본 글은 온체인 분석가 SomaXBT의 글을 옮긴 것입니다.
번역·편집｜Odaily 星球日报 Azuma
바이낸스에서 63억 달러가 도난당한 지 사흘이 지났다. 11월 1일 오후 21시 27분 기준, 공격자(자금 세탁 팀)는 트론(Tron)이라는 단일 자금 이동 경로만으로도 이미 약 2억 4,200만 달러를 세탁했다. 그러나 앞선 동결 조치 이후에도 공격자는 여전히 약 35억 달러의 장물을 통제하고 있다.
이하는 온체인 추적을 통해 이번 공격자의 자금 세탁 활동을 분석한 전체 내용이다.
트론 온체인 동향
공격자는 트론 네트워크에서 총 6억 2,800만 달러(6억 1,270만 USDT와 4,640만 TRX 포함)를 탈취했다.
사건 발생 첫날 테더(Tether)가 3억 7,870만 USDT를 동결했고, 남은 약 2억 4,900만 달러 상당의 TRX는 공격자가 통제하며 계속 이동했다. 이후 이 자금은 크게 세 방향으로 나뉘었다.
첫 번째 방향은 크로스체인 브리지를 통한 이동으로, 약 1억 9,400만 달러 규모다. 그중 다음 경로들이 주요 자금 이동을 담당했다:
- Relay: 4,800만 달러
- THORChain: 4,400만 달러
- Chainflip: 3,210만 달러
- Symbiosis: 1,600만 달러
- USDT0: 550만 달러
- Across: 470만 달러
두 번째 방향은 Bitget Wallet 등의 서비스를 통한 이동으로, 약 4,300만 달러 규모다. 그중 Bitget Wallet이 4,170만 달러를 차지했고, 이 밖에 Bridgers와 NEAR Intents도 있다. 관련 자금의 최종 행선지는 아직 확인이 필요하다.
세 번째 방향은 여전히 트론 네트워크에 남아 있는 자금으로, 총액 약 2,600만 달러다. 주요 행선지는 다음과 같다:
- JustLend: 1,200만 달러
- USDT를 USDD로 교환: 520만 달러
- HitBTC 서비스 계정: 420만 달러
- Gate 서비스 계정: 140만 달러
- ChangeHero 및 기타 소규모 서비스
나머지 약 2,200만 달러는 전체 이동 과정에서 수수료, 슬리피지, 가격 변동으로 소실됐다. 크로스체인 이후 자금 행선지를 보면, 대부분의 자금이 최종적으로 이더리움 메인넷으로 유입됐으며 약 53,300 ETH가 포함된다. 이와 별도로 약 68.8 BTC가 비트코인 네트워크로 옮겨졌고, 약 1,590만 USDT와 120만 USDC는 이더리움에 남았으며, 441만 USDC는 Lighter로 이체됐고 소량의 자금은 Arbitrum과 Base로 유입됐다.
아래 그림은 트론 네트워크의 장물이 동결 이후 어떤 경로로 흘러갔는지, 즉 자금이 거쳐 간 각 크로스체인 브리지와 최종 도착 체인을 보여준다.
유출 경로 1: THORChain
THORChain은 이번에 공격자가 트론 네트워크에서 자금을 빼돌린 최대 단일 통로다. 공격자는 2,697건의 예치를 통해 THORChain에 1억 8,510만 TRX와 383만 USDT를 투입했다.
최종적으로 빠져나간 자금은 다음과 같다:
- 17,019 ETH, 170개의 이더리움 주소로 분산
- 53.25 BTC, 20개의 비트코인 주소로 분산
- 268,928 USDT와 90,025 USDC, 이더리움으로 이체
- 2.41 ETH, Base로 이체
- 8.01 ZEC
이 밖에 4,687만 TRX와 33.9만 USDT가 공격자의 트론 지갑으로 반환된 뒤 다른 경로를 통해 다시 빠져나갔다.
순액 기준으로 보면, 공격자는 THORChain을 통해 약 4,830만 달러를 교환했고 최종적으로 약 4,270만 달러를 받았으며, 약 570만 달러(12%)가 수수료와 슬리피지로 소실됐다. 이 교환들에 참여한 프런트엔드 인터페이스는 관련 거래를 통해 약 14만 5,800개의 RUNE(약 9만 5,000달러 상당)의 수익 배분을 받았다.
아래 그림은 THORChain을 통해 빠져나간 자금이 최종적으로 어느 블록체인으로 흘러갔는지, 그리고 해당 수취 지갑을 보여준다.
유출 경로 2: Relay Protocol
Relay Protocol이 이번 자금 세탁 활동에서 맡은 역할은 과거와 비교할 수 없을 만큼 컸다.
과거 TraderTraitor 해킹 사건에서 Relay는 장물 세탁에 거의 참여하지 않았지만, 이번 사건에서는 공격자가 트론 네트워크에서 자금을 빼돌린 두 번째로 큰 통로가 됐다. 공격자는 735건의 예치를 통해 Relay에 3,764만 USDT와 3,928만 TRX를 넣었다.
최종적으로 도착한 자금은 다음과 같다:
- 14,656 ETH, 52개 주소로 분산
- 966만 USDT, 12개의 이더리움 주소로 분산
- 441만 USDC, 영구 선물 DEX인 Lighter의 43개 계정으로 이체(이 자금은 이후 전부 다시 빠져나갔다)
- 0.656 BTC, 비트코인 네트워크로 이체
자금 이동 속도는 상당히 놀라웠다. 최대 수취 주소(0xc8D516a53e28909d9eAB92642938762eA36F9093)는 97건의 거래를 통해 누적 2,804 ETH와 102만 USDT를 받았는데, 특정 트론 지갑이 거의 매분 약 10만 USDT를 이 주소로 보냈다.
