요즘엔 해커들조차 손해를 보고 있다.

저자: 클로이, 체인캐처

2025년 9월, 웹3 소셜 플랫폼 UXLink의 멀티시그니처 지갑이 심각한 해킹 공격을 받아 해커들이 단 몇 시간 만에 1천만 달러 상당의 자산을 훔쳐 달아났습니다. 그들은 대량의 토큰을 발행하여 토큰 가격을 악의적으로 폭락시켜 70% 이상 급락시켰습니다. 그러나 이 재앙에서 가장 어처구니없는 점은 공격 자체보다 그 이후 해커들의 "아마추어 같은" 행태였습니다.

일반적인 자금 세탁 수법과는 달리, 이 해커는 서둘러 사라지지 않고 훔친 이더리움(ETH)과 스테이블코인을 탈중앙화 거래소(DEX), 특히 CoW 스왑에서 빈번하게 거래했습니다. 아캄(Arkham)의 온체인 데이터에 따르면, 이 주소는 단 6개월 만에 거의 625건의 거래를 기록했으며, 장부상 손실액은 최대 480만 달러에 달했습니다.

이 공격의 기술적 경로를 복원함으로써 해커의 비정상적인 행동 패턴과 그 이면에 숨겨진 냉혹한 현실을 관찰할 수 있습니다. 즉, 현재의 약세장에서는 첨단 기술을 이용해 온체인에서 자금을 훔치더라도, 일단 시장 거래에 복귀하면 모두가 똑같이 대우받는다는 것입니다.

UXLink 멀티시그니처 월렛 보안 취약점, 손실액 1천만 달러 이상 발생

2025년 9월 22일, 블록체인 보안 회사인 사이버스(Cyvers)는 UXLink 멀티시그니처 지갑에서 비정상적인 움직임을 최초로 감지하고 긴급 경보를 발령했습니다. 이후 UXLink 관계자는 핵심 멀티시그니처 지갑이 해킹당했으며, 손실액이 1,130만 달러를 초과한다고 확인했습니다.

이번 공격의 기술적 경로는 매우 명확합니다. 해커는 다중 서명 지갑의 delegateCall 함수 취약점을 노려 계약 로직을 성공적으로 변경했습니다. 공격자는 먼저 지갑의 정당한 관리자 권한을 제거한 후, addOwnerWithThreshold 함수를 호출하여 강제로 자신을 새로운 지갑 소유자로 만들었습니다. 이로써 UXLink가 의존하던 다중 서명 보안 메커니즘이 완전히 무력화되었고, 지갑 제어권이 완전히 공격자에게 넘어갔습니다.

이후 온체인 자산 탈취 사건이 광란적으로 발생했습니다. 도난당한 자산 목록에는 약 400만 달러 상당의 USDT, 50만 달러 상당의 USDC, 3.7 WBTC, 25 ETH, 그리고 약 300만 달러 상당의 UXLINK 네이티브 토큰이 포함되었습니다. 한편, 해커는 아비트럼(Arbitrum) 체인에서 대량의 UXLINK 토큰을 발행하여 시장에 내놓았고, 이로 인해 토큰 가격이 단시간에 70% 이상 폭락하여 약 0.30달러에서 0.10달러 아래로 떨어졌으며, 시가총액은 7천만 달러 이상 증발했습니다.

일반적인 경로를 따르지 않고: 믹싱과 캐시아웃을 포기하고 온체인 트레이딩에 집중

일반적인 암호화폐 범죄 수법에 따르면, 다음 장면은 다음과 같이 전개되었어야 합니다. 해커는 자산을 익명화하기 위해 토네이도 캐시(Tornado Cash)로 옮긴 후, 수많은 점프 주소(jump address)를 통해 여러 차례에 걸쳐 자금 세탁을 진행하고, 최종적으로 전체 자금 세탁 및 현금화 과정을 완료했을 것입니다. 그러나 이 공격자는 일반적인 경로를 따르지 않았습니다.

공격 발생 약 48시간 후, 해커는 1,620 ETH를 약 673만 DAI로 교환했는데, 이는 시장에서 예상했던 첫 번째 "매도" 신호였을 가능성이 높습니다. 여러 온체인 분석가들이 이 온체인 움직임을 빠르게 포착했지만, 이후 6개월 동안 해당 주소의 행동 패턴은 전문 해커 특유의 침착함과 은밀함에서 완전히 벗어나 온체인에서 광란적인 거래를 벌였습니다.

아캄(Arkham)의 온체인 데이터 추적에 따르면, 이 주소는 단 6개월 만에 무려 625건의 거래 기록을 쌓았으며, 활동은 탈중앙화 거래 플랫폼인 CoW 스왑에 집중되어 있었습니다. 거래 대상은 WETH와 DAI 사이를 빈번하게 오갔으며, 거래 빈도는 일반적인 장기 보유자의 수준을 훨씬 웃돌았습니다. 따라서 수천만 달러를 훔친 해커라기보다는, "저점 매수, 변동성 속에서의 보유, 그리고 최종 가격에 근접한 시점에 매도"하는 투자 스타일을 가진 트레이더, 혹은 개인 투자자라고 표현하는 것이 더 정확할 것입니다.

