코인베이스 탈취 사건, 스마트계약 해킹 아닌 ‘사람을 속인 공격’이었다

스마트계약 해킹이라면 일반적으로 온체인 애플리케이션의 코드 논리를 비정상적으로 실행해 자산을 빼낸다. 반면 고객센터 사칭 사기에서는 공격자가 계정 소유자의 판단을 조작해 직접 거래를 승인하게 하거나 계정 통제권을 넘기도록 만든다. 공격의 약한 고리는 블록체인 코드가 아니라 사용자의 신뢰와 의사결정인 셈이다.

‘연간 3억 달러’ 추정치가 보여주는 것

2025년 2월 블록체인 조사관 ZachXBT와 tanuki42는 2024년 12월과 2025년 1월 사이 코인베이스 이용자의 피해액이 6,500만 달러를 넘는다고 보고했다. 두 조사관은 유사한 사회공학 사기로 인한 연간 피해가 3억 달러를 초과할 수 있다고 추정했다. 다만 피해자 제보와 온체인 활동을 바탕으로 한 분석인 만큼, 확인 가능한 데이터가 불완전하다는 한계도 인정했다.

이후 2025년 5월에는 불과 일주일 만에 코인베이스 이용자들이 조직적인 사회공학 사기로 약 4,500만 달러를 잃었다는 보고가 나왔다. 이 수치들은 공격이 일회성이 아니라 지속적이고 조직적으로 이뤄졌다는 점을 뒷받침한다. 그러나 모든 사건과 이후 토네이도 캐시로 이동한 자금이 동일한 지갑 운영자에게 통제됐다는 사실까지 입증하는 것은 아니다.

한 조사에서는 25명 이상의 피해자와 연결된 자금 집결 주소도 확인됐다. 이런 지갑 간 연결은 수사관이 거래 흐름과 캠페인 패턴을 파악하는 데 도움이 되지만, 현실 세계의 특정 인물을 확인한 직접 증거는 아니다.

코인베이스 고객정보 유출 사건과의 관계

코인베이스는 2025년 5월 일부 해외 고객지원 인력이 금품을 받고 고객정보를 외부 범죄자에게 넘겼다고 공개했다. 범죄자들은 이 정보를 이용해 코인베이스를 사칭하고 이용자가 암호화폐를 보내도록 속이려 했던 것으로 알려졌다. 코인베이스는 사고 대응과 자발적 고객 보상에 1억8,000만~4억 달러가 들 수 있다고 추정했다.

이 사건은 고객센터 사칭 전화를 훨씬 그럴듯하게 만들 수 있는 중요한 위험 요인이다. 고객의 이름, 연락처, 계정 관련 정보를 알고 있는 사기범은 실제 직원처럼 보이기 쉽기 때문이다. 그러나 현재 공개된 자료만으로는 고객정보를 빼낸 범죄자와 대규모 탈취 지갑을 통제한 운영자가 동일하다고 단정할 수 없다. 두 사건은 연결될 가능성이 있는 위험 맥락이지, 확인된 공통 귀속은 아니다.

수사관을 조롱한 온체인 메시지

2025년 5월, 코인베이스 피싱 캠페인과 연결된 것으로 분석된 한 지갑은 탈중앙화 유동성 프로토콜인 THORChain을 통해 약 4,250만 달러 상당의 비트코인을 이더리움으로 바꾼 것으로 보고됐다. 이 지갑은 블록체인 조사관 ZachXBT에게 ‘L bozo’라는 메시지도 남겼다.

이는 지갑을 통제한 사람이 수사관을 공개적으로 도발할 의사가 있었다는 점을 보여준다. 하지만 메시지만으로 그 사람의 이름이나 위치, 또는 다른 모든 탈취 사건과의 연결 관계를 확인할 수는 없다.

토네이도 캐시는 왜 자금 회수를 어렵게 하나

암호화폐 믹서는 입금 주소와 이후 출금 주소 사이의 단순한 연결을 흐리도록 설계된 서비스다. 토네이도 캐시는 여러 이용자의 자금을 공동 풀에 모은 뒤, 입금 때와 다른 주소로 출금할 수 있게 한다. 따라서 블록체인 기록이 사라지는 것은 아니지만, ‘이 주소에서 들어간 자금이 저 주소로 나왔다’는 직선적인 흐름을 입증하기가 훨씬 어려워진다.

수사관들은 여전히 거래 시점과 금액, 반복되는 지갑 행동, 브리지와 탈중앙화 거래소 이용 기록, 중앙화 거래소 입금 주소 등을 분석할 수 있다. 이런 단서는 거래 간 상관관계를 만드는 데 도움이 된다. 하지만 상관관계만으로 출금 주소 뒤에 있는 사람을 특정하거나, 거래소와 법원이 자금을 동결할 만큼 법적으로 충분한 연결고리를 확보하기는 어렵다. 자금이 추적 가능한 수탁기관 밖에 오래 머물수록 회수 가능성도 낮아질 수 있다.

2024년 11월 토네이도 캐시 판결의 의미

미국 제5연방순회항소법원은 2024년 11월 26일 재무부 산하 해외자산통제국(OFAC)이 토네이도 캐시의 변경 불가능한 스마트계약을 제재한 것은 법률상 권한을 넘어섰다고 판단했다. 해당 스마트계약은 관련 법률에서 차단할 수 있는 ‘재산(property)’에 해당하지 않는다는 것이 법원의 논리였다.

이 판결은 제재의 법적 근거를 다룬 것이지, 절도나 자금세탁을 합법화한 것이 아니다. 절도에 따른 형사책임을 없애거나 믹서를 거친 자금을 쉽게 회수할 수 있게 만든 것도 아니다. 또한 믹서 사용 기록만으로 누군가의 유죄나 무죄를 단정할 수도 없다. 판결의 법적 쟁점과 범죄에 악용된 행위의 책임은 별개의 문제다.

코인베이스 이용자가 기억해야 할 점

이번 사건에서 가장 끈질긴 위험은 코인베이스 블록체인 인프라의 정체불명 오류가 아니다. 전화, 문자, 메신저, 링크 너머의 사람이 사용자를 설득하는 순간 발생하는 기만이다.

이용자는 다음과 같은 원칙을 지켜야 한다.

• 예고 없이 걸려오는 코인베이스 고객센터 전화와 문자, 다이렉트 메시지는 사기라고 보고 대응한다.
• 비밀번호, 시드 문구, 일회용 인증코드, 개인키를 누구에게도 알려주지 않는다.
• 고객센터 직원을 자처하는 사람이 요구하더라도 기기에 원격 접속 권한을 주지 않는다.
• 예상하지 못한 메시지에 포함된 고객지원 링크를 누르지 않는다.
• 도움을 요청할 때는 공식 코인베이스 앱을 직접 열거나 웹사이트 주소를 직접 입력한다.
• 피해가 발생하면 메시지, 전화번호, 지갑 주소, 거래 해시를 보존하고 즉시 신고한다.

8월의 자금 이동은 관련 지갑에 남은 자금이 아직 움직이고 있음을 보여준다. 그러나 이 사건의 더 큰 교훈은 단순하다. 기술적 보안 장치가 강력하더라도 공격자가 정당한 사용자를 속여 거래를 승인하게 만들면 사회공학은 그 방어선을 우회할 수 있다.