엘리팔 지갑 해킹으로 305만 달러 상당 리플(XRP) 도난… 자금세탁 배후는 캄보디아 범죄조직

 305만 달러 규모 리플 탈취… 해커, 트론 체인으로 자금 세탁

미국의 한 암호화폐 이용자가 엘리팔(Ellipal) 지갑 해킹으로 약 305만 달러 상당의 리플(XRP) 을 도난당했다.
자금 추적 결과, 이번 사건의 탈취 자금이 국제 금융 제재를 받고 있는 캄보디아 범죄조직과 연계된 세탁 네트워크로 흘러간 정황이 드러났다.

블록체인 분석가 잭XBT(ZachXBT) 는 4시간에 걸친 추적 끝에,
공격자가 10월 12일 ‘브릿저스(Bridgers)’ 거래소를 통해 120건 이상의 리플-트론 크로스체인 거래를 진행한 뒤
트론 체인 상에서 자금을 통합했다고 밝혔다.

이후 10월 15일, 탈취금 전액은 후이원(Huione) 관련 장외거래(OTC)를 통해 완전히 세탁된 것으로 분석됐다.
ZachXBT는 피해자의 지갑 주소가 r3cf5***Jjkzc임을 특정하며,
피해자가 바이럴 유튜브 영상에 언급된 사건과 일치한다고 전했다.

피해자, “콜드월렛이라 믿었지만 실제로는 핫월렛 연결”

조사 결과, 피해자는 엘리팔 지갑을 콜드월렛으로 인식하고 사용했으나
실제로는 온라인 연결된 상태(핫월렛 형태) 로 운영 중이었다.
이로 인해 해커가 원격으로 접근할 수 있는 취약점이 노출됐다.

ZachXBT는 “수탁형(Custodial) 지갑과 자기수탁형(Non-Custodial) 지갑 간의 개념 혼동이
업계 전반에 만연해 있으며, 이로 인해 대형 도난 사고가 반복되고 있다”고 지적했다.

또한 그는 코인베이스 고객지원 사칭 스캠 사례를 언급하며,
피싱·소셜 엔지니어링을 통해 피해자들이 자신도 모르게 자금 이체를 승인하는 사례가
“최근 급격히 증가하고 있다”고 경고했다.

캄보디아 ‘후이원’ 네트워크, 270억 달러 자금세탁 추정

이번 사건의 탈취금이 유입된 후이원(Huione) 은
‘돼지 도살(Pig Butchering)’ 스캠, 투자사기, 인신매매, 암호화폐 해킹 등
동남아시아의 각종 범죄 자금을 세탁하는 주요 허브로 지목되고 있다.

블록체인 분석 기업 엘립틱(Elliptic) 은
후이원이 2021년 이후 총 270억 달러 규모의 암호화폐 거래를 처리했으며,
그중 대부분이 테더(USDT) 를 통해 이루어졌다고 밝혔다.

후이원의 중국어 마켓플레이스는 수천 개의 텔레그램 채널을 통해 운영되며,
가맹점들에게는 자금세탁 서비스, 개인정보 매매, 문서 위조, 스캠 근로자용 고문 도구 등을
판매하는 에스크로 시스템을 제공하고 있다.

특히, 후이원 그룹은 캄보디아 훈 마넷 총리 일가와 연계된 기업으로 알려져 있다.
후이원 페이의 이사 중 한 명인 훈 토(Hun To) 는
호주 경찰로부터 헤로인 밀매 및 자금세탁 혐의로 수사받은 인물이다.

 미 재무부, 150억 달러 규모 자산 몰수… 후속 제재 예고

미국 재무부는 최근 프린스 그룹(Prince Group) 에 대한
150억 달러 규모 자산 몰수 및 금융 제재를 단행했으며,
후이원 네트워크 역시 추가 제재 대상으로 지정된 상태다.

엘립틱 보고서에 따르면,
후이원 산하의 일부 운영자들은 “200만 달러를 10.5% 수수료로 세탁 가능” 하다고 홍보하며
국제적 자금세탁망을 적극적으로 운영해왔다.

텔레그램은 지난 5월 엘립틱의 제보 이후
후이원 관련 수천 개의 계정 및 채널을 차단했으나,
이후 ‘투도우(Tudou) 개런티’ 가 후이원의 역할을 이어받으며
활동을 지속 중인 것으로 드러났다.

투도우는 2024년 1월 후이원으로부터 30% 지분을 인수했으며,
현재 거래량은 월 30만 건 이상으로 급증했다.

피해 복구 어려움… “지체되면 추적 거의 불가능”

ZachXBT는 “피해자가 사건 직후 미국 집행기관에 신속히 신고하지 않았다”는 점을 지적하며,
“사건이 발생한 즉시 거래소·분석기업·수사당국 등
관련 이해관계자에게 해커 주소를 보고하지 않으면
자금 회수 가능성이 급격히 떨어진다”고 강조했다.

그는 “현재 미국, 네덜란드, 싱가포르, 프랑스 등 일부 국가만
비교적 체계적인 대응 시스템을 갖추고 있으며,
대부분의 관할권에서는 전문 인력이 부족해 사건이 묻히는 경우가 많다”고 말했다.

실제 피해 복구율은 극히 낮으며,
이로 인해 일부 사설 업체들이 피해자 절망을 악용해
‘복구 지원’을 명목으로 과도한 수수료를 청구하는 2차 피해도 발생하고 있다.
ZachXBT는 “이들 업체의 95% 이상이 실질적 복구 능력이 없다”며 주의를 당부했다.

 교훈 — “자기수탁은 신중해야… 기본 보안이 생명”

이번 사건은 콜드월렛과 핫월렛의 개념 혼동,
그리고 보안 관리 부주의가 얼마나 치명적인 결과를 낳을 수 있는지를 보여주는 사례다.

ZachXBT는 “일부 이용자는 자기수탁(Self-Custody)을 과신하지만,
실제로는 보안 관리 능력이 부족한 경우가 많다”며
“대다수 사용자에게는 완전한 자기수탁보다
신뢰할 수 있는 하이브리드 솔루션이 더 현실적일 수 있다”고 조언했다.