디지털 자산
WazirX의 가장 어두운 시기: $230M 해킹과 그 여파에 대한 상세 분석
Securities.io를 Google의 선호 소스에 추가
인도 암호화폐 사용자들은 중앙화된 암호화폐 거래소(CEX)인 WazirX가 고객을 위한 복구 계획을 찾기 위해 고군분투하면서 어려운 시기를 겪고 있습니다.
WazirX는 인도에서 선도적인 암호화폐 거래소 중 하나이며, 사용자 기반이 1,600만 명 이상입니다. 7월 18일, 이 거래소는 2억 3천만 달러 규모의 해킹을 당했습니다.
보안 침해는 WazirX의 멀티시그 월렛 중 하나에 영향을 미쳤습니다. 멀티시그 월렛은 거래를 실행하기 전에 여러 사람이 서명해야 합니다. WazirX의 경우, 해당 월렛은 사용자 자산을 보호하기 위해 다섯 명의 서명자를 가지고 있었습니다.
공격자는 1억 달러 상당의 Shiba Inu(SHIB), 5,200만 달러 상당의 Ether, 1,100만 달러 상당의 MATIC, 그리고 600만 달러 상당의 PEPE를 탈취했습니다. 2024년 6월 보고서에 따르면, 이 자금은 거래소 전체 5억 달러 보유액의 45% 이상을 차지합니다.
블록체인 추적 서비스 Lookonchain에 따르면, 해커는 탈취한 자금 대부분을 이더리움(ETH)으로 전환했습니다. 해커들은 일반적으로 토큰을 변환할 때 Tornado Cash와 같은 믹싱 서비스를 사용하여 거래 활동을 은폐합니다.
해커는 현재 59,097 ETH 이상, 약 2억 달러에 해당하는 다양한 토큰을 보유하고 있으며, 인기 있는 탈중앙화 거래소인 Uniswap을 통해 탈취한 토큰을 판매하고 있습니다.
공격 결과, 거래소에 상장된 토큰들은 유동성 부족으로 현지 및 글로벌 가격에 비해 큰 할인 가격으로 거래되었습니다. 이후 거래소는 모든 거래와 암호화폐 및 현금 인출을 중단했습니다. 해킹 이후 거의 2주가 지났으며, 활동은 여전히 중단된 상태입니다.
거래소가 전부 동결된 상황에서, BTC/USDT는 WazirX에서 64,052에 거래되고 있는 반면 CoinDCX에서는 66,687에 거래됩니다. 한편, USDT/INR는 CoinDCX에서 88.64, WazirX에서는 68.40에 거래됩니다. 거래소의 자체 토큰인 WZX는 해킹 이후 36.24% 하락했습니다.
무슨 일이 일었는지에 대해, 거래소는 Liminal Custody의 디지털 인터페이스에 표시된 정보와 서명된 거래의 실제 내용 사이에 “불일치”가 있었다고 비난했습니다. 거래소는 게시물에서 다음과 같이 말했습니다:
“우리는 페이로드가 교체되어 지갑 제어권이 공격자에게 이전된 것으로 의심합니다.”
한편, Liminal Custody는 공격에 대해 WazirX를 비난하며, 자체 인프라가 침해되지 않았다고 주장했습니다.
“불행히도 피해자 중 세 대의 머신이 거래에 악성 페이로드를 주입한 것으로 발견되었으며, 이는 특정 Gnosis 스마트 계약 멀티시그 월렛을 대상으로 한 정교하고 잘 계획된 표적 공격을 나타냅니다.”
– Liminal on X
하지만 모든 사람이 설명과 비난 게임에 만족하는 것은 아닙니다. 인기 있는 암호화폐 유튜버인 Pankaj Tanwar( X에 따르면):
“이 실수는 인도에서 #Crypto에 상상을 초월하는 피해를 입힐 것입니다.”
WazirX, ‘사회화된 손실 전략’으로 비난받다
도난당한 자금이 전체 준비금에서 차지하는 비율을 고려하면, 이를 회수할 기대가 거의 없으며, 해커가 북한과 연계된 사실과 결합되어 회복에 대한 희망이 크게 사라졌습니다.
거래소는 130건 이상의 응모가 들어온 해결책을 위해 2,300만 달러의 현상금을 발표했지만, 현재는 온전한 자금의 배분 방안을 모색하고 있습니다.
이를 위해 WazirX는 암호화폐 보유량의 55%를 반환하고 나머지는 USDT 등가 토큰으로 잠그는 방안을 검토하고 있습니다. 이는 해킹으로 손실을 입지 않은 사용자라도 자산의 55%만 접근 가능하고 나머지는 스테이블코인으로 전환되어 잠긴다는 의미입니다.
