바이낸스 해커들, ‘전례 없는’ 암호화폐 자금세탁 수법 동원

수천 건의 이체 내역, 자동화된 자금 세탁을 시사

블록체인 분석 기업 체인애널리시스(Chainalysis)는 10월 30일, 역대 최대 규모의 암호화폐 탈취 사건으로 기록된 바이낸스 탈취 사건(추정 피해액 64억 달러) 이후 자동화된 자금 세탁으로 의심되는 정황을 확인했습니다. 이 회사는 다음과 같이 밝혔습니다:

"당사 조사관들은 바이낸스 해킹으로 탈취된 자금과 관련해 전례 없는 자금 세탁 패턴을 관찰하고 있습니다."

단기간에 수천 건의 거래가 발생한 점은 자금 이력을 은폐하기 위한 자동화 과정을 시사한다. 조사관들은 일련의 과정 중 이전에 사용된 지갑으로 자금이 되돌아가는 것을 포함해, 주소 간에 반복적으로 이루어지는 이체를 추적했다. 많은 주소는 먼저 거래 수수료를 지불하는 데 사용되는 트론(Tron)의 기본 토큰인 TRX를 정확히 1 TRX씩 수령한 후, 추가 자금을 받아 다른 곳으로 자산을 전달했습니다. 체인애널리시스는 다음과 같이 덧붙였습니다. "이러한 반복적인 순서는 도난 자금을 이동하고 재분배하기 위한 프로그램화된 과정을 시사합니다."

수사관들, 접근 경로 및 북한 연계 추적

바이낸스 공동 CEO 리처드 텡은 도구와 흔적을 파괴하는 자가 파괴 메커니즘과 더불어, 추가적인 침해 지점과 승인 통제 우회 경로를 공개했다. 체인애널리시스는 자금 유출 시점을 10월 29일 동부 표준시 기준 오후 4시 20분경으로 추적했으며, 입금과 출금 간의 연결 고리를 숨기는 암호화폐 믹서인 ‘토네이도 캐시(Tornado Cash)’를 통해 자금이 유입된 이더리움 지갑을 확인했습니다. 해당 지갑은 유효한 서명된 승인서(암호학적으로 서명된 권한)를 제출하여, 바이낸스 핫 월렛이 공격자가 배포한 소프트웨어를 실행하고 자산을 공격자가 통제하는 주소로 이체할 수 있게 했다. 자금 세탁 패턴은 초기 단계에서 북한 사이버 범죄 조직인 ‘트레이더트레이터(Tradertraitor)’의 개입 가능성을 시사했다. 이후 체인애널리시스는 도난당한 바이낸스 자산이 이전에 북한 세력의 소행으로 지목되었던 9월 비트겟 해킹 사건의 수익금과 혼합되는 것을 관찰했으며, 이는 이번 해킹의 배후가 ‘트레이더트레이터’라는 추정을 더욱 확고히 했다. 이와 별도로, TRM 랩스는 온체인 및 오프체인 정보를 인용하며 바이낸스 공격의 배후가 ‘트레이더트레이터’라고 높은 확신도로 결론지었다.

자산 동결을 앞둔 스테이블코인 스왑 경쟁

체인애널리시스는 다음과 같이 설명했습니다:

"자금 동결에는 시간이 걸립니다. 공격자는 동결 가능한 자산을 동결 불가능한 자산으로 교환하는 역할을 하는 지갑으로 5억 달러 상당의 스테이블코인을 신속하게 이동시킴으로써, 이 과정을 한 발 앞서 나가려 했습니다."

이러한 스테이블코인 동결 및 블랙리스트 통제는 지정된 주소가 해당 토큰을 이체하는 것을 막을 수 있는 반면, 네이티브 이더(Ether)에는 발행자가 통제하는 이에 상응하는 메커니즘이 없습니다.

약 20분 동안 해당 지갑은 3억 2,500만 달러 상당의 스테이블코인을 약 2억 8,500만 달러 상당의 이더로 교환한 뒤, 10분 후 나머지 1억 7,500만 달러를 중개 지갑으로 이동시켰다. 동결 조치는 10월 29일 동부 표준시 기준 오후 5시 14분경 시작되었으며, 체인애널리시스(Chainalysis)는 10월 30일 기준 약 28억 달러가 동결되었다고 보고했다. 바이낸스(Binance)는 별도로 그날 총 동결 금액을 약 30억 달러로 추산했다.

또한 바이낸스는 동결된 자산을 제외하고 이번 사태를 처리하기 위해 63억 4천만 달러 이상의 회사 자금을 확보해 두었다고 밝혔다. 이 금액 중 50억 달러는 이미 해당 토큰 형태로 보유 중이었다. 나머지 자금을 충당하기 위해 시장 및 장외(OTC) 채널을 통한 매입이 진행 중이었다.