북한의 63억 달러 바이낸스 해킹, 밈 코인으로 기묘한 국면

밈 코인이 바이낸스 해킹 추적 경로를 복잡하게 만든다

엘립틱(Elliptic)의 공동 창립자이자 수석 과학자인 톰 로빈슨은 11월 9일, 북한 자금 세탁자들이 트론(Tron), 솔라나(Solana), 니어(Near)에서 밈 코인과 잘 알려지지 않은 토큰을 사용했다고 설명했다. 트론과 니어의 경우 새로 생성된 코인이 사용된 반면, 솔라나는 기존 자산을 활용했다. 로빈슨은 다음과 같이 썼다:

"대부분의 사람들은 밈 토큰을 과대광고에 따라 가격이 오르내리는 장난용 코인으로 생각합니다. 하지만 북한의 자금 세탁범들은 이를 다른 용도로 활용하고 있는데, 바로 아무도 사려 하지 않는 토큰을 만들어 도난 자금의 이동을 위장하는 것입니다."

니어(Near)에서는 한 그룹이 토큰 유동성 풀을 통해 도난당한 암호화폐로 신규 코인을 매입했다. 다른 지갑들은 동일한 풀에 매도하여 거의 동일한 수익을 챙겼으며, 이 과정에서 송금 주소와 수신 주소를 분리했다.

11월 5일부터 11월 7일 사이에 생성된 6개의 토큰은 약 117,000 NEAR(430,000달러)를 처리했으며, 외부 거래는 거의 없었습니다. 각 토큰의 출시 비용은 약 90달러였습니다. 5명의 제작자는 대체 토큰을 출시하기 직전에 이전 토큰 판매를 통해 자금을 조달받았습니다.

미 연방수사국(FBI)은 지난 10월 31일, 지난달 발생한 바이낸스 해킹 사건을 북한 소행으로 지목하며, 이 작전을 암호화폐 기업을 표적으로 삼는 북한 정부 후원 그룹인 ‘트레이더트레이터(Tradertraitor)’로 규명했다.

그러나 북한은 11월 3일 이번 해킹에 대한 책임을 부인했다. 김정은 북한 지도자의 여동생인 김여정은 FBI의 비난을 북한의 명예를 훼손하려는 “심각한 정치적 도발”이라고 일축했다.

바이낸스 해킹, 자산 동결을 앞둔 경쟁 촉발

체인애널리시스(Chainalysis)의 조사 결과, 10월 29일 바이낸스 공격으로 탈취된 자산이 9월 비트겟(Bitget) 해킹 사건의 수익금과 혼합된 것으로 나타났다. 이 회사는 이러한 중복 현상을 근거로 바이낸스 해킹 사건을 ‘트레이더트레이터’의 소행으로 지목했다. 이 평가는 공격 발생 후 몇 시간 동안 관측된 블록체인 활동 데이터를 바탕으로 이루어졌다.

공격자는 신속한 스테이블코인 전환을 통해 자산 동결을 회피하려 했으며, 약 20분 동안 3억 2,500만 달러 상당의 자금을 약 2억 8,500만 달러 상당의 이더로 교환했다. 이더는 해당 스테이블코인에서 가능한 발행자 통제형 동결 기능이 없다.

엘립틱(Elliptic)은 11월 2일 자금 세탁 전용으로 생성된 무가치한 트론(Tron) 토큰을 적발했으며, 다음 날 도난당한 솔라나(Solana) 자금은 거래량이 적은 토큰들을 통해 이동했다. 엘립틱은 이전에 2025년 바이비트(Bybit) 해킹 사건 이후 유사한 수법을 통해 최소 2,400만 달러의 자금 흐름을 추적한 바 있다. 이러한 다층적 접근 방식을 설명하며 로빈슨은 다음과 같이 말했다:

"북한의 자금 세탁범들은 단일 기법에 의존하는 경우가 거의 없습니다. 대신, 각각 약간의 지연을 더하는 여러 가지 저렴한 기법을 겹겹이 쌓아 올립니다. 자체 제작한 밈 토큰은 단순히 또 하나의 층일 뿐입니다."

수천 개의 지갑이 비트코인으로 이어져

11월 2일까지 도난당한 자산은 11개 블록체인에 걸쳐 약 12,000개의 지갑을 거쳤다. 고정된 타이밍과 실패한 작업에 대한 조정 없이 무작정 재시도하는 양상은 일반적인 자동화 방식을 시사했다. 엘립틱은 AI가 주도한 의사 결정의 증거를 발견하지 못했다.

11월 7일 업데이트에 따르면 2만 개 이상의 지갑, 16개의 블록체인, 그리고 최소 6만 5천 건의 거래가 확인되었다. 엘립틱은 솔라나, XRP, 트론 등의 자산을 당시 가치로 1억 7,500만 달러 상당의 약 2,300 비트코인으로 전환한 내역을 추적했다.

11월 9일까지 전환된 수익은 약 3,000비트코인에 달했으며, 이는 2억 2,500만 달러 상당이었다. 또한 엘립틱은 약 7,000이더(약 1,500만 달러 상당)가 토네이도 캐시(Tornado Cash)로 유입된 것을 추적했는데, 토네이도 캐시는 통합 예치금을 서로 다른 주소로 인출할 수 있게 해주는 믹서 서비스이다. 이 회사는 현금화된 금액은 미미한 수준에 불과했을 것으로 추정했다. 거래 풀을 통한 노출과 관련해, 엘립틱의 수석 과학자는 다음과 같이 경고했다:

"유동성 풀에서 자금을 수령한 지갑은 도난 자금으로부터 단 두 번의 스왑만 거치면 연결될 수 있으므로, 기본적으로 '청정'한 것으로 간주해서는 안 됩니다."