키르기스스탄 기반 암호화폐 거래소, 1,500만 달러 USDT 사이버 공격 및 지갑 유출 후 거래 중단

키르기스스탄에 기반을 둔 암호화폐 거래소 Grinex는 해커들이 지갑에서 1,500만 달러 이상의 USDT를 훔친 후 모든 거래 활동을 중단했습니다. 거래소는 공격을 확인하는 공개 성명을 발표했으며, 영국 블록체인 분석 기업 엘리프틱(Elliptic)은 훔친 자금을 추적하여 공격자가 탐지를 피하기 위해 자금을 이동했음을 발견했습니다.

이번 사건은 2025년과 2026년 전 세계 암호화폐 거래소를 대상으로 한 더 넓은 파도의 공격 속에서 발생했으며, 핫 지갑 취약점 및 서명 흐름 침해가 가장 많이 악용된 진입점으로 남아 있습니다.

해커들이 돈을 훔치고 Grinex 거래를 중단

해커들이 Grinex의 지갑 시스템을 침입하여 10억 루블 이상(약 1,300~1,500만 달러 상당의 USDT)을 훔친 후, 암호화폐 거래소의 사용자 자금 안전성에 대한 우려가 제기되었습니다. 자금은 여러 블록체인 주소로 신속하게 이동되었습니다.

키르기스스탄 거래소 침입에 대한 조사가 진행 중이지만, 이 사건은 규제 감독이 제한된 관할권에서 운영되는 중소형 암호화폐 거래 플랫폼의 보안 태도에 대한 우려가 쌓이는 데 기여했습니다.

추가적인 피해를 방지하기 위해 거래소는 출금을 포함한 모든 플랫폼 활동을 동결했으며, 이로 인해 많은 사용자가 자금에 접근하지 못하게 되었습니다. Grinex는 이 공격이 매우 조직적이라고 설명하며, 해커들이 시스템을 침해하기 위해 고급 도구와 자원을 사용하는 숙련된 개인이라고 밝혔습니다. 회사는 심지어 외국 정보 기관이 관여되어 있으며 목표는 러시아의 금융 시스템과 그 독립성을 손상시키는 것이라고 주장했습니다.

그러나 공격의 출처는 여전히 불명확하며, 외국 개입 주장을 뒷받침하는 명확한 증거는 없습니다. 

동시에 Grinex는 과거 제재 압력, 거래 제한 및 반복적인 소규모 공격으로 인해 가혹한 대응을 강요받았던 것과 유사한 문제를 겪었다고 말했습니다.

거래소는 형사 고발을 위해 법적 조치를 취했으며, 데이터 추적을 용이하게 하기 위해 모든 이용 가능한 정보를 법 집행 기관과 공유했습니다.

이 사건은 제재 시스템과 연결된 거래소가 사이버 공격, 더 많은 규제 감독, 외부 행위자로부터의 증가된 압력 등 더 높은 위험에 직면해 있음을 보여주었습니다.

마찬가지로 이 사건은 대량의 사용자 자금을 단일 위치에 보유하는 중앙화 거래소의 약점을 노출시키며, 공격자가 날이 갈수록 점점 더 정교해짐에 따라 더 강력한 보안의 필요성을 강조합니다.

공격자가 도난 자금을 숨기기 위해 이동

Grinex 해커들은 블록체인 도구를 사용하여 도난당한 USDT를 즉시 이동하여 법집행기관의 추적을 지연시켰습니다.

Elliptic의 보고서에 따르면, 공격자들은 도난당한 USDT를 여러 지갑과 네트워크로 빠르게 전송했으며, 여기에는 트론 이더리움도 포함되어 추적은 더욱 어려워졌습니다. 그들은 Tether가 USDT를 통제하며 범죄와 연결된 자금을 쉽게 동결할 수 있기 때문에, 도난당한 USDT를 TRX와 ETH와 같은 다른 자산으로 전환했습니다.

마지막으로 해커들은 자금을 4,590만 TRX(약 1,500만 달러)를 보유한 단일 메인 지갑으로 이동하여 보유, 추가 이동 또는 현금화를 결정하는 통합 단계에 도달했습니다.

전체 사건은 중앙 권위 부재로 인해 탈중앙화 도구에 의존하는 일반적인 사이버 범죄 행태를 보여주며, 이로 인해 범죄자들이 저지당하지 않고 자금을 이동할 수 있게 됩니다. 

전문가들은 이미 이러한 패턴을 스테이블코인 위험에서 보고했으며, 여기에는 체인 호핑(감지를 피하기 위해 서로 다른 블록체인 간에 자금 이동)과 레이어링(여러 지갑을 사용하여 자금을 다양한 주소로 분산)이 포함됩니다.

Grinex는 미국, 유럽연합, 영국의 제재로 인해 자금세탁 혐의 후 폐쇄된 주요 암호화폐 거래소인 Garantex의 후계자로 널리 간주됩니다.

그러나 2025년 Garantex가 폐쇄된 후에도 그 사용자들과 유동성은 다른 플랫폼으로 이동했으며, 주요 대상 중 하나가 Grinex였습니다. 이러한 이전으로 인해 Grinex는 루블과 암호화폐를 다루는 사용자에게 필수적인 거래 허브가 되었습니다.

또한 루블 기반 스테이블코인인 A7A5와 같은 스테이블코인 활동의 중심지가 되었지만, 이 토큰은 제재를 받은 기관이 보유한 예금으로도 뒷받침되기 때문에 상황이 복잡해졌습니다. 

A7A5는 이더리움과 트론과 같은 블록체인에서도 실행되어 국경을 쉽게 넘나들고 매우 대규모 거래를 지원합니다. 

흥미롭게도, 소수의 지갑이 이러한 거래의 큰 비중을 통제하여 활동이 몇몇 주요 플레이어 사이에 집중되고 있어 제재 회피 위험이 증가합니다.

Elliptic에 따르면, 이러한 제재 대상자들은 금융 제한을 우회하기 위해 스테이블코인을 사용하므로, Grinex 해킹은 특정 지역에서 운영되는 플랫폼이 유용한 도구이자 주요 표적이 되는 방식과 연결됩니다.

전체 상황은 거래소들이 주요 손실로 이어지기 전에 비정상적인 행동을 감지하고 안전 조치를 개선하도록 더 많은 압력을 가합니다. 동시에 공격자들은 자산 간 전환과 통제가 더 어려운 도구 사용을 통해 계속 적응하고 있습니다.