거래소는 현재 ‘출금 관리 프로그램: 의견 조사’로 인해 고객뿐만 아니라 전체 업계로부터 추가적인 조사와 비판에 직면하고 있습니다.
이 설문은 7월 27일에 진행되었으며, 그 과정에서 거래소는 ‘사회화된 손실 전략’을 도입하여 모든 사용자에게 영향을 공평하게 분배했습니다. 이 전략은 사용자가 대부분의 자산에 즉시 접근할 수 있게 하면서 ‘대기하는 사용자를 위한 추가 회복 가능성’을 유지합니다.
이 설문에서 고객들은 두 가지 옵션 중 하나에 투표하도록 요청받았습니다. 첫 번째 옵션에서는 사용자가 대부분의 자금을 거래에 사용할 수 있으며 인출도 가능하지만, 회수된 자금에 대해서는 두 번째 우선순위를 가집니다. 반면 두 번째 옵션은 인출을 허용하지 않지만, 회수된 자금에 대해 첫 번째 우선순위를 부여받습니다.
이 제안은 WazirX가 사용자들로부터 비판을 받게 했으며, 한 사용자는 “사회화된 손실, 사유화된 이익”이라고 말했습니다. 또 다른 사용자는 도난당하지 않은 토큰을 가진 사용자가 왜 처벌을 받아야 하는지 의문을 제기했습니다.
경쟁 암호화폐 거래소들도 WazirX의 최신 조치에 대해 의견을 표명했으며, CoinDCX 공동창업자 Sumit Gupta는 이것이 “커뮤니티 중심이 아닌” 결정이라고 말했습니다. Gupta는 WazirX가 상황을 처리하는 방식이 “그들에게 좋은 반응을 얻지 못할 것”이라며, 또한 “다른 생태계 참여자들에게 해를 끼친다”라고 덧붙였습니다.
Giottus 공동창업자 Arjun Vijay는 WazirX의 설문이 “생태계에 최선의 이익이 아니다”라고 말했으며, 이는 “고객에게 회수 우선순위를 얻기 위한 옵션을 강제로 선택하게 설계되었다”고 주장했습니다.
Unocoin 공동창업자 Dr. Sathvik Vishwanath는 문제 처리 방식에 실망감을 표하며, 이미 암호화폐 산업을 “곤경에 빠뜨린” 상황에서 “상황을 악화시키는 것뿐”이라고 말했습니다.
WazirX는 설문이 “법적 구속력이 있는” 것이 아니라 고객이 원하는 바를 파악하기 위한 단계일 뿐이라고 방어했습니다. 거래소는 사용자들의 아이디어와 피드백을 계속 수집할 것이라고 밝혔습니다.
손실을 공유하려는 계획의 이유에 대해 이야기하면서, WazirX 부사장 Rajagopal Menon은 유사한 상황을 겪은 다른 주요 거래소들을 조사했다고 밝혔습니다. 조사된 두 주요 해킹은 Mt. Gox와 Bitfinex였습니다.
비트코인 거래의 대부분을 차지하던 Mt. Gox는 2014년에 해킹당해 850,000 BTC가 손실되었습니다. 이후 Mt. Gox는 파산했으며, 10년이 지난 2024년 7월에야 사용자들이 원래 보유량의 일부를 받기 시작했습니다.
그 다음은 2016년 해킹으로 119,756 BTC를 잃은 Bitfinex였습니다. 거래소는 손실을 모든 사용자에게 분산시키고, 잔액을 36% 감소시킨 뒤, 손실을 나타내는 BFX 토큰을 고객에게 제공함으로써 상황을 처리했습니다.
다른 옵션 및 ED의 자금이 WazirX에 얽힌 상황
“사회화된 손실 전략” 외에도, 거래소는 바이낸스에 도움을 요청하는 등 다른 옵션을 모색하고 있습니다. 현지 매체 Moneycontrol이 익명 소스를 인용한 보도에 따르면, WazirX는 전 파트너인 바이낸스에 고객 구제 지원을 요청했습니다.
업계 소식통은 바이낸스가 거래소 수익의 잉여와 약 8천만 달러 규모의 WRX 토큰을 통제하고 있다고 전했습니다. 해당 소식통은 다음과 같이 말했습니다:
“그들의 법적 분쟁은 아직 진행 중입니다. WazirX 사업의 일부는 아직도 바이낸스의 통제 하에 있으며, 수익—그 잉여도 포함됩니다. 심지어 WRX 토큰도 그들의 통제 하에 있습니다. 그래서 바이낸스에 연락했으며, 논의가 진행 중이지만 초기 단계에 있습니다.”
