북한 해커, 바이낸스 60억 달러 탈취 자금 초당 1개 지갑으로 세탁 중

북한 연계 해킹 조직이 바이낸스에서 탈취한 60억 달러 상당의 암호화폐를 초당 1개꼴로 새로운 지갑으로 옮기며 세탁 작업을 벌이고 있는 것으로 드러났다. 블록체인 분석 업체 엘립틱(Elliptic)의 27일(현지시간) 분석에 따르면, 해커는 나흘도 채 되지 않아 약 12,000개의 지갑과 40,000건 이상의 거래를 통해 자금을 분산시켰다. 이는 자동화된 프로그램에 의한 것이며, 인공지능(AI)의 개입은 관찰되지 않았다고 엘립틱은 밝혔다.

이번 해킹으로 탈취된 금액은 총 64억 3천만 달러에 달하며, 이 중 약 44%인 28억 5천만 달러는 테더(Tether)와 서클(Circle) 등 스테이블코인 발행사의 신속한 조치로 동결되거나 회수되었다. 이는 지난 2월 북한의 15억 달러 규모 바이비트(Bybit) 해킹 당시 회수율 3%에 비해 크게 높아진 수치다.

이번 탈취 자금의 54%인 34억 6천만 달러가 스테이블코인이었던 점이 신속한 동결 조치를 가능하게 했다. 테더는 공격자의 지갑으로 USDT가 이동한 지 37분 만에 이를 동결했으며, 서클은 8억 2,300만 달러 상당의 USDC를 교환되기 전에 전량 동결했다.

동결 조치 전, 해커는 탈중앙화 거래소 유니스왑(Uniswap)에서 4억 3,400만 USDT를 ETH로 교환했으며, 대출 프로토콜 아베(Aave)에서 1,9762 ETH를 빌리기 위해 5,990만 USDT를 담보로 제공하기도 했다. 또한, 2억 3,400만 USDT를 트론(Tron)의 TRX 토큰으로 교환하는 등 약 7억 8,600만 달러 상당의 스테이블코인이 동결을 피해 빠져나갔다.

해커는 지난 목요일 늦게 바이낸스의 핫 월렛(Hot Wallet)에서 자금 인출을 시작했다. 미국 연방수사국(FBI)은 이 사건의 배후로 북한 정부와 연계된 해킹 그룹 '트레이더트레이터(TraderTraitor)'를 지목하고, 수백 개의 연관된 주소를 공개했다. 바이낸스는 모든 손실을 보상하겠다고 밝혔으며, 일요일 출금을 재개한 후 첫 9시간 30분 동안 약 36억 4천만 달러의 순유출을 기록했다.

자금 세탁 과정은 매우 빠른 속도로 진행되었다. 특히 트론은 주요 경로로 이용되었으며, 한때 시간당 1,300건에 달하는 거래량이 기록되기도 했다. 이러한 속도는 AI에 의한 세탁 작업이라는 추측을 불러일으켰지만, 엘립틱은 고정된 시간 간격, 설정된 거래량, 맹목적인 재시도, 인간의 근무 시간과 유사한 일시 중지 등의 패턴을 근거로 AI의 결정적인 개입보다는 자동화된 프로그램의 작동으로 보인다고 분석했다. 즉, 세탁 작업은 분명 자동화되었지만, AI 에이전트가 의사결정을 내리는 것으로 보이는 증거는 없다는 것이다.

현재 탈취된 자금 중 약 32억 4천만 달러가 여전히 해킹과 연관된 주소에 남아있는 것으로 파악된다. 여기에는 해킹 당일 이후 움직이지 않은 18,270개의 비트코인을 포함한 대부분의 ETH가 포함되어 있다. 엘립틱은 이 자금들은 여전히 북한 측이 보유하고 있을 가능성이 높으며, 이미 세탁 작업이 진행 중인 자금은 중국의 자금 세탁 네트워크로 넘어갔을 수 있다고 보고 있다. 현금화된 규모는 미미한 수준이며, 9월 비트겟(Bitget) 해킹으로 인한 수익금으로 추정되는 약 1,600만 달러가 관련 주소로 흘러 들어간 것으로 확인되었다.

엘립틱은 과거 바이비트 해킹 사례를 바탕으로, 북한 해커들이 자금을 현금화하기 위해 주로 장외(OTC) 중개인을 이용할 것이며, 이는 수개월에 걸쳐 진행될 것으로 예상했다. 또한, 탈취된 비트코인 중 일부는 이미 10월에 있었던 비트겟 해킹 수익과 결합되어 추적을 어렵게 하고 있는 것으로 분석되었다. 이번 사건은 암호화폐 생태계의 보안 취약점과 국제적인 자금 세탁 문제의 심각성을 다시 한번 드러냈다. 특히, 신속한 동결 및 회수 조치는 스테이블코인의 중앙화된 발행 메커니즘이 위기 상황에서 중요한 역할을 할 수 있음을 보여주었다. 그러나 동시에, 약 32억 달러라는 막대한 금액이 여전히 추적 불가능한 상태로 남아있다는 점은 앞으로 더 정교한 추적 및 예방 시스템의 필요성을 시사한다.