글: 深潮 TechFlow
개요: 베이징 시간 2026년 11월 4일, 프랑스 상호신용금융 아르케아 그룹 산하 인터넷은행 Fortuneo가 사기 네트워크 공격을 당했다고 확인했다. 공격 측은 은행의 송금 리스크 통제를 우회해 외부 계좌로 직접 송금했다. 온체인 추적 기관은 1억 3,300만 달러가 넘는 자산이 유출된 것을 포착했으며, 이 금액은 최근 전통 금융기관 단일 사이버 절도 기록을 세웠다. 일본·한국과 미주 지역 전통 은행이 겪은 외부 자격증명 유출과 달리, 이번 사건은 해커가 상업은행 내부의 핵심 출금 관문을 직접 뚫었다는 것을 의미한다.
은행 내부 통제 관문 붕괴, 암호화폐 인출 촉발
암호화폐 기자 Grégory Raymond의 단독 조사 보도에 따르면, Fortuneo의 핵심 방어선은 근본적으로 뚫렸다. 사기범은 공격 과정에서 대외 송금을 직접 실행할 수 있는 권한을 확보해 수취인 이름을 임의로 설정할 수 있었고, 이를 통해 은행의 일상적인 수취인 실명 검증 장벽을 우회했다.
공격 조직은 사전에 허위 신원으로 Kraken과 Crypto.com 등 규제 준수 거래소에서 고객 신원 인증을 완료했다. 사기 자금은 이후 Fortuneo가 실명 계좌 정보에 따라 거래소 수탁 주소로 직접 송금했으며, 이는 거래 플랫폼 자체의 계좌 체계는 훼손되지 않았고 문제가 발생한 지점은 전적으로 상업은행 내부의 리스크 통제 처리 메커니즘이었음을 보여준다.
스테이블코인 자금세탁 네트워크, 크로스체인 믹싱을 거쳐 침전
법정화폐가 입금된 후 해커들은 곧바로 이를 온체인 자산으로 전환했다. 온체인 추적 기관 Bitquery의 모니터링 데이터에 따르면, 첫 자금은 UTC 기준 11월 1일 12시 25분에 Crypto.com에서 출금되어 나갔고, 44분 후 Kraken 수탁 주소에서도 고빈도 유출이 잇따라 나타났다.
온체인 탐정 ZachXBT는 추적을 통해 공격 측의 자금세탁 총액이 처음에는 1억 600만 달러 상당의 스테이블코인으로 추정됐으나 이후 1억 3,300만 달러 이상으로 상향 확인됐다고 지적했다. 11월 1일부터 2일 밤 사이에 공격 측은 약 6,300만 달러어치의 USDC와 USDT를 탈중앙화 거래소 Uniswap을 통해 집중적으로 27,553 ETH로 교환했다.
이 이더리움 자산은 곧바로 즉시 교환 플랫폼과 크로스체인 채널로 분산 투입됐고, 일부 포지션은 추가로 모네로로 전환돼 침전됐다. 업계 정보 분석은 일부 자금이 오프라인 장외거래 및 전통 인수 채널을 통해 이동했을 가능성이 있어 Fortuneo의 실제 노출 규모는 계속 확대되고 있다고 본다.
글로벌 금융 공방, 양극화 양상 드러내
프랑스 인터넷은행의 핵심 청산 채널이 직접 뚫린 동시에, 전 세계 다른 금융기관들이 마주한 것은 AI가 주도하는 측면 정보전이다. 한국 금융 감독 당국은 신한은행, KB국민은행 등 16개 기관이 9월 말부터 ARTEX 침투 도구의 공격을 받았으며, 해커가 Claude와 DeepSeek 모델을 호출해 약 10만 건의 개인 신용 기록을 빼냈다고 밝혔다.
라틴아메리카 보안팀 Straiker도 10월에 CARLIY 0S라는 자동화 도구를 탐지했다. 해커 그룹 CyberCartel은 여러 거대 모델을 이용해 400개가 넘는 금융 엔드포인트를 대량으로 뚫고 4,493건의 인터페이스 키와 로그인 자격증명을 불법으로 탈취했다. 인도 국립은행도 같은 기간 3,897명 고객의 자료가 다크웹에 유출됐다.
뉴욕주 Sawyer Savings Bank와 와이오밍주 Hilltop Bank는 3분기에 모두 제3자 소프트웨어 공급사의 취약점 때문에 서비스가 중단됐다. 그러나 일본·한국, 미주 및 남아시아 은행의 핵심 계좌는 모두 훼손되지 않았고, 프랑스 Fortuneo만이 법정화폐와 온체인 자산을 관통하는 실질적 자금 차단을 당했다.
프랑스 사법 및 금융 감독 당국은 Fortuneo가 임원 권한 위조를 겨냥한 표적 사기를 당했는지 조사에 착수했고, 온체인 모니터링 팀은 이더리움 잔액이 남아 있는 여러 미상의 자금세탁 경유 노드에 대해 24시간 주소 태깅을 시행하고 있다.