미숙한 거래 기술: 한때 장부상 손실이 4백만 달러를 넘어섰고, 6개월 동안 거의 정체 상태였다.

아캄의 손익 추적 데이터에 따르면, 2025년 10월부터 2026년 2월 초까지 해당 해커의 계좌에서는 3백만 달러가 넘는 장부상 손실이 여러 차례 발생했으며, 2월에는 손실액이 480만 달러까지 치솟았습니다. 이들의 거래 패턴은 매우 일관적이었는데, 저점에서 지속적으로 포지션을 추가하고, 변동성 속에서도 끈질기게 보유하다가, 가격이 매입 단가 근처까지 상승했을 때에만 매도하는 방식이었습니다.

이 해커가 마침내 반전을 맞이한 것은 3월 말이 되어서였습니다. CoW 스왑에서 평균 2,150달러에 5,496 ETH를 약 1,186만 DAI로 교환하여 약 93만 5천 달러의 장부상 이익을 얻었고, 전체 투자 포트폴리오의 손익분기점을 마침내 회복했습니다. 그러나 같은 기간 동안 그가 보유하고 있던 WBTC 포지션은 이러한 이익을 잠식하고 있었습니다. 2026년 1월 30일, 그는 평균 83,225달러에 203 WBTC를 매수했는데, 최근 기준으로 약 268만 달러의 장부상 손실을 입었습니다. 이 매수 시점은 공교롭게도 시장의 단기 반등 시점과 겹쳤고, 그는 또다시 상대적으로 높은 가격에 매수한 셈입니다.

투명한 감옥과 긴 회복의 길

UXLink 사건은 암호화폐 범죄의 역사에 대한 독특한 관점을 제공합니다. 공격자가 주목받는 가운데, 눈에 띄는 거래 내역을 지속적으로 남겨 전 세계 온체인 분석가들이 그의 행태를 완벽하게 기록할 수 있도록 했습니다.

이는 해커의 과실 때문이라기보다는 "보안"에 대한 시대착오적인 인식에서 비롯된 것일 수 있습니다. 그는 자산을 여러 주소에 분산시키고 중앙거래소(CEX)의 실명 확인 절차를 피하기 위해 탈중앙화 거래소(DEX)를 이용하면 익명성을 유지할 수 있다고 믿었을지도 모릅니다. 그러나 온체인 분석 도구의 급속한 발전은 이러한 판단이 지나치게 낙관적이었음을 보여주었습니다. Arkham, Lookonchain, PeckShield, SlowMist와 같은 기관들은 모든 중요한 비정상적인 움직임을 거의 즉시 포착했고, 해커의 모든 입출금 내역이 공개적으로 드러났습니다. 이 해커는 수천만 달러를 손에 넣었지만, 마치 투명한 디지털 감옥에 갇힌 것과 같았습니다.

UXLink 프로젝트 팀에게 이러한 상황은 약간의 위안이 되는 동시에 상당한 딜레마이기도 합니다. 자산이 사라지지 않고 블록체인 상에서 추적 가능하지만, 사법 관할권의 개입이 없는 온체인 세계에서는 "가시적인" 것과 "회수 가능한" 것 사이의 간극이 여전히 크기 때문에 이를 넘어서기가 어렵습니다.

UXLink는 이번 사태 이후 시장 신뢰를 회복하기 위해 신속하게 새로운 계약 감사, 토큰 교환, 사용자 보상 계획을 완료했지만, 토큰 가격은 2024년 12월 최고치인 3.75달러에서 약 0.0044달러까지 99% 폭락했습니다. UXLink에게 코드 취약점 수정은 몇 주면 충분할지 모르지만, 거의 제로에 가까운 상태에서 생태계를 재건하는 것은 길고 험난한 여정이 될 것입니다.

약세장에서는 모두가 동등하게 대우받습니다.

UXLink 해킹 사건은 단순한 보안 사고를 넘어 "시장 현실"을 보여주는 축소판이 되었습니다.

그는 delegateCall 취약점을 정확하게 포착하고 다중 서명 방어를 우회하는 뛰어난 기술을 보유하여 단 몇 시간 만에 정교한 수익을 올렸지만, 자금이 유입된 후에는 일반 개인 투자자들과 마찬가지로 똑같은 딜레마에 직면했습니다. 시장은 자금의 출처를 신경 쓰지 않았고, 보유 기간 동안 이더리움 가격은 하락했으며, 비트코인은 포지션을 구축한 후에도 가격이 정체되었습니다.

이 결과는 동정할 필요조차 없지만, 아이러니로 가득 차 있습니다. 공격자가 공들여 훔친 자산은 결국 시장 변동 속에서 가치가 하락했고, 6개월 후에는 그가 매입했을 당시와 거의 같은 수준으로 떨어졌습니다. 그는 약세장에서 손실을 입은 최초의 이더리움 보유자도 아니고, 월드비트코인(WBTC)을 저가에 사들이려다 시장의 벼랑 끝에 몰린 마지막 투기꾼도 아닐 것입니다.