요약
- 러시아 거래소 가란텍스(Garantex)의 제재 대상 후신인 그리넥스(Grinex)는 10억 루블(1,370만 달러) 규모의 사이버 공격을 당했다는 주장이 제기된 후 어제 운영을 중단했다. 이 거래소는 이번 침해 사고의 원인을 “적대적인 국가의 외국 정보 기관” 탓으로 돌렸다.
- 그러나 온체인 데이터에 따르면, 용의자로 지목된 해커는 가란텍스(Garantex)가 이전에 주로 이용하던 탈중앙화 거래소(DEX)를 통해 유출한 법정화폐 담보 스테이블코인을 트론(TRX)으로 신속하게 교환한 것으로 나타났다.
- 서구 법 집행 기관은 일반적으로 중앙화된 스테이블코인을 교환하기보다는 동결하는 방식을 취하기 때문에, 이번 자금 이동은 실제로 누가 자금을 빼돌렸는지에 대한 의문을 제기하고 있다.
- 이 글을 작성하는 시점에서, 유출된 자금은 단일 주소의 잔고로 남아 있습니다. 자금이 하류로 이동함에 따라, 블록체인 포렌식 증거를 통해 이번 해킹 사건의 배후가 누구인지에 대한 추가 단서가 드러날 것입니다.
- 이번 조치는 지난해 933억 달러 규모의 거래를 중개했던 Grinex와 루블 기반 A7A5 토큰에 대한 제재에 이은 것이다.
2026년 4월 16일 목요일, 러시아와 연계된 ‘ 가상자산 ’ 거래소인 Grinex가 운영 중단을 발표했다. Grinex 측은 공식 웹사이트와 텔레그램 채널에 게시한 성명을 통해, 거래소가 사이버 공격을 받아 10억 루블(약 1,370만 달러)의 손실을 입었다고 밝혔다.
그리넥스(Grinex)는 이번 발표에서 자금이 도난당한 것으로 추정되는 특정 비트코인( 가상자산 ) 주소와 현재 잔액이 보관되어 있는 수신 주소를 공개하는 이례적인 조치를 취했다.
특히 주목할 점은, 해당 거래소가 서방 정부들을 직접 지목하며, 적대적인 국가들의 외국 정보 기관들이 러시아의 금융 주권을 훼손할 목적으로 이번 공격을 조율했다고 비난했다는 것이다.
이러한 주장은 아직 입증되지 않았지만, 블록체인 분석을 통해 우리는 Grinex 측의 공식적인 주장 너머를 들여다보고, 온체인 상의 자금 이동 양상을 바탕으로 Grinex의 설명이 타당한지 여부를 검토할 수 있습니다.
온체인 현실: 서방 당국의 소행인가, 사이버 공격인가, 아니면 내부자의 소행인가?
Grinex가 제공한 주소들의 온체인 데이터에 따르면, 유출된 자금은 주로 법정화폐로 뒷받침되는 주요 스테이블코인으로 구성되어 있었다.
자금이 유출된 직후, 인기 있는 트론(Tron) 기반 탈중앙화 거래소(DEX)를 활용해 스테이블코인을 트론 블록체인의 기본 토큰인 트론(TRX)으로 교환하는 방식으로 자금이 적극적으로 이동되었습니다. 흥미롭게도, 이 특정 DEX는 이전에 그리넥스(Grinex)의 제재 대상 전신인 가란텍스(Garantex)가 핫 월렛의 가스 비용을 충당하기 위한 유동성 공급원으로 대대적으로 활용했던 곳입니다.
이러한 행보는 이번 공격의 배후에 서방 당국이 있다는 그리넥스의 주장에 대해 즉시 타당한 의문을 제기하게 만든다.
그리넥스(Grinex)에서 유출된 자금은 중앙 집중식 법정화폐 담보 스테이블코인으로 보관되어 있었습니다. 법 집행 기관이 스테이블코인 자금을 압수할 경우, 해당 스테이블코인의 중앙 집중식 발행사에 법적 요청을 통해 전 세계적으로 자금을 동결하도록 할 수 있습니다. 대표적인 사례로 2025년 3월 가란텍스(Garantex) 단속 사건을 들 수 있는데, 당시 미국 법 집행 기관은 해당 거래소의 자금 2,600만 달러를 동결했습니다.
그리넥스(Grinex) 해킹 의혹 사건의 경우, 스테이블코인 자금은 신속하게 동결 불가능한 토큰으로 전환되어 발행사에 의해 스테이블코인이 동결될 위험을 피했습니다. 스테이블코인을 보다 탈중앙화된 토큰으로 이같이 급하게 전환하는 행위는, 중앙화된 동결 조치가 실행되기 전에 자금을 세탁하려는 사이버 범죄자 및 불법 행위자들의 전형적인 전술입니다.