이 밖에 353만 TRX와 119만 USDT가 공격자의 트론 지갑으로 반환된 뒤 다시 빠져나갔다.
아래 그림은 Relay를 통해 이동한 자금이 최종적으로 어느 블록체인으로 흘러갔는지, 그리고 해당 수취 지갑을 보여준다.
유출 경로 3: Chainflip
Chainflip은 공격자가 사용한 세 번째로 큰 통로이자, 전체 과정에서 상황이 가장 혼란스러웠던 경로다.
공격자는 571건의 예치를 통해 Chainflip에 4,971만 USDT를 넣었지만, 상당 부분의 교환 거래가 실패했다. 거래가 실패할 때마다 자금은 새로 만들어진 트론 지갑으로 반환됐고, 공격자는 곧바로 이 돈을 다시 Chainflip에 넣어 재차 교환을 시도했다.
누적 1,791만 USDT가 거래 실패로 반환된 뒤 다시 전송을 시작했으며, 일부 자금은 여러 차례 반복 시도되기까지 했다.
최종적으로 성공적으로 빠져나간 자금은 다음과 같다:
- 13,174 ETH, 196개의 이더리움 주소로 분산
- 415,604 USDT, 이더리움으로 이체
- 14.94 BTC, 2개의 비트코인 주소로 이체
아래 그림은 Chainflip을 통해 이동한 자금이 최종적으로 어느 블록체인으로 흘러갔는지, 그리고 해당 수취 지갑을 보여준다.
유출 경로 4: Symbiosis
Symbiosis는 네 번째로 큰 자금 이동 통로다. 앞선 경로들과 달리 공격자는 여기서 대액 거래를 집중하기보다 넓게 분산하는 방식을 택했다 — 1,367건의 소액 예치를 통해 Symbiosis에 4,971만 TRX를 넣었다.
최종적으로 도착한 자금은 다음과 같다:
- 6,846 ETH, 402개의 이더리움 주소로 분산
- 130,129 USDC, 이더리움으로 이체
- 14.45 ETH, Arbitrum으로 이체
별도로 28건의 예치(총 104만 TRX)가 교환에 실패해 이후 33.6만 USDT의 형태로 공격자의 트론 지갑에 반환됐다.
아래 그림은 Symbiosis를 통해 이동한 자금이 최종적으로 어느 블록체인으로 흘러갔는지, 그리고 해당 수취 지갑을 보여준다.
기타 경로
위의 주요 경로 외에도 공격자는 다른 채널로 자금을 이동시켰다.
트론 네트워크에서 빠져나간 그 밖의 자금 흐름은 다음과 같다:
- Bitget Wallet: 약 4,170만 달러. 이 중 3,690만 달러는 해당 서비스의 "교환 + 크로스체인" 기능을 통해, 481만 달러는 자체 크로스체인 브리지를 통해 이동했다. 현재까지도 상당한 자금의 행선지가 파악되지 않은 경로이며, 관련 목적지는 이 서비스가 보유하고 있어 추가 확인이 필요한 상태다.
- USDT0: 569만 USDT가 550만 USDT0로 교환돼 이더리움으로 이체됐고, 별도로 3.35만 USDT0가 Arbitrum으로 이체됐다. 나머지 15.85만 달러는 전달에 성공하지 못하고 여전히 크로스체인 브리지에 남아 있으며, 동결됐을 가능성이 있다.
- Across Protocol: 463만 USDT가 1,615 ETH와 99.1만 USDC로 교환돼 이더리움으로 이체됐다.
- Bridgers: 151만 달러.
- NEAR Intents: 17.1만 달러.
Bridgers와 NEAR Intents 두 경로의 최종 자금 행선지는 아직 확인이 필요하다.
여전히 트론 네트워크에 남아 있는 자금은 다음과 같다:
- JustLend: 1,200만 달러, 그리고 USDT를 USDD로 교환해 옮긴 520만 달러
- HitBTC와 Gate 서비스 계정: 각각 417만 달러와 140만 달러
- ChangeHero: 43.2만 달러
- Fixed Float 및 기타 소규모 서비스
아래 그림은 이들 규모가 작은 자금 이동 경로와, 여전히 트론 네트워크에 남아 있는 자금을 중점적으로 보여준다.
현재 자금 상황
글을 쓰는 시점 기준으로 공격자는 트론 네트워크에 여전히 약 750만 달러를 보유하고 있으며, 이미 크로스체인으로 빠져나간 자금은 이더리움과 비트코인 네트워크에서 계속 움직이고 있다.
공격자가 여전히 통제하며 다른 블록체인에 보관 중인 30억 달러 이상의 자산(18,270 BTC, 약 51.9만 ETH, 2.33억 XRP, 97만 SOL 포함)은 현재 거의 아직 이동하지 않았다.
이상이 공격자의 트론 네트워크 자금 흐름을 추적한 전체 내용이며, 약 2억 4,200만 달러가 이틀 남짓 만에 세탁됐다. 나는 이 자금이 이더리움과 비트코인 네트워크에서 어떻게 움직이는지 계속 추적하는 한편, 아직 이동하지 않은 30억 달러 이상의 장물도 예의주시하고 있다.
