Duelbits는 자금이 안전하다면서 사이트부터 닫았다
크립토 카지노 Duelbits가 핫월렛 해킹으로 약 700만 달러를 잃고 사이트를 내렸다. 2024년 2월 약 460만 달러를 잃은 데 이은 같은 유형의 두 번째 사고다. 개인키 하나가 새면 여러 체인 지갑이 동시에 열리는 핫월렛 구조가 문제의 뿌리이고, 「사용자 자금은 안전하다」는 운영사 말은 밖에서 확인할 길이 없다.
뉴스 핵심
- Duelbits는 2024년 약 460만 달러, 2026년 약 700만 달러로 같은 유형의 핫월렛 사고를 두 번 겪었다.
- 개인키 하나가 새면 여러 체인의 핫월렛이 동시에 열린다. 이번엔 4개 체인이 한꺼번에 비었다.
- 「사용자 자금은 안전하다」는 운영사 진술이며, 준비금 공개 의무가 약한 플랫폼에서는 외부 검증이 어렵다.
Duelbits 핫월렛은 어떻게 몇 분 만에 비었나
9월 24일 목요일, Duelbits의 이더리움 핫월렛에서 자산이 새 주소로 줄지어 빠져나갔다. 836 ETH, USDT 약 59만 3,000개, USDC 9만 7,000개, DAI 3만 1,500개, SHIB 124억 개가 몇 분 사이에 사라졌다.
지갑에 남은 것은 25달러어치도 안 되는 이더였다. 금고 문을 연 사람이 동전 몇 개만 바닥에 떨구고 나간 셈이다.
같은 시각 BNB체인과 트론 지갑도 비었고, 뒤이어 비트코인 핫월렛에서 8.1 BTC가 나갔다. 보안업체 Scam Sniffer는 이 흐름을 처음 잡아내고 개인키 유출 의심 사례로 분류했다.
개인키 하나가 왜 4개 체인을 한꺼번에 여나
크립토 카지노는 이용자가 언제든 돈을 빼 갈 수 있어야 장사가 된다. 그래서 출금용 자금을 서명 키가 온라인 서버에 붙어 있는 핫월렛에 두고, 나머지는 오프라인 콜드 스토리지에 둔다.
핫월렛은 편의점 계산대 금고와 같다. 손님이 오면 바로 거슬러 줘야 하니 잠가 둘 수 없다. 대신 열쇠를 가진 사람이 들어오면 계산대가 전부 열린다.
이번에 이더리움·BNB체인·트론·비트코인 네 곳이 거의 동시에 비었다는 것은, 체인별로 따로 지켜야 할 금고가 사실상 같은 열쇠 관리 체계에 묶여 있었다는 신호로 볼 수 있다. 공격자는 체인을 하나씩 뚫을 필요가 없었다.
같은 회사가 같은 방식으로 두 번 털렸다
Duelbits가 핫월렛을 잃은 것은 처음이 아니다. 2024년 2월 13일 무렵 이더리움과 BNB체인 핫월렛에서 약 460만 달러가 빠져나갔고, CertiK와 Cyvers가 이를 포착했다.
두 사고를 합하면 약 1,160만 달러다. 2년 반 사이 같은 약점이 두 번 드러났다.
달라진 점은 범위다. 첫 사고 때 털린 체인은 두 곳이었는데 이번에는 네 곳이었다. 첫 사고 뒤 키 관리를 손봤는지 우리는 알 수 없다. 다만 결과만 놓고 보면 뚫린 면적은 오히려 넓어졌다.
「사용자 자금은 안전하다」는 말은 무엇을 약속하나
공동창업자 Joe는 X에 이렇게 썼다. "Confirming a ~$7M hack. Still investigating exactly what happened and how." 그리고 "user funds are safe"라고 덧붙였다.
