거래소·프로토콜 해킹은 어떻게 조사하나요

해킹 후 조사는 어디서 시작하나요

중앙화 거래소 해킹과 DeFi 프로토콜 취약점 공격은 온체인에서 비슷하게 보입니다. 알려진 프로토콜 주소나 콜드월렛에서 큰 금액이 한 번 또는 여러 번 전송되고, 수신 주소에서 다시 나뉘어 이동합니다. 조사는 ‘해커’라는 결론에서 시작하지 않습니다. 네트워크, 토큰 컨트랙트, TxID, 금액, 블록 시각, From과 To라는 사실에서 시작합니다. 이 기록을 보존하지 않으면 같은 분에 발생한 옆 거래를 두고 논쟁하기 쉽습니다.

그다음에는 후속 전송 단계, 컨트랙트 내부 전송, DEX 스왑, 다른 네트워크로의 이동을 그래프로 정리합니다. 목표는 ‘탐색기에서 사람의 정체를 밝히는 것’이 아니라 조치가 가능한 접점을 찾는 것입니다. 즉, 자산이 아직 규제 대상 플랫폼의 관리 아래 있을 때 해당 입금을 찾는 것입니다. 거래 필드를 읽는 방법은 블록체인 탐색기 읽는 법을 참고하세요. ‘누구의 지갑인가’를 확인하기 위해 1~3단계만 따라가는 방법은 사기범 암호화폐 지갑 추적 안내에 설명돼 있습니다.

여기서 속도는 영화 같은 초읽기가 아니라 보류 조치가 가능한 시간과 관련됩니다. 거래소 입금분이 출금되거나, 믹서를 거치거나, 긴 체인 간 경로로 이동하면 조치 가능한 접점이 사라지는 경우가 많습니다. 보류 요청은 플랫폼의 별도 절차입니다. 거래소에서 도난 암호화폐 동결 요청하기를 참고하세요. 이동 경로도는 그 절차를 대신하지도, 성공을 보장하지도 않습니다.

주소 군집화: 흩어진 0x… 주소를 하나의 지갑으로 묶기

군집화는 한 주체가 통제할 가능성이 높은 주소를 묶는 방법입니다. 비트코인 등 UTXO 기반 체인의 전형적인 휴리스틱은 한 거래에서 여러 입력이 함께 사용됐다면 같은 소유자의 것으로 보는 것입니다. 송신자에게 돌아가는 거스름돈 출력도 또 다른 신호입니다. 이더리움 등 계정 기반 체인에서는 같은 출처에서 자금을 받고 동시에 비워지는 주소군, 여러 입금액을 모아 핫월렛으로 일괄 전송하는 거래소 입금 패턴 등이 중요합니다.

다음 단계는 주소군을 특정 주체의 유형과 연결하는 귀속 판단입니다. 탐색기의 Exchange 태그, 공개된 브리지 주소, 알려진 믹서 컨트랙트, OTC 거래 패턴 등이 단서가 됩니다. 라벨은 불완전하며 시간이 지나면 낡습니다. 태그가 없다고 ‘거래소가 아니다’라고 할 수 없고, 태그가 있다고 결론이 확정되는 것도 아닙니다. 둘 이상의 출처를 확인하면 오판을 줄일 수 있지만, 그래도 소유자의 법적 신원이 나오지는 않습니다.

체인 간 이동과 경로도의 현실적인 한계

대규모 해킹 후 자산은 다른 네트워크로 이동하는 경우가 많습니다. 브리지의 잠금·민팅 또는 소각·반출, 래핑 토큰, DEX 스왑을 거치며 때로는 믹서도 이용됩니다. 경로가 ‘사라지는’ 것은 아닙니다. 출발 체인에는 브리지 컨트랙트 입금이, 도착 체인에는 민팅이나 잠금 해제가 나타납니다. 수수료를 제외한 금액, 시각, 브리지가 공개하는 경우 공개 메시지 식별자를 대조해 연결합니다. 이는 마법이 아니라 손이 많이 가는 작업입니다.

한계도 분명합니다. 믹서와 영지식 풀은 A와 B 사이의 직접 연결을 끊습니다. 남는 것은 시각, 금액, 반복 패턴에 따른 확률적 판단이지, 영화처럼 신원이 드러나는 장면이 아닙니다. 잘못된 군집화는 다른 사람들의 주소를 한데 묶습니다. 소액 출력을 떼어 내며 이어지는 긴 필링 체인은 수작업 부담을 늘립니다. 탐색기에서 네트워크를 잘못 선택하면 아무것도 보이지 않습니다. 공개 그래프가 컴플라이언스 보고서가 되는 것은 아닙니다. 플랫폼에는 화살표 화면이 아니라 재현 가능한 TxID가 필요합니다.

서비스 귀속 판단, 여러 네트워크 분석, 플랫폼이나 변호사에게 보낼 자료가 필요하다면 블록체인 분석에 맡길 수 있습니다. 유료 보고서는 경로도이자 다음 조치를 위한 자료이며 동결 약속이 아닙니다. 검토 후 사건으로 진행하게 된다면 성과보수 모델을 확인하세요.

초기에 기록할 내용과 직접 분석의 한계

1. 해킹의 최초 TxID 또는 프로토콜이 아닌 개인 피해자라면 자신의 송금 거래를 보관합니다. 네트워크, 토큰 컨트랙트, From / To, 금액, UTC 시각도 기록합니다.
2. 해당 네트워크의 탐색기를 엽니다. 토큰은 기본 코인의 Value만 보지 말고 토큰 전송 내역을 읽습니다.
3. 금액이 분산되거나 브리지·믹서로 들어가거나 입금 패턴이 나타날 때까지 후속 유출을 1~3단계 기록합니다.
4. 브리지 컨트랙트가 보이면 도착 네트워크에서 비슷한 규모의 민팅·잠금 해제를 찾습니다. 하나의 검색에서 네트워크를 섞지 않습니다.
5. URL, 해시와 주소를 화면 캡처로 보관합니다. 광고하는 ‘추적 도구’에 시드 문구를 붙여 넣지 않습니다.
6. 기본 기록과 조치 가능한 접점에 대한 잠정 판단을 확보했거나, 명확한 추적 한계에 도달하면 멈춥니다.

• 주소 잔액을 보면 법적 신원을 알 수 있을 것이라고 기대하지 마세요.
• 두 번째 확인 없이 Exchange 태그만으로 법원이나 플랫폼에 충분한 증거가 된다고 생각하지 마세요.
• 상태를 이해하지 못한 채 브리지 컨트랙트에 ‘속도를 높이는’ 거래를 반복해서 보내지 마세요.
• 지갑 접근 권한을 요구하며 ‘프로토콜 해킹 피해를 전부 복구한다’는 곳에 선입금하지 마세요.

직접 탐색기를 이용하면 초기 상황은 파악할 수 있습니다. 수백 개 주소의 군집화, 체인 간 분석, 플랫폼에 제출할 보고서는 단일 거래 페이지를 읽는 범위를 넘어섭니다. 이것이 블록체인 분석의 범위입니다. 해시를 바탕으로 경로도를 제공받지만, 수탁업체가 입금분을 계속 보유하거나 보류에 동의할 것이라는 보장은 없습니다.