2,868 읽음
북한 바이낸스 해킹 세탁, 지갑 2만개 자동화 거래
위키트리
0
바이낸스 해킹으로 탈취된 자금의 세탁 방식이 구체적으로 드러났다. 블록체인 분석업체 엘립틱(Elliptic)의 공동창업자 겸 최고과학자 톰 로빈슨(Tom Robinson) 박사는 이번 주 분석 보고서에서 해커들이 20,000개가 넘는 지갑과 65,000건 이상의 거래를 동원했다고 밝혔다. 이 흐름은 16개 블록체인과 최소 36개 서비스에 걸쳐 있다. 보고서에는 11월 7일(현지시각)까지의 내용이 반영됐다.
로빈슨 박사는 이를 두고 “세탁 과정은 매우 복잡하고 분명히 자동화돼 있다”고 설명했다. 도난 이후 대략 30초마다 새 지갑이 하나씩 생기고 10초마다 거래가 한 건씩 일어난 셈이라는 것이다. 자금 추적이 쉽지 않은 이유가 여기에 있다.
엘립틱이 제시한 수치는 세탁 규모와 속도를 동시에 보여준다. 로빈슨 박사는 “도난 이후 20,000개 넘는 지갑을 16개 블록체인에서 썼고 최소 36개 서비스와 최소 65,000건의 거래가 있었다”고 적었다. 이어 “대략 30초마다 새 지갑 하나, 10초마다 거래 한 건”이라고 덧붙였다. 사람이 손으로 하기엔 불가능한 속도라는 점에서 ‘자동화’라는 표현이 나왔다.
사건은 2026년 10월 29일 발생했다. 달러 기준으로 역대 최대 규모의 거래소 해킹으로 꼽힌다. 앞서 해커들이 바이낸스에서 비트코인 18,270.2개를 빼낸 것으로 전해졌고 바이낸스는 총 63억 4,000만 달러(약 8조 6,000억 원, 1달러 1,357원 기준) 규모의 탈취 사건을 설명한 바 있다.
로빈슨 박사는 분석 내내 해커를 북한과 연결 지었다. 비트코인닷컴뉴스(Bitcoin.com News)에 따르면 보고서에서 북한은 여덟 차례 언급된다. 앞서 미국 연방수사국(FBI)도 북한 연계 조직 TraderTraitor를 배후로 지목한 바 있다.
엘립틱에 따르면 해커들은 훔친 알트코인을 비트코인으로 바꿨다. 이렇게 전환된 물량은 약 2,300 BTC로 11월 7일 비트코인 가격 기준 1억 7,500만 달러(약 2,375억 원) 규모다. 이 비트코인은 새로 만들어진 비트코인 주소들에 쌓여 있다.
전환의 중심에는 솔라나(SOL)가 있다. 해커들이 옮긴 솔라나는 약 9,000만 달러어치이고 상당 부분이 결국 비트코인으로 바뀌었다. 리플(XRP)도 해커들의 비트코인 보유량이 늘어나는 데 상당히 기여한 것으로 나타났다. 도난당한 트론 역시 BTC와 교환됐다.
이더리움은 전환 물량에서 비중이 작았다. 해커들은 체인 간 자산 교환을 위해 쏘체인도 활용했다. 쏘체인은 서로 다른 블록체인의 자산을 맞바꾸는 서비스로, 이번 세탁 경로에서 중간 다리 역할을 한 것으로 지목됐다. NEAR 쪽에서는 약 41만 2,000 NEAR(150만 달러어치)가 주요 계정을 소규모로 나눠 빠져나갔다.
일부 비트코인은 와사비 월렛의 코인조인을 통과했다. 코인조인은 여러 참여자의 비트코인을 한데 섞어 블록체인상 추적을 어렵게 만드는 기법이다. 로빈슨 박사의 분석에 따르면 11월 7일까지 이 방식으로 처리된 물량은 약 88 BTC, 670만 달러어치다.
전체 전환 물량 2,300 BTC와 비교하면 코인조인을 거친 비중은 아직 작다. 다만 새 주소를 대량으로 만들고 여러 체인을 오가는 방식 자체가 추적 비용을 키운다. 20,000개 넘는 지갑과 65,000건 넘는 거래가 얽힌 상황에서는 자금이 어디로 흘렀는지 하나씩 따라가기 어렵다.
로빈슨 박사는 “주요 비트코인과 이더리움 보유분은 손대지 않은 상태”라고 밝혔다. 즉 지금까지 움직인 것은 탈취 자금의 일부 전환분이다. 핵심 보유 물량이 그대로 남아 있다는 점은 이후 세탁이 더 이어질 수 있는 여지로도 읽힌다.
비트코인닷컴뉴스가 블록체인 분석 플랫폼 아캄 인텔리전스에서 확인한 데이터는 엘립틱 설명과 온도차가 있다. 아캄에는 2,300 BTC에 해당하는 증가분이 나타나지 않았다. 다만 공격자 몫으로 분류된 18,270.2 BTC는 11월 7일 오전 10시(미 동부시간) 기준 18,384.725 BTC로 늘었다. 늘어난 양은 약 114.5 BTC다.
같은 아캄 거래 기록에서는 토요일에 쏘체인 금고에서 들어온 비트코인 입금이 확인됐다. 트론 네트워크의 디파이 프로토콜인 썬닷아이오를 통한 TRX 토큰 교환도 나타났다. 분석 도구마다 주소 분류 범위가 달라 수치 차이가 생겼을 가능성은 있다.
한편 바이낸스는 11월 3일 사고 보고서를 냈다. 보고서는 가짜 채용 면접, 오염된 개발자 소프트웨어, 내부 AI 도구를 거친 공격 경로를 설명했다. 탈취된 배포 자격 증명이 결국 10월 29일 지갑 서명 작업에 대한 접근권으로 이어졌다는 내용이다. 암호화폐 업계 매체 크립토뉴스는 바이낸스가 11월 1일 비트코인 출금을 재개하며 서비스 복구에 들어갔다고 전했다.
바이낸스는 이후 영향받은 토큰 자산의 98%를 다시 채웠고 나머지 유동성이 낮은 암호화폐는 매입 중이라고 밝혔다. 앞서 알려진 약 95%에서 복구율이 더 올라간 것이다. 최고경영자 리처드 텅은 고객이 손실을 부담하지 않는다고 밝혔고 약 28억 5,000만 달러가 동결되거나 차단된 것으로 전해졌다.
시장에서는 비트코인 현물 ETF 자금이 다시 빠져나갔다. 파사이드 인베스터스 집계로 11월 5일 미국 비트코인 현물 ETF에서 4억 3,020만 달러가 순유출됐다. 전날에는 7,460만 달러가 순유입됐다. 11월 첫 네 거래일의 합산 순유출은 8억 6,980만 달러였다. 블랙록 IBIT는 이틀 모두 자금이 빠졌고 하루 유출액은 2억 120만 달러에서 1억 500만 달러로 줄었다.