메르카도 비트코인 공격 자금 이동 본격화…해커, 알트코인 매도 후 이더리움으로 집중

메르카도 비트코인 해커, 탈취한 알트코인 현금화 진행

브라질 거래소 메르카도 비트코인(Mercado Bitcoin) 관련 해킹 사건의 공격자가 훔친 자산 일부를 본격적으로 정리하고 있는 정황이 포착됐다. 온체인 분석업체 아캄 인텔리전스(Arkham Intelligence)는 공식 X 계정을 통해, 해당 해커가 탈취한 토큰을 시장에서 처분하는 움직임을 보이고 있다고 전했다.

현재 확인된 흐름을 보면 해커는 보유 중인 여러 알트코인을 다수의 지갑으로 나눠 보낸 뒤 순차적으로 매도하고 있다. 이후 매도 대금은 다시 하나의 주소로 모이고 있으며, 최종적으로는 이더리움(ETH) 형태로 집결하는 구조다. 이는 유동성이 낮거나 종류가 다양한 토큰을 보다 다루기 쉬운 단일 자산으로 바꾸는 전형적인 과정으로 해석된다.

아캄 분류상 최고 수준 위험도…연결 주소만 65개

아캄은 이 해커 집단을 ‘Mercado Bitcoin Hacker’라는 이름의 엔티티로 식별했고, 위험도는 100점 만점 중 100점으로 평가했다. 현재까지 연결된 주소 수는 65개에 달한다.

이 엔티티가 보유한 전체 자산 가치는 약 3,511만 달러 수준으로 집계됐다. 구성 비중을 살펴보면 이더리움 3,686개(약 836만 달러), 비트코인 106.068개(약 816만 달러)가 큰 비중을 차지한다. 여기에 USDT 503만 달러, USDC 303만 달러 등 스테이블코인도 상당량 포함돼 있다.

이 밖에도 PAX Gold 약 146만 달러, Pendle 약 133만 달러, EverValue Coin 약 128만 달러어치가 남아 있는 것으로 나타났다.

출금 시점도 포착

거래소 관련 이동 기록을 보면 2026년 11월 2일부터 3일 사이 메르카도 비트코인에서 약 3,563만 달러가 빠져나간 흔적이 확인된다. 잔고 변화 역시 11월 초까지만 해도 거의 없던 수준에서 2일 갑자기 4,000만 달러대 중반까지 급증했고, 이후 3~4일 사이 다시 3,000만 달러대 중반으로 감소했다. 해킹 직후부터 자산 분산과 이동이 매우 빠르게 진행됐음을 보여주는 대목이다.

107개 토큰, 6개 체인으로 분산된 자금 흐름

아캄의 시각화 데이터 기준으로 추적된 전송 규모는 약 1,985만 달러다. 관련된 토큰 종류는 107개, 사용된 블록체인은 6개에 이른다.

이동 구조는 중심 지갑에서 수많은 주소로 자금이 퍼져나간 뒤, 다시 일부 지갑으로 재집결하는 형태다. 이런 패턴은 해킹 자금 세탁 과정에서 자주 등장한다. 처음에는 추적을 어렵게 만들기 위해 자금을 잘게 나누고, 이후 매도 단계에서는 회수와 관리가 편한 방식으로 다시 모으는 것이다.

• 추적된 총 이동 규모: 약 1,985만 달러
• 관련 토큰 수: 107종
• 활용된 체인 수: 6개
• 패턴 특징: 분산 전송 후 재집결

에테나·레이어제로·커브 등 주요 알트코인 순차 매도

해커가 이동시킨 자산 목록에는 대형 디파이 토큰부터 밈코인까지 폭넓은 종목이 포함됐다. 가장 큰 단일 이동 사례는 에테나(Ethena)로, 약 490만 3천 개, 금액으로는 약 83만 달러 규모였다.

그 뒤를 이어 레이어제로(LayerZero) 약 15만 2,500달러, 커브(Curve DAO) 약 13만 2천 달러, AIOZ 네트워크 약 9만 2천 달러, 모그코인(Mog Coin) 약 5만 달러, 컴파운드(Compound) 약 4만 달러어치가 이동한 것으로 나타났다.

또한 에이프코인(ApeCoin), 1인치(1inch), 놈시스(Gnosis) 등 비교적 소규모 토큰들도 짧은 시간 간격으로 특정 주소인 0x2Ce194...로 연속 전송됐다.

전체 전송 건수는 1만 건 이상으로 집계된다. 특정 종목만 선택적으로 정리한 것이 아니라, 보유 중이던 상당수 알트코인을 전반적으로 매도 대상으로 삼고 있다는 점에서, 시세 충격보다는 신속한 자산 현금화에 더 초점이 맞춰진 움직임으로 읽힌다.

중간 지갑 매도 후 ETH 회수 정황…502 ETH도 집결 주소로 유입

이더리움이 모이는 핵심 주소의 입금 기록에서는 보다 뚜렷한 연결고리도 확인된다. 해커가 앞서 에테나를 보냈던 주소 0x5e4A53...에서 약 1시간 후 502.037 ETH, 금액으로 약 113만 달러가 집결 주소로 다시 들어왔다.

이어 다른 주소 0x5A05DF...에서도 315.389 ETH(약 71만 달러)가 유입됐고, 그 외 여러 지갑에서 수십 ETH 단위의 입금이 차례로 이어졌다.

이 같은 흐름은 알트코인 → 중간 지갑 이동 → 매도 → ETH로 재집결이라는 구조와 정확히 맞아떨어진다. 과거 대형 거래소 해킹 사례에서도 범인들은 유사한 방식으로 자산을 이더리움 중심으로 정리한 후, 이후 브릿지나 믹서 서비스로 옮겨 추적을 끊으려는 시도를 해왔다.

시장 영향은 제한적일 가능성

현재까지 드러난 개별 매도 규모를 보면, 에테나, 레이어제로, 커브처럼 해커 보유량 비중이 상대적으로 큰 종목은 단기적으로 매도 압력을 받을 가능성이 있다. 다만 지금까지 포착된 각 거래 단위는 해당 토큰들의 평소 거래량과 비교하면 아주 큰 수준은 아닌 편이다.

다음 관전 포인트는 ETH와 BTC의 추가 이동

앞으로 핵심은 집결 주소에 쌓이고 있는 이더리움의 다음 목적지다. 만약 이 물량이 토네이도캐시(Tornado Cash) 같은 믹서나 크로스체인 브릿지로 이동할 경우, 자금 추적과 회수 가능성은 크게 낮아질 수 있다.

또 다른 체크 포인트는 아직 움직임이 크지 않은 비트코인 106개와 약 800만 달러 규모의 스테이블코인이다. 이 자산들까지 본격적으로 이동하기 시작하면, 해커의 현금화 작업이 다음 단계로 넘어갔다는 신호로 해석될 수 있다.

결국 이번 사건은 단순한 자산 이동을 넘어, 해킹 이후 공격자가 어떤 순서와 방식으로 자산을 정리하는지 보여주는 대표적인 온체인 사례로 주목받고 있다.

출처 :: https://www.coinddak.com/news/articleView.html?idxno=9309