바이낸스 해킹으로 북한 획득 14억 달러 비트코인 그대로

바이낸스 63억 달러 탈취 사건의 배후는 북한 해커들

다시 한번, 평양은 거래량 기준 세계 최대 암호화폐 거래소를 상대로 63억 달러 규모의 해킹을 주도했다는 혐의를 받고 있다. 바이낸스의 예비 조사 결과, 이번 침입은 해킹당한 소프트웨어 엔지니어의 노트북에서 시작된 것으로 나타났다. 이 침해 사고로 인해 공격자들은 거래소의 내부 서비스 중 하나에 침투할 수 있는 진입점을 확보하게 되었다.

그러나 이후 포렌식 조사 결과 추가로 침해된 시스템들이 발견되었으며, 이는 단순히 한 직원의 인증 정보를 훔친 것보다 훨씬 더 정교한 작전이었음을 시사한다. 체이널리시스(Chainalysis), 엘립틱(Elliptic), TRM 랩스(TRM Labs)를 포함한 여러 블록체인 정보 분석 기업들은 이번 절도 사건을 ‘트레이더트레이터(Tradertraitor)’의 소행으로 지목했으며, 10월 31일 FBI가 이번 공격의 배후로 북한의 해킹 작전을 지목하면서 이러한 평가가 더욱 확고해졌다.

‘트레이더트레이터(Tradertraitor)’는 ‘라자루스 그룹(Lazarus Group)’과 밀접한 관련이 있으며, 북한 정부의 광범위한 해킹 체계 내에서 재정적 동기를 가진 전문 하위 그룹으로 활동하며, 관련 악성코드 및 사이버 첩보 작전의 명칭으로도 사용됩니다. 라자루스 그룹은 역사적으로 상당한 규모의 비트코인을 보유해 왔으며, 최근 발생한 18,270.2 BTC 규모의 도난 사건으로 인해 북한은 표면상 이 암호화폐를 보유한 세계 3위의 국가가 되었다.

불법적으로 취득한 비트코인을 현금화하는 것은 일반적으로 매우 어려운 과제로 여겨지지만, 평양은 훔친 자산을 비교적 수월하게 사용 가능한 자금으로 전환할 수 있는 능력을 반복적으로 보여왔다.

바이낸스 핫 월렛의 95%를 텅 비게 한 비트코인 탈취 사건의 내막

최근 발생한 바이낸스 탈취 사건은 비트코인 유출의 정확한 메커니즘이 여전히 불분명해 특히 흥미로운 수수께끼를 제시하고 있다. 현재 14억 달러 상당으로 평가되는 탈취 자금은 11차례의 별도 이체를 거친 후, 각기 다른 양의 BTC를 보유한 지갑들로 분산되었다.

현재 자금은 총 19개의 서로 다른 지갑에 분산되어 있으며, 모든 거래는 비트코인 블록 높이 973732에서 확인되었습니다. 도난당한 자금은 bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h로 확인된 바이낸스 핫 월렛에서 유출된 것으로, 현재 이 주소에는 426,000달러 상당의 약 5.495 BTC가 남아 있습니다.

2021년 생성된 이래, 이 매우 활발하게 사용된 주소는 입금 거래로 무려 16,517,012.48 BTC를, 출금 거래로 16,517,006.98 BTC를 처리했습니다. 2022년 6월, 이 지갑의 잔고는 138,000 BTC였으며, 크라켄(Kraken), OKX, 불리시(Bullish), 바이비트(Bybit), 코인베이스(Coinbase) 등 수십 개의 중앙화 거래소(CEX) 플랫폼을 포함한 주요 업계 참여자들과 지속적으로 거래 연결을 유지해 왔습니다.

알고리즘 기반 암호화폐 시장 조성자(MM)인 윈터뮤트(Wintermute)와 연관된 것으로 알려진 주소들도 이 지갑과 76차례에 걸쳐 거래를 주고받았으며, 이 과정에서 9억 달러 이상의 비트코인이 오갔습니다. Tradertraitor가 이 지갑을 해킹했을 당시, 지갑에는 약 19,200 BTC가 보관되어 있었으며, 해킹 조직은 20분도 채 되지 않는 시간 동안 보유량의 거의 95%를 빼돌렸다. 평양 해커들에게 귀속된 것으로 추정되는 19개의 지갑 중 17개에는 각각 정확히 1,000 BTC가 들어 있으며, 나머지 두 개에는 각각 832.5 BTC와 437.7 BTC가 보관되어 있다.

북한의 자금 세탁 이력이 의문을 제기하는 가운데, 도난당한 비트코인은 방치된 상태

현재로서는 도난당한 비트코인이 이 주소들에서 그대로 방치되어 있지만, 현재 비활성 상태라고 해서 영구적으로 움직이지 않을 것이라는 보장은 없다. 탈취한 자금을 분할함으로써 모니터링해야 할 출력이 늘어났지만, 그 출처가 지워진 것은 아닙니다. 온체인 조사관들과 블록체인 정보 분석 기업들은 의심할 여지 없이 이 비트코인 주소들을 면밀히 조사할 것입니다. 탈취된 BTC는 최종적으로 이동하기 전까지 장기간 비활성 상태로 머무르는 경우가 많지만, 이러한 지연이 항상 발생하는 것은 아닙니다.

한편, 아캄 인텔리전스(Arkham Intelligence)가 라자루스 그룹(Lazarus Group)과 직접 연관 지은 지갑에는 현재 비교적 적은 양인 23.38 BTC가 보관되어 있는데, 이는 2025년 3월 당시 그들이 통제하던 약 14,000 BTC와는 극명한 차이를 보인다. 이는 북한이 수천 개의 비트코인을 체계적으로 분산시키고, 궁극적으로 불법 자산을 현금화할 수단을 찾아내는 상당한 능력을 보여줬음을 시사한다. 바이낸스가 도난당한 자산을 되찾을 수 있도록 돕기 위한 광범위한 회수 노력이 진행 중이지만, 비트코인 자체에는 자금을 단순히 동결할 수 있는 메커니즘이 없다.

비트코인의 깨지지 않는 규칙, 수사 당국은 지켜볼 수밖에 없다

스테이블코인 발행사는 토큰 계약에 내장된 제한 사항을 통해 자산을 동결할 수 있지만, 비트코인에는 주소를 블랙리스트에 올리거나 확정된 거래를 되돌릴 수 있는 중앙 권한이 존재하지 않습니다. 따라서 수사관들은 도난 자금이 결국 통과할 수 있는 거래소, 중개인 또는 기타 중개 기관과 같은 잠재적인 개입 지점을 파악해야 합니다. 또는 해당 개인 키에 대한 통제권을 확보함으로써 비트코인을 압수할 수 있는 방법이 될 수도 있다. 그러나 두 방법 모두 비트코인 블록체인에 기록된 거래를 행정적으로 되돌리는 것은 아니다.

현재로서는 이 투명한 원장이 자산 자체에 대한 통제권을 부여하지는 않으면서도 상세한 증거 흔적을 제공합니다. 수사관들은 도난당한 비트코인의 모든 이동 경로를 추적할 수 있지만, 단순히 추적할 수 있다는 사실만으로는 이를 이전할 권한을 부여받지는 못합니다.