갤럭시 리서치는 콜드카드 기기에서 생성된 주소를 표적으로 삼는 것으로 추정되는 세 번째 공격 물결을 감지했다고 발표했습니다. 이번 공격으로 207.7294 BTC가 인출되었으며, 이로써 총 손실액은 4,585개 주소에서 1,367.05 BTC, 즉 약 8,860만 달러에 달하는 것으로 알려졌습니다.
조사기관에 따르면, 첫 두 차례의 공격은 온체인에서 대체로 유사한 양상을 보였습니다. 두 공격 모두 소수의 공통 수거 주소로 자금이 이체되었고, P2WPKH 주소가 사용되었으며, 자금 유입 경로가 서로 다른 지갑들이 공격 대상이 되었습니다. 두 공격 사이의 약 27시간 간격과 거래 구조의 유사성은 동일한 개인 또는 그룹에 의해 공격이 수행되었을 가능성을 시사합니다.
하지만 갤럭시 리서치는 첫 두 차례 공격 사이에는 거래 수수료와 '수수료로 대체' 신호 측면에서 차이가 있었기 때문에 동일한 공격자가 개입했다고 단정적으로 증명할 수는 없다고 강조했습니다.
세 번째 공격은 다른 공격자를 암시할 수도 있습니다.
갤럭시 리서치에 따르면, 세 번째 공격은 이전 두 번의 공격과 거의 모든 측정 가능한 행동 특성에서 차이를 보입니다. 첫 번째 공격에서 공유 수집 주소를 사용했던 것과는 달리, 세 번째 공격에서는 각 피해자마다 별도의 대상 주소를 생성한 것으로 나타났습니다.
세 번째 공격에서 탈취된 비트코인은 P2WPKH 주소가 아닌 P2WSH 주소에 보관되어 있었으며, 각 데이터 덤프에는 평균 6.37개의 피해 주소가 포함된 것으로 나타났습니다. 반면, 첫 번째 공격은 거래당 하나의 피해 주소만을 대상으로 했습니다. 또한, 세 번째 공격은 기본 파생 경로를 따라 있는 주소만 스캔한 것으로 알려졌습니다.
연구원들은 이러한 변화가 동일한 공격자가 온체인 추적을 더욱 어렵게 만들기 위해 도구를 재설계한 결과일 수 있다고 지적했습니다. 그러나 콜드카드 취약점에 대한 정보가 공개된 후 동일한 취약한 키 풀을 표적으로 삼는 두 번째 공격자가 나타났을 가능성도 있다고 언급했습니다.
갤럭시 리서치는 온체인 데이터만으로는 이 두 시나리오를 명확하게 구분할 수 없다고 보고했습니다. 각 공격 물결이 단일 운영자에 의해 관리되었다는 것은 확실하지만, 세 차례의 공격 물결 모두가 동일한 공격자와 연관되어 있다고 단정적으로 말할 수는 없다고 밝혔습니다.
공격자 주소에 있는 비트코인은 아직 이동하지 않았습니다.
갤럭시 리서치의 계산에 따르면 공격자들은 총 1,366.3865 BTC를 장악했습니다. 약 8,860만 달러 상당의 이 비트코인이 최종적으로 전송된 공격자 주소 중 일부는 아직 블록체인 상에서 사용되지 않았다고 합니다.
블록별 분석 결과, 공격 웨이브 동안 주소들이 대량으로 유출된 것으로 나타났습니다. 각 웨이브 내 중간 블록에서 공격자의 소행으로 추정되는 주소 유출 작업이 전혀 발견되지 않은 것은, 해당 작업이 지속적으로 이루어진 것이 아니라 그룹으로 네트워크에 전송되었음을 시사합니다.
손실은 주소 수 기준으로 잔액이 1 BTC 미만인 지갑에 집중되었지만, 총 손실액 측면에서는 잔액이 많은 주소가 결정적인 역할을 한 것으로 나타났습니다. 갤럭시 리서치는 이러한 분포가 기관 위탁 서비스보다는 개인 사용자의 위탁 지갑과 유사하다고 평가했습니다.
또한 해당 연구는 취약한 콜드카드(Coldcard) 소프트웨어가 비트코인 네트워크의 674,951번째 블록 부근인 2021년 3월 17일에 배포되었다는 점을 지적했습니다. 갤럭시 리서치(Galaxy Research)는 첫 세 차례의 공격에서 도난당한 것으로 확인된 비트코인 중 어느 것도 이 블록 이전에 생성된 것이 아니라고 밝혔습니다.
*본 내용은 투자 조언이 아닙니다.
