6억2000만달러 탈취가 믹서 제재로 이어졌다

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

다중서명키 탈취가 브리지 준비자산을 빼내고 믹서를 거쳐 세탁되면서 기술보안·자금추적·제재가 하나의 사건선으로 이어졌다.

1. 01

   1. 검증키 장악

   공격자는 Ronin의 다중서명 구조에서 승인에 필요한 5개 검증자 키를 확보했다.

2. 02

   2. 준비자산 인출

   위조된 출금승인으로 브리지에 잠긴 이더리움·USDC가 외부 주소로 이동했지만 실시간 탐지되지 않았다.

3. 03

   3. 엿새 뒤 발견

   이용자의 출금 실패 신고를 계기로 3월 29일 침해가 확인돼 브리지 운영과 거래경로가 중단·조사됐다.

4. 04

   4. 귀속과 제재

   FBI는 Lazarus Group을 지목했고 재무부는 탈취자금을 처리한 믹서들을 제재하며 자금세탁 경로를 추적했다.

사건 연표

1. 2022년 3월 23일

   공격자가 검증자 키 5개로 무단출금을 승인한다

2. 2022년 3월 29일

   이용자 출금실패 신고 뒤 침해가 발견된다

3. 2022년 4월 14일

   FBI가 북한 Lazarus Group을 공격주체로 지목한다

4. 2022년 5월 6일

   미 재무부가 Blender.io를 제재한다

5. 2022년 8월 8일

   미 재무부가 Tornado Cash 제재에서 Ronin 세탁을 언급한다

왜 가능했나

브리지는 한 체인의 자산을 잠그고 다른 체인에 대응토큰을 발행하므로 서명키가 지급준비금의 출금권한이 된다. 필요한 키 수가 적거나 운영주체에 집중되면 하나의 침해가 전체 준비자산으로 번질 수 있다. 서명키 탈취만으로 거액 인출이 가능했던 권한집중이 핵심이다. 승인정책, 키 보관과 비정상 대량출금 탐지가 각각 독립적으로 작동하는 통제가 필요하다.

탈취액과 믹서 처리액은 포함관계다. 재무부의 2,050만달러 이상은 Blender를 거친 일부이고 전체 6억2,000만달러에 더할 수 없다. FBI의 공격주체 귀속은 형사 유죄판결과도 다르다. 특정 믹서 제재가 전체 자금의 동결이나 회수를 뜻하지 않는다. 회수·동결은 시간이 지나며 변하므로 사실기준일과 지갑흐름을 함께 갱신한다.