프랑스 은행이 유로화로 털렸다. 그런데 피해 흔적은 디지털 달러로 남아 있다.
11월 4일, Crédit Mutuel Arkéa는 사이버 공격을 공식 확인했다. 공격자들은 외부 공급업체 플랫폼을 통해 침투한 뒤, 은행 법인 계좌를 이용해 다른 은행으로 송금했다. 은행 측 발표에 따르면, 이 자금이 전문 플랫폼을 통해 암호화폐로 전환됐을 가능성이 있다. 잠정 피해 추정액은 약 1억 유로이며, 일부는 차단됐고 Fortuneo 고객을 포함한 일반 고객 계좌는 피해를 입지 않았다. 바로 이 지점에서 Crédit Mutuel Arkéa 해킹과 암호화폐 추적 경로가 교차한다. Bitquery의 분석에 따르면, Kraken, Crypto.com, OKX에서 17개 지갑으로 1억 2,604만 달러 상당의 USDC가 출금됐지만, 이것이 은행 피해와 직접 연결된다는 사실은 아직 공개적으로 증명되지 않았다.
은행의 공식 성명, Boursorama가 인용한 AFP 발표, Bitquery 분석 보고서, Ledger Insights, Cryptoast의 취재 내용, 그리고 각 거래소의 입장을 모두 검토했다. Reuters는 접근이 불가했으며, 저널리스트 Grégory Raymond의 X 게시물은 Bitquery를 통해 간접 인용했다.
해킹은 블록체인에서 일어난 것이 아니다
첫 번째 아이러니는 개인 키가 단 하나도 도난당하지 않았다는 점이다. 은행 측 설명에 따르면, 공격자들은 이름을 밝히지 않은 외부 공급업체 플랫폼을 통해 Arkéa 시스템에 접근했다. 이들은 고객 계좌나 산하 연합회·자회사 계좌가 아닌 은행 법인 계좌를 사용했다. 은행은 내부 직원 실수를 배제하고, 현재는 차단된 외부 정교한 공격이라고 밝혔다. Fortuneo 경로를 통한 침입은 없었다는 점도 명확히 했다.
AFP에 따르면, 11월 4일 수요일 Arkéa는 파리 검찰청 사이버범죄 담당 부서에 고발장을 접수했다. 검찰은 조직적 공모에 의한 정보통신망 침입 혐의로 수사를 개시하고, 경찰 사이버범죄 대응팀(Office Anti-Cybercriminalité)에 사건을 배당했다. 은행은 이번 피해가 경영 건전성에 영향을 주지 않는다고 강조했다. AFP가 전한 바에 따르면, 올해 상반기 순이익은 2억 3,000만 유로였다.
규제 거래소 계좌로 이어지는 자금 흔적
결과적으로, 두 번째 아이러니는 범행 경로 자체에 있다. Bitquery가 인용한 Grégory Raymond의 분석에 따르면, 송금액은 가명으로 개설된 거래소 계좌로 입금됐다. Ledger Insights는 11월 1일과 2일의 USDC 출금 내역을 재구성했는데. Kraken 계좌에서 1억 200만 달러, Crypto.com에서 540만 달러, OKX에서 약 66만 달러가 각각 인출됐다. 대부분의 경우 본 송금 전에 1,000달러의 테스트 결제가 먼저 이루어졌고. 본 송금은 한 번에 500만에서 1,000만 달러 단위로 진행됐다. Bitquery 집계 기준으로는 17개 지갑으로 총 1억 2,604만 달러가 이동했으며, 이 중 약 95%가 Kraken을 통한 것이었다. 간접 연결된 4개 지갑을 제외하면 총액은 9,571만 달러로 줄어든다.
Ledger Insights에 따르면, Kraken은 이번 사건이 자사 플랫폼에서 시작된 것이 아니라고 밝혔다. 관련 계좌를 제한 조치했으며 수사 당국에 적극 협조하고 있고, 고객 계좌는 침해되지 않았다고 덧붙였다. AMBCrypto의 보도에 따르면, Crypto.com과 OKX도 관련 자금을 동결하고 사건 검토에 착수했다고 밝혔다. Kraken은 2025년 아일랜드 중앙은행으로부터 MiCA 라이선스를 취득해 유럽연합 내에서 합법적으로 운영 중이다(The Block 보도). 유럽의 암호화폐 서비스 공급자 규정에 대해서는 가짜 거래소와 사기 수법을 다룬 심층 분석에서 더 자세히 살펴볼 수 있다.
자금은 공식 발표보다 빠르게 움직였다
Bitquery 분석에 따르면, 첫 번째 출금은 11월 1일(일요일) UTC 기준 12시 25분에 OKX에서 시작됐고, 23시까지 불과 세 시간 만에 약 7,320만 달러가 빠져나갔다. 약 네 시간 동안 UniswapX를 통해 6,298만 달러 상당의 스테이블코인이 이더리움 27,553개로 전환됐다. 이후 자금은 분산됐다. 약 3,609만 달러는 LI.FI 브릿지를 통해 이동했는데, 이 중 일부는 블록체인에서 추적이 불가능한 모네로(Monero)로 환전하는 서비스를 거쳤다. 814만 달러는 TRM이 Kyrrex와 연계된 것으로 파악한 입금 주소로 흘러들어 갔다. 11월 5일 UTC 08시 47분 기준, 여전히 추적 가능한 금액은 약 3,726만 달러로 전체의 30% 수준이었다.
