XRP 지갑 6,678개가 비었다 — 디센트 앱 지갑 사고 7문답

웨일로그 편집팀

2026년 9월 15일부터 20일까지 XRP 지갑 6,678개에서 약 1,175만 XRP가 공격자 주소로 옮겨졌습니다. XRP 레저 네트워크가 뚫린 것이 아니라, 국내 지갑 앱 디센트(D’CENT)의 앱 지갑에서 개인키가 노출된 것이 원인으로 지목됐습니다. 제조사 아이오트러스트는 2025년 11월 5일 배포된 8.1.0 버전 이전의 앱으로 앱 지갑에서 거래에 서명한 적이 있다면, 새 복구 문구로 지갑을 다시 만들어 자산을 전부 옮기라고 안내했습니다. 이 글은 2026년 9월 24일 오전(KST) 기준으로 확인된 사실만 정리한 것입니다.

📌 오늘의 헤드라인 — 2026년 9월 24일 아침

이 블록은 발행일인 2026년 9월 24일 아침 기준 스냅샷입니다. 이후 시세와 상황은 달라지므로, 지난 글을 보고 계신 경우 아래 수치는 현재 값이 아닙니다. 본문 내용은 발행일 기준으로 작성됐습니다.

밤사이 새벽까지 나온 소식을 한국시간 기준으로 정리했습니다.

  • 비트코인은 9월 24일 오전 4시 59분(KST) 기준 전날 대비 2.01% 내린 8만4,497.88달러였고, 이더리움은 2.69% 내린 2,677.43달러였습니다(토큰포스트 모닝 시세브리핑). 같은 시점 XRP는 5.25%, 도지코인은 7.38% 하락으로 집계됐습니다.
  • 24시간 동안 청산된 레버리지 포지션은 4억4,057만 달러로, 이 가운데 롱이 3억3,140만 달러, 숏이 1억917만 달러였습니다(토큰포스트 모닝 뉴스브리핑, 9월 24일 오전 5시 1분 KST).
  • XRP 지갑 6,678개에서 약 2,000만 달러 규모 자산이 여섯 차례에 걸쳐 빠져나간 사건이 같은 브리핑의 머리기사로 올랐습니다. 이 글의 본문 주제입니다.
  • 지캐시를 추종하는 유럽 첫 상장지수상품(ETP)이 9월 22일 유로넥스트 파리·암스테르담에서 거래를 시작했고, 연간 운용보수는 2.5%로 공시됐습니다(같은 브리핑).
  • 미국 10년물 국채 금리는 5.054%로 2007년 7월 이후 최고치를 기록했습니다(같은 브리핑). 금리는 코인 시장의 배경 변수라 따로 적어 둡니다.

무슨 일이 있었나

회사 발표를 시간순으로 보면 이렇습니다. 디센트는 2026년 9월 17일 공식 스토어 블로그에 올린 「앱 지갑 이상 자산 이동 경과 보고서」에서 9월 16일 새벽 고객센터로 비정상 자산 이동 신고가 처음 접수됐고, 같은 날 오전 분석에서 피해자가 앱 지갑 이용자로 좁혀졌다고 밝혔습니다. 이후 오후에 공식 X 채널과 앱 내 긴급 공지를 올리고, 거래소에 탈취 의심 자산 동결을 요청하고 국내 수사기관에 신고했다고 적었습니다. 9월 17일 새벽에는 앱 안에 조치 대상 확인 기능을 배포하고 외부 보안 업체와 자금 추적에 들어갔다고 했습니다.

규모는 온체인 분석으로 집계됐습니다. 분석 업체 XRPL.to는 9월 15일부터 20일까지 지갑 6,678개에서 1,175만 XRP가 빠져나갔고 당시 시세로 약 1,868만 달러라고 집계했으며, 이 가운데 4,208개는 일반 송금으로, 2,470개는 계정 삭제 방식으로 비워졌다고 밝혔습니다(코인슬레이트 9월 23일 보도). 집계 사이트와 언론 보도는 1차 자료가 아니므로, 이 수치는 출처를 밝혀 인용만 하고 아래에서 원장을 직접 확인한 내용과 구분해 적습니다.

