브라질 최대 비트코인 거래소 중 하나인 Mercado Bitcoin은 월요일 지갑에서 4,600만 달러가 넘는 규모의 가상자산이 빠져나간 보안 사고가 발생했다고 확인했다. 회사가 입출금을 중단했다고 발표했음에도 사고와 관련된 주소에는 이후에도 수시간 동안 자금이 계속 유입됐다.

보안업체들은 이번 해킹이 스마트 계약 익스플로잇이 아니라 일반적인 전송을 통해 이뤄졌다고 밝혔다. 

Certik의 선임 보안 엔지니어 딕슨 우는 사고에 대한 초기 사후 분석을 발표했다. 그는 공격자들이 Base, Optimism, Arbitrum을 포함한 8개의 소규모 체인을 4시간 동안 “조금씩 공략했다”고 밝혔다. 이후 공격은 회사의 주요 핫월렛으로 옮겨갔고, 공격자들은 2만 7,160개의 서로 다른 주소에서 이더(ETH)를 극소량씩 전송했다.

그는 “따라서 이번 공격을 실행한 자들은 MB 고객의 예치 주소에서도 자금을 빼낼 수 있다”고 썼다.

입출금 중단에도 자금 이동

우에 따르면 Mercado Bitcoin이 입출금의 일시 중단을 발표한 지 수시간이 지난 뒤에도 침해와 연관된 주소에서 자금이 계속 빠져나갔고, 이후 단일 주소로 수천 건의 소액 ETH 전송이 이뤄졌다.

Mercado Bitcoin의 대변인은 Cointelegraph에 고객들이 손실을 입지 않았으며 데이터가 유출되지도 않았다고 밝혔다. 그러나 회사는 계속된 전송에 대한 논평 요청에는 응답하지 않았다. 데이터 유출이 발생했다면 브라질의 데이터 보호 당국에 대한 통지 의무가 발생할 수도 있다.

이번 해킹은 아직 조직적인 집단의 소행으로 지목되지 않았으며 조사가 진행 중이다.

도난된 자금 중 16시 42분(UTC) 기준 약 620만 달러는 스테이블코인 발행사 테더와 서클에 의해 동결됐다. 약 2,000만 달러는 새로 생성된 지갑으로 이체됐으며, 2,000만 달러가 넘는 자금은 Mercado Bitcoin이 식별한 관련 주소에 남아 있었다. 여기에는 106 BTC 전량이 포함됐다.

Mercado Bitcoin도 침해 거래소 명단에 합류

Mercado Bitcoin은 7월 기준 450만 명의 사용자를 보유하고 있었다. 당시 스테이블코인 발행사 테더는 토큰화, 결제 및 신용 부문 확장을 지원하기 위해 2,000만 달러를 투자한다고 발표했다. 라틴아메리카의 또 다른 테더 지원 거래소인 칠레의 Orionx는 포렌식 감사 결과 700만 달러가 넘는 고객 자산이 통제권 밖의 지갑으로 이동한 사실이 드러난 뒤 9월 폐쇄를 발표했다.

이번 사건은 바이낸스가 목요일 자사 핫월렛을 겨냥한 63억 달러 규모의 해킹을 신고한 지 며칠 만에 발생했다. 해당 거래소는 입출금을 중단하고 고객 손실을 보전하겠다고 약속했다. 바이낸스는 도난 자산의 95%를 보충했다며 일요일 출금 재개를 시작했다.