그러면 다음과 같은 의문이 제기된다. 만약 이번 사건이 스테이블코인 자금을 동결하기 위해 법 집행 기관이 주도한 압수 작전이 아니라면, 누가 Grinex를 해킹했다는 혐의를 받을 만한 동기를 가지고 있을까? 해당 거래소가 강력한 제재를 받고 있는 점, 제한된 생태계를 갖추고 있다는 점, 그리고 Garantex가 선호하는 난독화 기법이 온체인에서 사용되고 있다는 점을 고려할 때, 이번 사건이 가짜 깃발 공격일 가능성을 고려해 볼 필요가 있다. 러시아는 군사적 침략을 정당화하기 위해 물리적 사보타주를 자행하는 것부터, 사이버 공간에서 연막을 치기 위해 국가와 연계된 ‘해커티비스트’ 집단을 동원하는 것에 이르기까지, 다양한 분야에서 가짜 깃발 전술을 사용해 온 잘 알려진 전력이 있다.
특히 가상자산 생태계에서는 러시아와 연계된 다크넷 마켓과 불법 서비스들이 외부 해킹을 핑계로 갑작스럽게 문을 닫는 사례가 있었으나, 온체인 데이터를 분석한 결과 관리자들이 사용자 자금을 자신들의 지갑으로 은밀히 이동시킨 사실이 드러났습니다. 국제적인 압박이 거세지고 운영 범위가 축소됨에 따라, Grinex와 연관된 세력들은 해킹을 가장해 은밀히 유동성을 빼돌리고 출금 사기를 자행하고 있을 가능성이 있습니다.
이 글을 작성하는 시점에서, 유출된 자금은 단일 주소의 잔고로 남아 있습니다. 자금이 하류로 이동함에 따라, 블록체인 포렌식 증거를 통해 이번 해킹 사건의 배후가 누구인지에 대한 추가 단서가 드러날 것입니다.
더 넓은 맥락: Grinex, Garantex, A7A5
어제 발생한 것으로 알려진 해킹 사건은 러시아의 암시장 가상자산 경제가 겪어온 격동의 역사에서 가장 최근의 일화이다.
이전 보도와 올해 발간된 ‘가상자산 ’ 범죄 보고서에서 상세히 다룬 바와 같이, Grinex는 Garantex가 국제 법 집행 기관의 단속으로 인해 활동을 중단한 후, Garantex의 직접적인 후속 조직으로 설립되었습니다. 이후 Grinex는 작년에 미국 해외자산통제국(OFAC), 영국, 그리고 EU로부터 제재를 받았습니다.
그리넥스(Grinex)는 제재 대상인 키르기스스탄 기업 올드 벡터(Old Vector)가 발행한 러시아 루블 담보 토큰인 A7A5의 주요 거래 허브 역할을 했다. A7A5는 국경 간 결제를 용이하게 하고 서방의 제재를 회피하기 위해, 러시아와 연계된 금융 서비스의 제한된 생태계 내에서 운영되도록 명시적으로 설계되었다.
낙진 모니터링
이번 사건이 사이버 범죄자들의 정당한 해킹 공격인지, 아니면 러시아와 연계된 내부자들에 의해 계획된 가짜 공격 작전인지는 불분명하지만, Grinex에 가해진 타격은 러시아의 제재 회피를 뒷받침하는 인프라에 상당한 타격을 입혔다.
체이널리시스 당사는 해킹 혐의와 관련된 주소 및 교환된 TRX의 후속 이체 내역을 지속적으로 모니터링하여, 해킹 혐의의 가능한 동기를 규명하고 관련 후속 주체를 파악할 예정입니다. 또한 고객 여러분이 해당 자금에 노출될 경우 즉시 알림을 받을 수 있도록, 당사 제품군 내에서 관련 주소에 태그를 지정해 두었습니다.
이 웹사이트에는 links 이 관리하지 않는 제3자 사이트로의 링크가 포함되어 있습니다. 체이널리시스, Inc. 또는 그 계열사(이하 총칭하여 “체이널리시스”)의 통제 하에 있지 않은 제3자 사이트로의 링크([email protected])를 포함하고 있습니다. 이러한 정보에 대한 접근이 해당 사이트 또는 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하는 것은 아닙니다 체이널리시스 해당 사이트나 그 운영자와의 제휴, 지지, 승인 또는 추천을 의미하지 않으며, 체이널리시스 해당 사이트에 게시된 제품, 서비스 또는 기타 콘텐츠에 대해 책임을 지지 않습니다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