원장에서 직접 확인한 것

웨일로그는 XRP 레저 공개 노드(xrplcluster.com)의 JSON-RPC에 직접 질의해 첫 번째 공격 흐름을 확인했습니다. 결과는 아래와 같습니다.

첫 자금이 모인 수취 주소는 rDT8UPJM1Xd1MVbDi1R2bZH17MHWuvwPui였습니다. 이 주소에 들어온 가장 이른 거래는 2026년 9월 15일 16시 29분 50초(UTC), 한국시간 9월 16일 오전 1시 29분 50초에 기록된 9 XRP 송금이었고(원장 번호 107005860, 발신 주소 rHtxaERCh17JBzzxYRwJMGtzBJokiBLxAe), 그 거래가 이 주소를 새로 만든 거래였습니다. “10 XRP가 들어 있던 지갑에서 9 XRP를 새 주소로 옮기는 것으로 시작됐다”는 보도 내용과 시각·금액이 정확히 일치합니다.

이어서 원장 107005860번부터 107006094번까지, 즉 시작 시각부터 9월 15일 16시 45분(UTC)까지 약 15분 구간을 한 블록씩 전부 훑었습니다. 이 구간에서 해당 주소로 성공 처리된 송금은 486건, 보낸 주소는 서로 다른 271개, 실제 전달된 금액 합계는 1만9,415.559425 XRP였습니다. 마지막 거래는 16시 44분 0초에 기록돼 있었습니다. 앞서 인용한 집계 쪽 1차 파동 수치(약 1만9,787 XRP)와 금액이 거의 겹치므로, 규모 자체는 서로 다른 방법으로 확인됐다고 볼 수 있습니다. 다만 지갑 개수는 집계 쪽이 204개, 저희 실측이 271개로 달랐는데, 소액 거래를 세는 기준이 다른 것으로 보이며 어느 쪽이 맞는지는 확인되지 않았습니다.

9월 17일 11시 30분경(UTC)에는 같은 주소를 수취인으로 지정한 AccountDelete 거래가 연달아 들어와 있었습니다. AccountDelete는 XRP 레저에서 계정을 지우면서 남은 잔액을 지정한 주소로 보내는 거래 유형입니다. XRP 레저는 계정마다 일정 금액을 준비금으로 묶어 두는데, 일반 송금으로는 빼낼 수 없는 이 준비금까지 긁어 가려고 계정 삭제를 쓴 것으로 보입니다. 앞서 인용한 “2,470개는 계정 삭제 방식”이라는 집계와 대응하는 대목입니다.

빠져나간 자금은 다시 움직였습니다. 이 주소에서 나간 성공 거래는 15건, 합계 127만8,895.522988 XRP였습니다. 가장 큰 건은 9월 15일 18시 25분 32초(UTC)에 rE6Mxn7rTUUu7y1HqFnRMb6NJwSBBAi9UL로 보낸 71만9,476.22131 XRP이고, 9월 16일 0시 56분에는 r91LKBRnVr7HBXjLRdxQ1WfUQ6FUAXSxFR로 11만8,400 XRP가 나갔습니다. 9월 18일에는 5만 XRP짜리 송금이 서로 다른 주소로 일곱 차례 반복되고 마지막에 5만8,840 XRP가 나갔습니다. 2026년 9월 24일 오전 9시 48분(KST)에 조회한 이 주소의 잔액은 1.467597 XRP였습니다. 나간 금액과 남은 잔액을 더하면 이 주소 한 곳이 받은 XRP는 최소 127만8,897개입니다.

확인에 실패한 것도 밝혀 둡니다. 공개 노드의 계정 거래내역 조회는 과거 기록을 끝까지 돌려주지 않아(조회를 반복할 때마다 1,200건에서 2,800건 사이로 다르게 잘렸습니다) 이 주소가 받은 입금을 건별로 완결 집계하지는 못했습니다. 위에 적은 수치는 원장 구간을 직접 훑은 실측값과, 나간 거래에서 역산한 하한값입니다. 전체 피해 규모는 앞서 출처를 밝힌 XRPL.to 집계를 따릅니다. 두 번째 수취 주소, 공격자의 신원, 위 주소들이 거래소인지 브리지인지, 자금의 최종 목적지는 확인되지 않았습니다.