2023년 1월의 준비금 증명 보고서에서 WazirX는 사용자 자산의 90%가 바이낸스 월렛에 보관되고 있다고 밝혔습니다. 몇 달 후 블로그 게시물에서 WazirX는 자체 토큰이 바이낸스에 의해 통제되고 있다고 밝혔으며, 바이낸스가 WRX IEO를 진행하면서 108,401 BNB 토큰(2백만 달러 가치)이 판매되었고, 그 수익은 “바이낸스가 수집하고 보유했다”고 전했습니다.
이 모든 일은 WazirX 공동창업자 Nischal Shetty가 바이낸스 CEO Changpeng Zhao와 WazirX를 누가 통제하는지에 대해 X(트위터)에서 공개적으로 다툰 이후에 발생했습니다. 흥미롭게도 2019년 11월, 세계 최대 거래소인 바이낸스는 WazirX를 인수했다고 밝혔지만, 2022년 여름 인도 당국이 자금세탁 혐의로 WazirX의 뭄바이 사무실을 급습하면서 상황이 달라졌습니다.
이에 대응하여 인도 집행국(ED)은 WazirX의 자금을 동결했으며, 인도 재무부는 외환 관리법(FEMA) 하에 거래소에 대한 조사를 발표했습니다.
현재 보도에 따르면, ED조차도 WazirX에 약 110만 달러 규모의 압수된 암호자산을 보유하고 있었습니다. 이 자금은 E-Nuggets라는 게임 앱에 대한 부패 사건에서 압수된 것이며, 해킹 몇 달 전에 거래소로 이동되었습니다.
인도 뉴스 매체 The Print는 E-Nuggets 조사 후 ED가 WazirX와 CoinDCX를 포함한 모든 현지 암호화폐 거래소에 원천 계정을 찾도록 요청했다고 보도했습니다. 이는 암호화폐 구매에 사용된 가상 결제 주소(VPA)를 발견하게 했으며, 그 결과 ED는 ZebPay, WazirX, 그리고 두바이에 기반한 바이낸스와 유지되는 70개의 암호화폐 계좌에 있는 모든 자금을 동결했습니다.
따라서 암호화폐를 장악한 뒤, 관계 당국은 ED를 위해 암호화폐 계좌를 개설하고 WazirX와 함께 모든 암호화폐를 이전했습니다. 이는 거래소가 현지에 있고 가장 큰 사용자 기반과 유동성을 가지고 있기 때문입니다. 그러나 이제 WazirX가 해킹당해 자금의 45%를 잃었습니다. 당국이 나서서 업계에 최종적인 지침과 지원을 제공할지 지켜보는 것이 흥미롭습니다.
암호화폐 분야에서 해킹이 흔하지 않은 것은 아닙니다. 지난해 공격자들은 암호화폐 플랫폼에서 17억 달러를 탈취했으며, 이는 Chainalysis의 암호화 범죄 보고서에 따르면 확인되었습니다. 2022년 이후 이러한 공격으로 탈취된 금액은 절반 이상 감소했지만, 공격 건수는 2022년 219건에서 2023년 231건으로 증가했습니다.
올해 전반적으로 암호화폐 가격이 상승함에 따라 해커들은 다시 활동을 재개했으며, TRM Labs에 따르면 2024년 6월 24일까지 올해는 14억 8천만 달러가 탈취된 반면, 지난해 같은 시점은 6억 5천 7백만 달러였습니다. 그러나 상위 다섯 개의 익스플로잇이 전체 탈취 금액의 70%까지 차지했습니다. 보고서는 다음과 같이 밝혔습니다:
“개인 키와 시드 구문 침해는 2024년에도 스마트 계약 익스플로잇 및 플래시 론 공격과 함께 주요 공격 벡터로 남아 있습니다.”
따라서 암호화폐 해킹이 지속되는 가운데, 인도 정부는 이러한 거래소가 불투명하게 운영되지 않도록 명확하고 확립된 가이드라인을 제공하지 못하고 있습니다.
인도의 불안정하고 규제되지 않은 암호화폐 산업
주요 사건 이후, 여러 거래소가 WazirX와 협력하여 도난된 자금을 추적하고 고객 자산을 회복하려 했습니다. 사이버 공격을 보다 깊이 분석하기 위해, 회사는 포렌식 전문가 및 법 집행 기관과도 협력하여 가해자를 식별하고 체포했습니다.
거래소는 이 사건을 인도 컴퓨터 비상 대응팀(CERT-In)에 추가로 보고했으며, 이는 컴퓨터 관련 보안 사고를 담당하는 기관입니다. 다음 단계로, 경찰이 공식 조사를 시작하기 위해 작성한 최초 정보 보고서(FIR)가 제출되었습니다.
