Mercado Bitcoin 해킹: 피해 추정액·고객 보상·서비스 재개

Bitquery는 11월 2일 11개 블록체인의 Mercado Bitcoin 지갑에서 $48.6 million이 빠져나간 것으로 추산했다. 금액은 각 이체가 발생한 시점의 자산 가치를 기준으로 계산했다. 또한 12:27부터 16:56 UTC 사이 공격자에게 잔액을 전송한 Ethereum 고객 입금 주소 36,042개를 확인했다.

Chainalysis는 별도 분석에서 17개 블록체인에 걸쳐 피해액을 approximately $49 million으로 추산했으며, Bitcoin과 Ethereum에서 가장 큰 규모의 자금이 유출됐다고 밝혔다. 두 수치는 포렌식 분석에 따른 추정치이며, 최종 대조·확정된 손실액은 아니다.

Mercado Bitcoin FAQ는 관련 자산 규모를 약 $36.3 million으로 집계했다. 이는 Bitquery의 $48.6 million 및 Chainalysis의 approximately $49 million 추정치와 차이가 난다.

제공된 출처만으로는 이러한 격차가 해소되지 않는다. 따라서 이번 사태를 평가하는 트레이더는 어느 한 수치를 최종 피해액으로 단정하지 말고, 거래소가 발표한 수치와 두 포렌식 업체의 추정치를 구분해서 봐야 한다.

Decrypt 보도에 따르면 Mercado Bitcoin은 12:56 UTC에 사태를 신속히 통제했다고 발표했다. 그러나 Bitquery는 입금 주소에서 자금이 빠져나간 기록이 16:56 UTC까지 이어졌다고 밝혔다.

이에 따라 해결되지 않은 의문이 남는다. 통제 발표 이후에도 기록상 자금 유출이 약 4시간 동안 계속된 이유는 무엇인가? 제공된 조사 자료만으로는 서명 권한 접근을 가능하게 한 취약점이나 침해 시스템을 확인할 수 없다.

Bitquery는 스테이블코인 발행사가 공격과 관련된 $11.8 million을 동결했다고 밝혔다. 또한 공격자가 11월 3일과 4일 Ethereum 기반 토큰 $11.9 million어치를 ETH로 매도했다고 전했다.

Chainalysis는 자사의 대응을 통해 총 $9 million의 동결에 기여했으며, 여기에는 Tether가 동결한 more than $4 million이 포함됐다고 밝혔다. Mercado Bitcoin FAQ는 more than $15 million이 차단됐다고 설명한다. 출처별 집계가 서로 다른 만큼 최종 동결액이나 회수액은 아직 확정되지 않았다.

Mercado Bitcoin은 유출 자산이 온라인 핫월렛에서만 나왔으며 오프라인 콜드월렛은 영향을 받지 않았다고 밝혔다. 별도의 11월 4일 업데이트에서 거래소는 피해를 본 고객 자산을 회사 자금으로 대체하고, 이번 사고로 인한 손실을 고객에게 부담시키지 않겠다고 발표했다.

중앙화 거래소 이용자 입장에서 이는 거래소가 밝힌 보상 방침이다. 다만 제공된 출처만으로는 거래 및 계정 접근이 중단된 동안 미체결 주문이나 고객 포지션에 경제적 손실이 발생했는지 확인할 수 없다.

Mercado Bitcoin은 11월 9일부터 웹사이트를 단계적으로 재개할 계획이다. 초기에는 잔액, 거래명세, 보유 자산 및 투자 내역 조회만 허용한다.

거래소는 각 모듈의 최종 보안 검증이 완료된 뒤에만 이체, 출금, 거래를 재개한다고 밝혔다. 해당 기능의 확정 재개일은 발표하지 않았으며, 제공된 업데이트에도 오더북이나 모바일 앱의 전면 정상화 일정은 담기지 않았다.

중앙화 거래소 커스터디와 셀프 커스터디, 온체인 무기한 선물을 비교하는 트레이더라면 단일 피해액 헤드라인보다 아직 확인되지 않은 운영 세부 사항을 더 주의 깊게 봐야 한다. 다음 항목을 확인하자.

• 입금, 이체, 출금, 거래, 오더북 및 모바일 앱 접속이 실제로 재개됐는지.
• Mercado Bitcoin이 서명 권한 접근 경위와 4시간의 타임라인 공백에 대한 기술적 설명을 공개하는지.
• 거래소와 Bitquery, Chainalysis가 피해액 및 동결 자금 집계를 대조해 일치시키는지.
• Mercado Bitcoin이 서비스 중단 기간 미체결 주문이나 고객 포지션에 발생한 경제적 영향을 설명하는지.

이러한 의문이 해소될 때까지는 거래소가 확인한 업데이트, 포렌식 추정치, 미해결 쟁점을 명확히 구분해야 한다.