Drift 해킹 복구 난항… $61.5M, 토네이도 캐시로 유입

4월 드립트 프로토콜(Drift Protocol) 해킹 사건(피해액 2억 9,500만 달러)과 관련된 한 주소가 화요일 25,700 이더(ETH)를 토르나도 캐시(Tornado Cash) 믹싱 서비스에 입금하며, 북한 국가 지원 조직으로 거슬러 올라가는 자금 세탁 과정을 계속하고 있습니다. 이는 아직 미지급 상태인 수천 명의 드립트 사용자에게 중요한 사항입니다.

두 시간 동안, 매번 100 ETH씩

아크함 인텔리전스(Arkham Intelligence) 데이터에 따르면, 약 2시간 동안 총 6,156만 달러 상당의 입금이 이루어졌으며, 이 중 약 6,156만 달러가 송금 과정에서 입금되었습니다. 이 지갑은 이번 급격한 자금 유입 이전까지 약 두 달간 비활성 상태였습니다.

아크함의 전송 로그에 따르면, 입금은 각각 100 ETH(각각 237,800달러)와 소량의 10 ETH로 고정된 금액으로 이루어졌습니다. 이러한 고정 입금은 토르나도 캐시(Tornado Cash)의 입금 풀과 일치하는데, 이는 사용자가 나중에 다른 주소에서 자금을 인출할 때 발신자와 수신자 간의 연결을 노출하지 않도록 하는 기능을 제공합니다.

이 같은 움직임은 체인alysis(Chainalysis)에 의해서도 추적되었습니다. 화요일 X 게시물에서 해당 회사는 4월 1일, 공격자가 악용에 사용된 5개의 지갑에서 자금을 13건의 별도 거래를 통해 하나의 중계 지갑으로 이동했다고 밝혔습니다. 공격자는 미ixer(믹서)로 100 ETH 단위로 입금될 때까지 해당 지갑을 비활성 상태로 유지했습니다.

이번이 자금 세탁의 첫 번째 단계는 아닙니다. 드립트(Drift) 공격자 4라는 주소는 7월 23일과 24일에 동일한 믹서 서비스로 23,095 ETH(약 4,440만 달러)를 보냈습니다.

지갑에 남은 잔액

화요일에 이루어진 입금 이후, TFTC에 따르면 아크함은 현재 약 1억 9,400만 달러 상당의 81,454 ETH를 추적하고 있습니다. 해커 소유의 71개 주소에는 약 1억 9,858만 달러가 포함되어 있으며, 아크함의 포트폴리오 뷰에 따르면 이러한 계정에는 USDT, USDC, 솔라나(Solana), USDY 등 약 561,600달러 상당의 자산과 약 15센트 가치의 Fartcoin 1개도 포함되어 있습니다.

270만 달러 이상을 훔친 드리프트 프로토콜(Drift Protocol) 공격자가 2개월간의 활동 중단 후 #TornadoCash로 $ETH를 이동시키고 있습니다.

지난 2시간 동안 공격자는 #TornadoCash에 25,700 $ETH($6,156만)를 입금했으며, 여전히 81,864 $ETH($1억 9,500만)을 보유하고 있습니다.

https://t.co/FRtFrS7rew https://t.co/9ISUIlkHvT

— Lookonchain (@lookonchain) 10월 20일, 2026

일차적으로 해킹은 솔라나 프로토콜을 타겟으로 했습니다. 그러나 해커는 이후 브리지 기술을 활용해 자금을 ETH로 전환했습니다. Drift의 자산 배분 표에 따르면, 해커는 총 2억 9,570만 달러 상당의 토큰을 탈취했으며, 이 중 1억 5,930만 달러는 JLP(제피터 유동성 제공자 토큰), 7,140만 달러는 USDC입니다.

공격자의 침투 경로

drift.trade에서 작성한 사후 분석 보고서에 따르면, 4월 1일의 공격은 코드 내 취약점을 악용한 것이 아니라 6개월에 걸쳐 사회공학적 기법을 사용했습니다. TFTC는 동일한 출처를 인용하며, 공격자가 거래 회사로 위장해 실제 자금 100만 달러를 예치해 신원을 입증하는 한편, 컨퍼런스에서 Drift 기여자와 직접 면담하기도 했다고 밝혔습니다. 이들은 개발자 도구와 가짜 지갑 앱을 결합해 코드 실행 취약점을 악용함으로써 12분 미만의 시간 내에 프로토콜의 자금을 모두 털어갔습니다.

6월 3일 복구 노력과 관련된 게시글에서 드리프트(Drift)는 만다인트(Mandiant)의 포렌식 조사 결과, 공격이 북한 출신의 위협 행위자 UNC6862에 의해 수행되었다고 밝혔습니다. 드리프트는 만다인트의 성명을 인용하며 "다른 플랫폼을 대상으로 한 유사한 공격에 관여하는 다른 국가 지원 행위자와 직접적인 연관성이 있다"고 전했습니다.

긴박한 상황 속의 복구 풀

드리프트는 10월 1일 DFX 토큰에 대한 청구 절차를 개시했습니다. 당시 풀에는 310만 달러가 있었으며, 모든 거래소 수익 및 회수금을 바탕으로 규모가 확대될 예정이었습니다. 2억 9,500만 달러의 손실액 중 초기 청구를 진행한 투자자들은 달러당 단 1센트만을 받을 수 있었습니다.

TFTC에 따르면 법 집행 기관이 약 920만 달러를 동결했으며, 이는 달러당 약 3센트에 해당합니다. 악용자가 1억 9,400만 달러를 보유하고 있으며 그 중 상당 부분이 토네이도 캐시(Tornado Cash)로 입금되고 있는 점을 고려할 때, 자금 회수는 매우 어려울 것으로 보입니다. OFAC은 2022년 토네이도 캐시를 블랙리스트에 등재했으나, 북한 관련 실체가 토네이도 캐시 입금분에 대해 어떤 회수도 이루어졌다는 확인은 없습니다.

DeFiLlama 암호화폐 해킹 추적기에 따르면, Drift 해킹은 2026년 세 번째로 큰 규모인 암호화폐 해킹 사건으로, 3억 8,750만 달러 규모의 Bitget 해킹과 3억 2,000만 달러 규모의 Liquid Network 해킹에 이어집니다.