이 말의 뜻은 좁다. 이용자 잔고 장부는 그대로 두고, 털린 핫월렛은 회사 돈으로 다시 채우겠다는 것이다. 실제로 그는 조사가 끝나고 핫월렛을 보충할 때까지 사이트를 닫아 두겠다고 했다.
문제는 이를 밖에서 확인할 방법이 없다는 데 있다. 이런 해외 도박 플랫폼은 준비금 공개나 외부 감사 의무가 거의 없다. 콜드 스토리지에 돈이 충분하다는 것도, 손실을 무엇으로 메울지도 운영사 말뿐이다.
이용자 입장에서 안전의 근거는 기술이 아니라 운영사의 자본력과 의지다.
2,234 ETH가 한 주소에 멈춰 있다는 것의 의미
공격자는 훔친 자산 대부분을 ETH로 바꿔 새 주소 하나에 모았다. 그 주소에는 약 2,234 ETH, 약 600만 달러어치가 들어 있고 보도 시점까지 한 번도 움직이지 않았다.
여러 종류의 코인을 하나로 모은 것은 세탁 준비로 읽힌다. 스테이블코인은 발행사가 동결할 수 있으니 서둘러 ETH로 바꿨다는 해석도 가능하다.
돈이 한곳에 서 있는 동안은 누구나 그 주소를 지켜볼 수 있다. 브리지나 믹서로 흩어지기 시작하면 추적은 급격히 어려워진다. 이 사건의 결말은 그 주소가 언제 움직이느냐에 달려 있다.
피해액이 420만~700만 달러로 갈리는 이유는 무엇인가
같은 사건인데 숫자가 매체마다 다르다. CoinDesk는 약 700만 달러, Crypto Briefing은 USDT만 162만 개로 적었고, 다른 매체들은 420만~430만 달러를 썼다.
차이는 어느 지갑을 합산했는지, 어느 시점 시세로 환산했는지에서 난다. 비트코인 지갑 유출은 나중에 추가로 알려졌다.
사고 전 DappRadar는 Duelbits를 온체인 입금 기준 43개 크립토 카지노 중 17위로 봤고, 추적 지갑 잔액은 약 570만 달러였다. 이 숫자가 유출 전인지 후인지조차 분명하지 않다.
사고 첫날 숫자는 확정값이 아니라 추정치다. 가장 큰 숫자가 제목이 되지만, 실제 손실은 운영사 조사 결과가 나와야 정리된다.
Stake 4,100만 달러 사건과 겹치는 것, 겹치지 않는 것
거래량 기준 최대 크립토 카지노 Stake도 2023년 9월 핫월렛에서 4,100만 달러를 잃었다. FBI는 북한 해킹 조직 Lazarus Group을 범인으로 지목했다.
CoinDesk는 이번 Duelbits 건이 Stake와 같은 개인키 침해 방식이라고 짚었다. 수법이 같다는 것까지는 사실이다.
공격 주체는 전혀 다른 문제다. 이번 사건의 범인을 지목한 기관은 아직 없다. 수법이 같다고 범인이 같다고 말할 수는 없다.
두 사건이 함께 보여 주는 교훈은 분명하다. 크립토 카지노의 핫월렛은 규모와 상관없이 같은 급소를 갖고 있고, 그 급소는 한 번 막았다고 끝나지 않는다. Duelbits가 그 증거다.
서학개미 기자 · 글로벌 시장 기자서학개미 캐릭터 기자 · AI 보조 및 편집진 검토 투자 유의사항이 글은 해외 크립토 카지노 해킹 사례로 핫월렛 구조를 설명한 것이며 특정 가상자산 매매를 권유하지 않습니다. 피해액·원인은 조사 중이라 바뀔 수 있고, 플랫폼의 자산 보관 약속은 외부 검증이 어려운 만큼 이용과 투자 판단의 책임은 본인에게 있습니다.
Duelbits, 듀얼비츠, 핫월렛, 콜드월렛, 개인키 유출, 크립토 카지노, Stake, Lazarus, ETH, Scam Sniffer