WazirX는 또한 재무부 산하에 등록된 금융 무결성 부서(FIU)-India에 사건 보고서를 보냈습니다. 그러나 WazirX의 보안 침해는 FIU의 관할에 포함되지 않으며, FIU는 국가의 자금세탁방지법(PMLA) 하의 거래를 모니터링합니다. Fireblocks의 부법무 담당 변호사 Joanna Cheng에 따르면:
“현재 인도에는 암호화폐 전용 규제가 없으며, 업계는 보안 표준, 위험 관리, 소비자 보호와 같은 문제에 대한 명확한 규제 기대가 있으면 도움이 될 것입니다. 이 분야에 대한 규제 개입은 대규모 소매 고객을 서비스하는 거래소가 그들의 행동(또는 무행동)에 대해 책임을 지게 만든다는 의미이기도 합니다.”
인도 내 암호화폐 산업은 여전히 규제되지 않은 상태입니다. 이 기간에 취해진 유일한 주요 조치는 2020년 대법원 판결로, 2018년 인도 중앙은행(RBI)의 금지를 뒤집어 은행이 사용자와 거래소의 암호화폐 거래를 촉진할 수 있게 한 것입니다.
그 외에도, 국가의 암호화폐 규제 개발은 정체되어 있습니다. 현재까지 이 분야를 규제하는 법률이 통과되지 않았으며, 암호화폐는 주로 당국의 관할 범위 밖에 남아 있습니다.
현재 존재하는 유일한 규제 감독은 인도 정부의 FIU이며, 이는 가상 디지털 자산 거래를 감독하는 임무를 맡고 있습니다. 올해 5월 Economic Times 보고서에 따르면, 인도 내 47개의 규제된 기관이 암호화폐 자산의 거래 또는 취급에 관여하고 있습니다. 이는 정부가 자금세탁 방지(AML) 가이드라인을 준수하지 않아 해외 암호화폐 플랫폼의 인도 내 운영을 금지한 이후의 일입니다.
인도 암호화폐 사용자에 대한 규제 보호는 없지만, 정부는 암호화폐 판매 이익에 대해 최대 30%의 세금을 부과했으며 손실에 대한 상쇄는 허용되지 않습니다. 또한 모든 거래마다 원천에서 1%의 세금이 원천징수됩니다.
이러한 정책은 산업에 부정적인 영향을 미쳤으며, 암호화폐 사용자들은 2022년 이후 정부 지원 부족이 산업을 억제하고 세금으로 이익의 큰 부분을 빼앗고 있다고 불평하고 있습니다.
인도의 암호화폐 산업은 오랫동안 규제 명확성 부족으로 고통받아 왔으며, 이는 악성 행위자들의 증가를 초래했습니다. WazirX가 사이버 공격을 받는 동안, 사용자들은 BitBNS와 같은 거래소가 사람들을 사기치는 것에 대해서도 불만을 제기하고 있습니다.
FATF 글로벌 표준을 준수한다고 광고하는 FIU-India 등록 기관도 2022년에 750만 달러 규모의 해킹을 겪었습니다. 그 이후 BitBNS는 사용자가 자금을 입금할 수는 있지만 인출을 허용하지 않는 태도를 보이고 있습니다. 사용자들은 CEO인 Gaurav Dahake가 이미 국가를 떠났다고 추측합니다. 올해 초 The Economic Times와의 인터뷰에서 Dahake는 비트코인이 10만 달러를 초과할 것이라고 예측했습니다. 현재 피해자들은 거래소에 대한 집단 소송을 검토하고 있습니다.
하지만 이것이 전부는 아닙니다. CoinDCX를 포함한 인도 암호화폐 거래소들은 사용자가 자체 보관(셀프 커스터디)을 허용하지 않으며, 이는 암호화폐의 정신과 완전히 반대됩니다. 인도 거래소들은 사용자가 현금 입금을 할 경우 외부 거래소나 지갑으로 암호화폐를 전송하는 것을 허용하지 않습니다. 이는 사용자가 원한다 하더라도 자체 보관을 할 수 없게 만들어, WazirX 해킹과 같은 사건으로부터 자신을 보호할 수 없게 하는 문제를 더욱 악화시킵니다.
하지만 세계에서 가장 인구가 많은 국가인 인도가 9월 이전에 암호화폐에 대한 정책 입장을 정리한 논의 문서를 발표할 계획이라고 전해지면서 상황이 변할 가능성도 있습니다. 그럼에도 불구하고 정부는 여러 차례 암호화폐 규제를 시도했지만, 전 세계 규제기관이 도입한 명확한 가이드라인과 달리 아직 구체적인 조치를 취하지 못했습니다. 미국조차도 첫 비트코인 현물 ETF를 승인했으며, 이는 수백만 달러 규모의 순유입을 끌어모았습니다.
따라서 인도 정부가 암호화폐 산업에 필요한 관심과 규제 명확성을 제공하기 전까지는 현지 암호화폐 사용자와 이 분야가 계속 고통받을 것입니다.