내 지갑이 대상인지 확인하는 기준

디센트가 9월 17일 함께 올린 「앱 지갑 자산 이동 조치 대상 확인 방법」에 기준이 적혀 있습니다. 회사가 밝힌 조치 대상은 ①2025년 11월 5일 오후 4시 40분경(한국시간) 배포된 8.1.0 버전보다 이전의 앱으로 앱 지갑에서 거래에 서명한 적이 있는 경우 ②앱 지갑과 하드웨어 지갑에 같은 복구 문구를 쓴 경우 ③8.1.0 이전 앱 지갑의 복구 문구를 하드웨어 지갑에 복구해 넣은 경우입니다. 반대로 8.1.0 이후에 설치했거나, 하드웨어 지갑만 쓰고 앱 지갑에서 서명한 적이 없다면 대상이 아니라고 적혀 있습니다. 앱의 ’전체 지갑 관리’에서 ’조치 대상 확인하기’를 누르면 주소를 대조해 준다고 안내했습니다.

회사 안내의 핵심은 지갑 앱을 업데이트하는 것으로 끝나지 않는다는 점입니다. 이미 노출됐을 수 있는 복구 문구는 그대로 두면 계속 위험하므로, 완전히 새로운 복구 문구로 지갑을 새로 만들어 코인·토큰·NFT와 승인 권한까지 옮기고 기존 주소를 다시 쓰지 말라고 했습니다. 영향 범위도 XRP에 한정되지 않습니다. 회사는 비트코인, 이더리움, XRPL, 트론, EVM 계열을 함께 적었습니다. 참고로 이 사고 공지는 헬프센터가 아니라 공식 스토어 블로그(store-kr.dcentwallet.com)에 올라와 있습니다.

이 사고가 초보 투자자에게 남기는 것

개인 지갑은 거래소와 달리 복구 문구를 쥔 사람이 곧 소유자입니다. 그래서 이번 사고는 “해킹당했다”는 표현보다 “서명 권한이 복제됐다”는 표현이 정확합니다. 공격자가 정상 서명으로 거래를 만들었으니 온체인에는 이상 징후가 남지 않고, 되돌릴 주체도 없습니다. 웨일로그가 앞서 정리한 핫월렛과 콜드월렛의 차이와 시드 문구 보관법에서 “문구를 안전하게 보관하라”고 적었는데, 이번 사고는 그보다 한 단계 앞, 문구가 만들어지는 과정 자체가 부실할 수 있다는 경우입니다. 이용자가 아무리 조심해도 앱이 예측 가능한 난수로 문구를 만들었다면 막을 방법이 없습니다. 다만 난수 문제라는 지목은 아직 추정이며, 회사가 확정한 원인은 공개되지 않았습니다.

그래서 실무적으로 남는 교훈은 두 가지입니다. 첫째, 지갑 앱의 버전과 업데이트 이력은 그 자체가 보안 정보입니다. 오래 안 켠 앱에 자산을 두고 있다면 지금 버전을 확인할 이유가 생겼습니다. 둘째, 같은 복구 문구를 여러 기기·여러 앱에 돌려 쓰면 한 곳의 약점이 전부로 번집니다. 이번 안내에서 하드웨어 지갑 이용자까지 조치 대상에 들어간 이유가 정확히 그것입니다.

앞으로 확인할 것

2026년 9월 24일 오전 기준으로 아직 정해지지 않은 일들이 있습니다. 회사가 확정한 기술적 원인 발표, 거래소·재단에 요청한 동결의 결과, 경찰 사이버수사 진행 상황, 그리고 배상 여부에 대한 회사의 입장이 여기에 해당합니다. 디센트는 경과 보고서에서 동결·회수 여부가 관계기관과 제3자의 조치, 수사 결과에 따라 달라질 수 있다고만 적었고, 배상 계획은 발표하지 않았습니다. 국내 지갑 사업자의 사고인 만큼 금융당국이나 한국인터넷진흥원이 별도 조치를 내놓는지도 확인할 지점인데, 발행 시점까지 그런 발표는 확인되지 않았습니다. 앱 지갑에 자산을 두고 있다면 회사의 후속 공지를 기다리기보다 조치 대상 확인 기능을 먼저 돌려 보는 쪽이 순서에 맞습니다.

이 글은 정보 제공 목적으로 작성되었으며 투자 권유가 아닙니다. 투자 판단과 책임은 본인에게 있습니다.