게시일:2026년 11월 2일 오후 7:15 GMT-5

바이낸스 해킹 자금, 4일도 채 안 돼 12,000개 지갑으로 분산

엘립틱(Elliptic)의 조사 결과, 바이낸스에서 도난당한 자금은 4일도 채 되지 않는 기간 동안 약 12,000개의 지갑을 거쳐 이동한 것으로 나타났다. 이 작업은 11개의 블록체인을 아우르는 규모였으나, 해당 업체는 실제로 현금화된 금액은 미미한 수준에 그쳤을 것으로 평가했다.

작성자

Kevin Helms

게시일: 2026년 11월 2일 오후 7:15 GMT-5

주요 내용

이 작전에서는 약 25초마다 새로운 지갑 하나를 생성해 사용했다.
엘립틱은 AI 에이전트의 증거보다는 기존의 자동화 방식을 확인했다.
11월 2일 기준으로 도난과 관련된 주소에는 약 32억 4천만 달러가 남아 있었다.

수천 개의 지갑, 자금 세탁 흔적 확대

블록체인 분석 기업 엘립틱(Elliptic)은 11월 2일, 바이낸스에서 도난당한 암호화폐 자산이 4일도 채 되지 않는 기간 동안 11개 블록체인의 약 12,000개 지갑을 거쳐 이동했다고 보고했다. 이 회사는 10월 29일 64억 3천만 달러가 도난당한 후 진행된 12,000개 지갑을 이용한 자금 세탁 작전을 분석하여 40,000건 이상의 거래를 추적했습니다. 엘립틱은 다음과 같이 밝혔습니다.

"이 자금 세탁은 매우 복잡하며 명백히 자동화되어 있다."

체인애널리시스(Chainalysis)는 10월 30일, 주소 간 반복적인 이체와 이전에 사용된 지갑으로의 환류가 관찰되는 등 자동화된 자금 세탁으로 의심되는 패턴을 확인했다. 많은 수취 주소는 더 큰 잔액을 수령하고 전달하기 전에 거래 수수료로 트론(Tron)의 기본 암호화폐인 TRX를 정확히 1 TRX씩 받았다. 이러한 반복적인 순서는 소프트웨어가 탈취 자금을 재분배하고 있음을 시사했다.

바이낸스의 리처드 텡 공동 CEO는 10월 30일 공개된 영상에서, 이번 해킹 사건 자체에 추가적인 침입 경로가 존재했으며 승인 통제 절차를 우회했다고 밝혔다. 그는 초기 의심 대상이었던 해킹당한 노트북을 넘어선 범위의 조사가 진행 중이라고 설명했다. 또한 자가 파괴 메커니즘이 공격 도구와 흔적을 말소해 거래소의 수사를 더욱 복잡하게 만들었다.

자동 이체가 금고 및 비트코인 믹싱으로 이어지다

엘립틱(Elliptic)은 고정된 시간, 정해진 금액, 무작위 재시도 패턴을 확인했다. 이러한 패턴은 일반적인 소프트웨어 스크립트를 시사했다. 이 회사는 인공지능 소프트웨어가 이체에 대한 결정을 내리고 있다는 증거를 발견하지 못했다.

공격자는 또한 예금을 받고 인출을 처리하는 프로토콜 계약인 대출 볼트를 이용해, 주소 간 직접 이체 없이 한 주소에서 입금하고 다른 주소로 인출하는 방식을 사용했다. 비트코인 믹싱은 11월 1일에 시작되어, 11월 2일 초까지 약 28 BTC(220만 달러 상당)가 18건의 코인조인(coinjoin)을 거쳤다. 코인조인은 여러 사용자의 비트코인 입력과 출력을 공유 거래에 결합하여 개별 거래 내역을 추적하기 어렵게 만든다.

자산 이동 시도는 토르체인(Thorchain)의 긴급 스왑 중단 조치와 겹쳤다. 블록체인 간 암호화폐 스왑을 가능하게 하는 이 프로토콜은 10월 31일 10 ETH와 관련된 회계 불일치가 발생하자 안전 장치를 가동했다. 체인애널리시스(Chainalysis)는 이 오작동이 의도치 않게 바이낸스(Binance) 해킹 사건과 관련된 자금 세탁을 지연시켰다고 밝혔다.

거래소들, 현금화 시도 차단 압박 직면

미 연방수사국(FBI)은 10월 31일 바이낸스 해킹 사건을 북한 소행으로 지목하며, 이를 북한 정부가 후원하는 해킹 그룹인 ‘트레이더트레이터(Tradertraitor)’의 활동으로 규명했다. FBI는 미국 비밀경호국(Secret Service) 및 국세청(IRS) 범죄수사국과 협력하여, 주로 이더로 전환되는 과정을 관찰했다. 당국은 거래소, 인프라 운영사 및 탈중앙화 금융(DeFi) 서비스 제공업체들에게 해당 주소와 관련된 거래를 차단할 것을 촉구했다. 개입 방식은 부분적으로 관련된 자산에 따라 달라진다. 스테이블코인 동결 및 블랙리스트 통제를 통해 발행사는 보유자가 지갑 키를 제어하고 있는 경우에도 지정된 주소가 토큰을 이체하는 것을 막을 수 있다. 거래소는 별도로 입금을 제한하거나 계정을 동결할 수 있으며, 이는 발행자가 통제하는 동결 기능이 없는 암호화폐에 대한 또 다른 개입 수단이 됩니다. 엘립틱(Elliptic)의 차트는 10월 29일 당시의 원래 형태부터 11월 2일 기준의 스왑, 동결, 잔여 보유량에 이르기까지 도난당한 자산의 이동을 추적합니다. 이 차트에 따르면 28억 5천만 달러가 동결된 반면, 공격자는 40개의 주소에 걸쳐 약 14억 3천만 달러 상당의 비트코인과 857개의 주소에 걸쳐 13억 7천만 달러 상당의 이더를 보유한 것으로 나타났습니다. 이와는 별도로 1,600만 달러가 Bitget 해킹 수익이 들어 있는 주소로 유입되었는데, 이는 두 건의 탈취 사건에서 발생한 자금 일부가 합쳐졌음을 시사합니다.

elliptic what happened to the billions stolen from Binance — 바이낸스에서 탈취된 자산의 분포. 막대 폭은 탈취 당시의 가치를 반영하며, 오른쪽 라벨은 11월 2일 07:00 UTC 기준 추정 가치를 나타냅니다. 출처: Elliptic.

한 암호화폐를 다른 암호화폐로 전환하는 행위 자체만으로는 현금화라고 단정할 수 없습니다. 엘립틱은 해당 관측 시점에 도난과 관련된 주소에 약 32억 4,000만 달러가 남아 있는 것으로 추정했으며, 대부분은 이더와 비트코인이었습니다. 엘립틱은 향후 수개월에 걸쳐 장외 중개업체를 통한 현금화 시도가 있을 것으로 예상했습니다.