아토믹 월렛 해킹

1.원인이 밝혀지지 않은 탈취#

아토믹 월렛은 이용자가 개인키를 직접 갖는 자기 보관형 지갑으로, 키를 회사 서버가 아니라 이용자 기기에 둔다고 설명해 왔다. 2023년6월3일 회사는 일부 지갑이 탈취됐다는 신고를 확인하고, 피해자가 활성 이용자의 1% 미만이라고 밝혔다. 이후 6월21일 공지에서는 0.1% 미만으로 다시 적었다. 블록체인 탐정 ZachXBT는 처음 피해를 3,500만 달러 이상으로 추산했다. 회사는 원인 후보로 이용자 기기를 노린 바이러스, 인프라 침해, 악성 코드 삽입, 중간자 공격 네 가지를 들었으나 어느 것도 확정하지 않았다. 회사는 공격자에게 훔친 돈의 90%를 돌려주면 10%를 주겠다고 공개 제안했고, 추적을 위해 체이널리시스와 계약했다.

2.세탁 경로가 가리킨 라자루스#

엘립틱은 6월 분석에서 훔친 자산의 세탁 단계가 과거 라자루스 그룹 해킹의 세탁 방식과 정확히 일치하고, 라자루스가 쓰던 믹서 신바드(Sinbad)를 거쳤으며, 이전 라자루스 해킹 자금이 섞인 지갑으로 모였다는 점을 근거로 들었다. 엘립틱은 이를 2022년6월 하모니 호라이즌 브리지 해킹 이후 라자루스 소행으로 공개 지목된 첫 대형 탈취로 봤다. 8월 집계에서 피해 지갑은 5,000개 이상, 피해액은 1억 달러 이상으로 늘었다. 100만 달러 넘게 잃은 주소가 최소 10개, 10만 달러 넘게 잃은 주소가 최소 164개였고 평균 피해액은 2,800달러였다. 거래소와 공조해 100만 달러 남짓이 동결되자 공격자는 미국 재무부 제재 대상인 러시아 거래소 가란텍스로 자금을 옮겨 비트코인으로 바꿨다. 아토믹 월렛 측은 라자루스 관여를 확인하지 않았다.

3.미국 집단소송의 기각#

피해자들은 2023년6월 미국 콜로라도 연방지방법원에 집단소송을 냈다. 아토믹 월렛의 보안이 허술해 북한 해커의 탈취를 막지 못했다는 주장이었다. 아토믹 월렛 측은 미국과 연고가 없고 이용약관상 분쟁은 에스토니아에서 다퉈야 하며 약관이 도난 손실 책임을 배제한다고 맞섰다. 필립 브리머 판사는 2024년9월10일 원고들이 콜로라도에 대한 관할을 입증하지 못했다며 회사와 최고경영자 콘스탄틴 글라디셰프 등에 대한 청구를 기각했다. 회사의 과실 여부는 판단되지 않았다.

4.연표5건

1. 2023.06사건6월3일 아토믹 월렛, 지갑 탈취 신고 확인
2. 2023.06사건엘립틱, 피해 1억 달러 이상 추산·라자루스 그룹 지목
3. 2023.06규제미국 콜로라도 연방지방법원에 집단소송 제기
4. 2023.08사건엘립틱, 피해 지갑 5,000개 이상·가란텍스 세탁 확인
5. 2024.09규제9월10일 관할 없음으로 집단소송 기각