은행이 공식 발표를 낸 것은 11월 4일, Bitquery가 처음 출금을 추적한 지 사흘이 지난 시점이었다. 11월 2일 피해 기관 이름 없이 이 사건을 최초 공개한 온체인 수사관 ZachXBT는 초기 침묵이 3,000만 달러 이상의 자금 세탁을 가능하게 했다고 주장했다. Cryptoast에 따르면, 그는 “높은 신뢰도”로 공격자들이 라자루스(Lazarus) 그룹과 무관하다고 보고 있지만, 이는 어디까지나 그의 개인적 판단이며 수사 당국의 공식 결론이 아니다.
누가 차단하고 누가 차단하지 않았나
결과적으로, 초기 단계에서 제동을 건 것은 주로 거래소였으며, 이들은 계좌를 제한하는 조치를 취했다. 블록체인 상에서의 움직임은 제한적이었다. Tether는 11월 2일 약 114만 USDT를 동결했고. Bitquery에 따르면 11월 5일 기준 Circle은 추적된 지갑에 남아 있던 171만 USDC 중 단 하나도 차단하지 않은 상태였다. 발행사 간 이러한 차이는 USDT와 USDC 비교에서 핵심 쟁점 중 하나이며. Tether의 동결 권한은 이 발행사를 둘러싼 안정성과 우려 사이의 미묘한 경계를 구성하는 요소다.
피해 금액, 여전히 맞지 않는 숫자들
세 번째 역설은 피해자 측이 외부에서 집계한 수치보다 적은 금액을 공식 발표했다는 점이다. 은행 측은 약 1억 유로, Bitquery가 인용한 AFP 환율 기준 약 1억 1,300만 달러라고 밝혔다. Le Télégramme는 1억 3,300만 달러(1억 1,800만 유로)라고 보도했으며, Arkéa는 그 규모 자체는 인정했지만 구체적인 수치는 확인하지 않았다. ZachXBT는 처음 1억 600만 달러에서 출발해 이후 1억 3,300만 달러 이상으로 상향 조정했다. Bitquery는 아직까지 이 추정치들 사이의 간극을 설명하지 못하고 있다고 인정했다.
아직 입증되지 않은 것들
남은 과제가 많다. 은행에서 출발한 송금과 온체인 자금 흐름 사이의 완전한 연결고리는 아직 공개적으로 입증되지 않았다. Bitquery는 추적한 17개 지갑을 특정 주체에 귀속시키지 않았으며, 언론 보도와 지갑의 행동 패턴을 근거로 연관성을 추론하고 있다. 외부 공급업체의 명칭, 침입 정확 일자, 거래소 계좌 개설 경위, 동결된 금액 및 위치는 아직 공개되지 않은 상태다.
Gaurav Agarwal
Arkéa 사건 요약
확인된 사실과 미확인 사실
- 확인됨: 외부 공급업체 플랫폼을 통한 공격, 은행 계좌에서의 송금, 약 1억 유로 규모의 잠정 피해 추정, 고객 피해 없음, 파리 수사 당국에 고발 및 수사 개시.
- 미공개: 공급업체 명칭, 침입 일자, 최종 피해액 및 동결 금액, Bitquery가 추적한 1억 2,604만 달러 USDC와의 연결을 뒷받침하는 공개 증거.
- 추적 중: 파리 검찰 수사 경과, 자금 회수 여부, 허위 명의로 개설된 계좌에 대한 검증, Circle의 추가 동결 조치 가능성.
더 넓은 시각으로 본 이 사건
이 사건은 통상적인 서사를 뒤집는다는 점에서 주목할 만하다. 무너진 것은 블록체인이 아니라 전통 은행의 외부 공급망이었으며, 암호화폐는 그 이후 빠른 출구로 활용됐을 뿐이다. 외부 공급업체 의존이라는 구조적 취약성은 유럽 금융권에 이미 익숙한 문제로. EU 금융권의 외국 AI 의존 사례에서도 드러난 바 있다. 이번에는 그 비용이 수치로 확인됐다.
두 번째 쟁점은 자금 흐름을 멈출 수 있는 주체가 누구냐는 문제다. 영국 은행들이 은행 간 토큰 예금으로 블록체인을 실험하고 있듯, 은행권은 블록체인 도입을 오래전부터 탐색해왔다. 하지만 자금이 은행 시스템 밖으로 나가면 제동권은 거래소와 발행사로 넘어간다. 40개 신흥 시장에 USDC를 확대하고 있는 Circle은 11월 5일 기준 아무것도 차단하지 않은 상태였다. 앞으로 주목해야 할 것은 수사 진행 상황, 계좌 명의 검증 결과, 그리고 최종적으로 회수될 자금의 규모다.
