트위터)에 올린 글에서 사용자들에게서 탈취된 약 2억9500만 달러(약 4,000억 원, 1달러 1,356원 기준) 가운데 약 920만 달러를 동결했다고 밝혔다. 나머지 대부분은 아직 회수되지 않았다. 이하 날짜는 모두 현지시각 기준이다.

4월 1일 공격, 프로토콜 예치금 절반이 사라졌다

코인에디션(Coin Edition)에 따르면 4월 1일 사건으로 드리프트 프로토콜은 총예치금(TVL·프로토콜에 맡겨진 자산 총액)의 약 50%를 잃었다. 크립토타임스(Crypto Times)는 이 공격으로 볼트(자산 보관 금고)에서 2억7000만 달러가 넘는 자산이 빠져나갔다고 전했다. 당시 블록체인 데이터에서는 USDC 약 5,160만 개와 WSOL 12만 5,000개, cbBTC 16만 4,349개가 이동한 것으로 확인됐다.

공격자는 자산을 빠르게 다른 토큰으로 바꿔 옮겼다. 크립토타임스는 공격자가 주피터 유동성 풀(JLP) 토큰 약 4,172만 개를 사들였다고 전했다. 금액으로는 약 1억5560만 달러에 해당한다. 일부 자금은 이후 이더리움으로 넘어갔고 추적은 한층 어려워졌다.

코인에디션은 이번 공격을 분석한 전문가들이 사건의 특이성을 지적했다고 전했다. 단순한 스마트 컨트랙트(블록체인 위에서 자동 실행되는 프로그램) 코드 버그가 아니라 장기간에 걸쳐 치밀하게 조율된 하이브리드 전략이 동원됐다는 설명이다. 기업 내부를 겨냥한 첩보 활동과 온체인 조작이 결합된 방식이었다고 한다.

배후는 북한 위협 그룹…식별 명칭은 달라졌다

재단은 사고 추적을 위해 맨디언트(Mandiant), zeroShadow, SEAL 911을 투입했다. 이 가운데 맨디언트는 공격자를 북한 위협 그룹 UNC6862로 식별했다. 코인에디션은 사건 직후 TRM Labs와 맨디언트 등 보안업체들이 국가와 연계된 북한 사이버 범죄 조직 UNC4736을 배후로 지목했다고 적었다. 같은 기사에서 맨디언트의 최신 식별 명칭은 UNC6862로 소개돼, 초기 지목 때와 그룹 번호가 다르다. 소스에는 이 차이의 경위가 설명돼 있지 않다.

zeroShadow는 탈취 자금의 흐름을 추적해 왔다. 크립토타임스는 이 업체가 4월부터 자금을 모니터링하며 조사 결과를 법 집행기관과 공유했다고 전했다. 코인에디션은 세탁 행위가 7월에 시작됐다고 적었다.

재단은 zeroShadow, 법 집행기관과 함께 관련 지갑을 감시하고 있다. 탈취 자금과 연결된 출금이 발생하면 이를 식별해 표시하는 작업이다. 다만 자금 일부가 여러 블록체인과 관할권을 넘나들며 이동해 복구 절차가 복잡해졌다고 재단은 설명했다.

이더리움 13만 개 중 10만 7천 개는 아직 지갑에 있다

재단이 공개한 이더리움 쪽 현황을 보면 탈취 자금 가운데 약 13만 259 ETH가 이더리움으로 브릿지(체인 간 자산 이동 통로)돼 지갑 4곳에 나뉘어 있다. 이 중 3곳은 합계 10만 7,165 ETH를 보유한 채 움직이지 않았다. 나머지 한 곳은 7월 23일 약 2만 3,094 ETH를 토네이도 캐시로 보냈다. 토네이도 캐시는 거래 경로를 추적하기 어렵게 만드는 암호화폐 믹서(자금 혼합 서비스)다.

크립토타임스는 별도의 블록체인 추적 자료를 인용해 이 송금액을 약 2만 3,095 ETH로 집계했다. 당시 가치로 약 4,440만 달러다. 재단 발표와 1 ETH 차이가 있지만 같은 거래로 보인다. 수개월간 잠잠했던 탈취 자금이 다시 움직였다는 점에서 의미가 있다.

동결된 약 920만 달러는 어떤 자금일까. 코인에디션은 공격자가 8월 토네이도 캐시를 통해 옮긴 자금이라고 전했다. 동결이 곧바로 사용자 반환을 뜻하지는 않는다. 재단은 법 집행기관이 절차에 관여하고 있어 시간이 걸린다고 밝혔다.

회수 자금은 DFX 풀로…10% 바운티와 사기 경고

재단은 회수된 자금이 동결이든 바운티(현상금)든 법 집행이든 경로와 관계없이 모두 DFX 회수 풀로 들어간다고 밝혔다. 크립토타임스에 따르면 재단은 거래소 바이비트와 손잡고 공개 바운티도 열었다. 회수에 성공한 자금의 10%를 보상으로 내건 프로그램이다. 대상은 보안 연구자와 화이트햇(선의의 해커) 등 자금 추적이나 회수에 도움을 줄 수 있는 이들이다.

재단은 더 넓은 복구 계획의 일환으로 DRIFT 토큰의 향후 방향도 검토하고 있다고 크립토타임스는 전했다.

사칭 피해에 대한 경고도 나왔다. 재단은 회수 자금을 받으려면 지갑을 연결하거나 수수료를 내거나 정보를 제공해야 한다며 개별적으로 연락하는 일은 없다고 강조했다. 가짜 복구 제안을 조심하라는 취지다. 재단은 진전이 있으면 추가 업데이트를 내놓겠다고 밝혔다.