TRM Labs와 ZachXBT, 바이낸스 해킹 배후는 북한 라자루스 그룹

수사 당국, 평양을 지목

바이낸스 공격범에 대한 수사에 이제 주요 용의자가 등장했다. 블록체인 분석 기업 TRM Labs는 이번 공격을 ‘북한의 정예 해킹 부대’라고 지칭한 ‘트레이더트레이터’(라자루스 생태계의 일부)의 소행으로 규명했다. 이 회사는 온체인 및 오프체인 정보를 바탕으로 높은 확신 하에 이러한 결론을 내렸으며, 각 자산이 탈취된 시점의 탈취 금액을 약 63억 6천만 달러로 추산했다. 독립 조사관 ZachXBT는 몇 시간 앞서 유사한 결론에 도달했으며, 탈취 사건의 배후가 누구냐는 질문에 다음과 같이 답했다:

"라자루스 그룹(북한)일 가능성이 높습니다."

하지만 이러한 게시물만으로는 책임 소재가 자동으로 확인되는 것은 아니며, 아직 어떤 정부도 공식적으로 범인을 지목하지는 않았다. TRM의 글로벌 정책 책임자인 아리 레드보드(Ari Redbord)는 알자지라와의 인터뷰에서 이번 공격이 전례 없는 일이며, 향후 암호화폐 역사상 전환점으로 기록될 것이라고 말하며 다음과 같이 덧붙였다:

"북한이 이 정도 규모로 자금을 탈취하면, 그 자금은 무기 확산 및 기타 불안정화 활동에 사용됩니다."

익숙한 수법이지만 규모는 4배나 커졌다

TRM 팀은 이번 공격의 전개 방식과 특징이 작년 초 발생한 바이비트(Bybit) 해킹 사건과 일치한다고 보고 있으며, FBI는 이 사건을 2026년 4월 발생한 켈프다오(Kelpdao) 해킹 사건과 함께 동일한 그룹의 소행으로 지목한 바 있다. 블록체인 분석 기업 체인애널리시스(Chainalysis)는 별도로 약 59억 1,200만 달러가 탈취된 것으로 추산했는데, 이는 바이빗 사건 규모의 거의 4배에 달한다.

준비는 체계적으로 이루어졌는데, 온체인 연구원 0xQuit에 따르면 공격자의 중계자(relayer)는 지난 이틀 동안 각각 0.1 ETH씩 총 세 차례의 토르나데 캐시(Tornade Cash) 인출을 통해 자금을 조달받았으며, UTC 기준 15:59에 위임 계약이 배포된 것으로 확인되었다. 또 다른 분석가는 공격자가 6시간 전에 새로 생성된 세 개의 지갑을 이용해 여러 토큰의 테스트 금액을 모두 빼내는 방식으로 공격 시나리오를 리허설했다고 밝혔다. 실제 공격은 UTC 기준 20시 24분에 발생했으며, 이때 바이낸스 14 핫 월렛에서 167,464 ETH가 유출되었다. Bitcoin.com 뉴스는 어제 이 지갑 위임 작전이 어떻게 진행되었는지, 그리고 바이낸스의 초기 조사 결과가 해킹당한 DevOps 엔지니어의 노트북을 지목한 경위를 상세히 보도했습니다.

소셜 미디어에서는 이 사건에 조롱 섞인 반응이 이어졌는데, 한 네티즌은 공격자가 Pump.fun에서 “LAZARUS” 밈 코인을 출시했다고 주장했다. Bitcoin.com News는 해당 코인을 배포한 사람이 해커의 지갑과 연관되어 있는지 확인할 수 없었다.

자금의 행방

도난 자금이 크로스 체인 브리지를 통해 빠르게 이동했던 바이빗(Bybit)과 달리, 이번 자금 세탁은 대규모 거래에 의존했습니다. TRM에 따르면 공격자는 약 3억 2,500만 USDT를 마켓 메이커들에게 10% 이상의 할인율로 약 122,300 ETH에 매각했습니다. 또한 Aave에서 6,000만 USDT를 담보로 약 19,760 ETH를 차입했습니다. 자산 동결을 통해 상당 부분이 회수되었으며, 바이낸스는 동결된 총액이 약 30억 달러에 달한다고 밝혔습니다. 그럼에도 TRM은 공격자가 42만 ETH와 18,270 BTC를 보유하고 있으며, 이는 발행사의 손이 닿지 않는 약 24억 달러에 달한다고 추정하고 있다. 비트코인은 자금을 일련의 작은 송금 내역으로 분할하는 자금 세탁 방법인 ‘필 체인(peel chain)’을 통해 이동하고 있다.

온체인 렌즈(Onchain Lens)는 해당 그룹이 10억 달러 이상의 ETH를 새로운 지갑으로 이동시키고 있으며, 이는 믹싱을 앞두고 있는 것으로 보인다고 보고했다. TRM은 다음 단계에서 크로스체인 브리지, 스왑 서비스, 장외(OTC) 중개업체가 활용될 것으로 전망한다.

암호화폐 도난 사고의 기록적인 해

이번 탈취 사건은 Defillama가 ‘암호화폐 역사상 해킹 피해가 가장 컸던 해’라고 지칭한 2026년에 발생했으며, 올해 들어 현재까지 80억 달러 이상이 도난당했다. 이에 비해 2025년에는 사이버 범죄자들이 약 150건의 사건을 통해 28억 7천만 달러를 훔쳤다.

바이낸스 해킹 사건은 폴리마켓(Polymarket)이 별도의 취약점 공격으로 거래를 중단한 지 몇 시간 만에 발생했는데, 이는 보안 팀이 동시에 얼마나 많은 전선에서 싸우고 있는지를 보여준다.

그 여파는 전례 없는 수준이 될 수 있다

TRM은 자사의 비콘 네트워크(Beacon Network)를 통해 파트너사들에게 경고를 보내고 있으며, 거래소들에게 라벨이 지정된 공격자 주소를 기준으로 입금 내역을 검토할 것을 촉구했다. 한편, 바이낸스는 예비 조사가 완료되는 대로 상세한 기술적 사후 분석 보고서를 공개하겠다고 약속했다.

현재 핵심은 속도입니다. 공격자의 ETH와 BTC가 혼합되지 않은 채 방치되는 시간이 1시간 늘어날 때마다 수사관들은 자금 유출 경로를 파악할 시간을 더 확보하게 되며, 북한의 과거 행적을 고려할 때 해당 조직은 흔적이 사라지기 전에 장외(OTC) 거래소를 통해 자금을 현금화하려 할 가능성이 높기 때문입니다.