인도닥스, 핫월렛에 2,200만 달러 보관 — 단일 침해로 6개 체인 동시 탈취

사용자 600만 명 이상을 보유한 인도네시아 최대 암호화폐 거래소 인도닥스는 일상적인 출금 자금을 조달하는 데 쓰이는 인터넷 연결 지갑인 핫월렛을 운영하며 여러 블록체인에 걸쳐 수천만 달러를 보관하고 있었다. 2024년 9월 11일, 공격자들은 150건이 넘는 의심스러운 거래를 밀어붙여 약 2,200만 달러를 탈취했다. 그 내역은 ERC-20 토큰 약 1,460만 달러, 폴리곤 자산 258만 달러, 트론 240만 달러, 비트코인 142만 달러, 그리고 옵티미즘 상의 이더리움 소액분이다.

인도닥스는 같은 날 웹과 모바일 앱을 오프라인으로 전환하며 이를 "전면 점검"이라고 칭했고, 사용자들의 남은 잔액은 여전히 전액 뒷받침된다고 밝혔다. 탈취 자금을 추적한 블록체인 포렌식 업체들 — 사이버스, 슬로우미스트, 펙실드 등 — 은 공격 패턴과 자금 세탁 방식이 ETH, 트론, 폴리곤, 비트코인으로의 스왑을 거치는 점에서 와지르X와 바이비트 거래소 해킹의 배후로 지목된 북한의 라자루스 그룹과 매우 유사하다고 말했다. 아직 누구도 공격을 자처하지 않았고 인도닥스도 이 귀속을 확인하지 않았다.

인도네시아 파생상품 규제기관인 밥벱티는 인도닥스에 해명을 요구해 소환했고, 거래소의 대응을 주시하는 동안 고객들에게 침착할 것을 당부했다. 인도닥스는 약 3억 6,900만 달러의 준비금 — 탈취액의 10배가 넘는 규모 — 을 보유하고 있다고 밝히며, 손실을 사용자에게 전가하지 않고 이 완충 자금으로 피해 사용자에게 전액 보상하겠다고 약속했다.

공격자들은 단일 침해로 비트코인, 이더리움, 트론, 폴리곤에 걸쳐 2,200만 달러를 탈취했고, 인도닥스는 3억 6,900만 달러의 준비금으로 손실을 충당하겠다고 약속했다.

수천만 달러가 일상적 출금을 위해 인터넷으로 접근 가능한 핫월렛에 보관되어 있었으며, 거래소가 고객 자금의 대부분에 사용하는 오프라인 콜드 스토리지에 있지 않았다.

핫월렛 내부에서 잔액이 6개의 서로 다른 블록체인에 분산되어 있었기 때문에, 하나의 접근 지점이 침해되면 같은 거래 흐름에서 비트코인, 이더리움, 트론, 폴리곤 보유분을 모두 탈취할 수 있었다.

인도닥스가 이를 인지하고 플랫폼을 오프라인으로 전환하기 전에 150건이 넘는 거래가 나갔으며, 이는 자금이 이미 이동한 뒤에야 침해를 포착한 모니터링을 보여준다.

출금을 위해 접근 가능하게 유지된 자금은 공격자에게도 접근 가능한 자금이다. 거래소가 핫월렛에 보관하는 금액이 적을수록, 그리고 하나의 지갑 뒤에 연결된 체인이 적을수록, 단일 침해로 빼앗길 수 있는 규모도 줄어든다.

인도닥스는 점검을 위해 플랫폼을 오프라인으로 전환한 뒤 복구했고, 자체 준비금으로 사용자 손실을 충당하겠다고 밝혔다. 밥벱티는 거래소를 계속 검토했으며, 인도네시아 법률 논평가들은 이번 침해 자체가 인도닥스가 밥벱티와 OJK가 라이선스 암호화폐 플랫폼에 요구하는 시스템 신뢰성 기준에 미치지 못했음을 보여준다고 주장했다.