바이낸스 해킹 3.1조원, 절반 이상 아직 세탁 중…北 연루 의혹
Decrypt2026년 11월 6일 23:040
암호화폐 분석 기업 엘립틱(Elliptic)이 지난달 발생한 바이낸스 해킹 사건으로 도난당한 64억 3천만 달러(약 8조 9천억원) 중 절반 이상인 31억 1천만 달러(약 4조 3천억원)가 아직 세탁되지 않은 상태로 남아 있다고 밝혔다. 이들 자금은 대부분 이더리움(ETH)과 비트코인(BTC) 형태로 북한 연계 주소에 보관되어 있을 것으로 추정된다.
엘립틱의 보고서에 따르면, 현재 세탁되지 않은 31억 1천만 달러는 도난 당시와 유사한 형태로 특정 주소에 그대로 보관되어 있다. 추가적으로 28억 5천만 달러, 즉 전체 해킹 금액의 44%는 테더(USDT)와 서클(Circle)과 같은 스테이블코인 발행사들이 해킹 발생 약 1시간 내에 동결 및 압류하여 유동성이 차단된 상태다. 이는 지난 2월 발생했던 바이비트(Bybit) 해킹 사건에서 동결된 자금 비율이 약 3%에 불과했던 것과 비교하면 상당히 높은 수치다.
바이낸스 해킹과 관련하여 XRP(리플)도 움직임을 보이기 시작했다. 약 5천만 달러 상당의 XRP가 이미 다른 암호화폐로 교환되었으며, 이는 주로 THORChain을 통해 비트코인으로 전환되었다. 여전히 2억 2천 6백만 달러 상당의 XRP가 세탁 대기 중인 것으로 파악된다. 또한, 다른 도난 자산에서 전환된 비트코인은 현재 약 1,650 BTC(약 1억 2천 4백만 달러) 규모로, 하루 전과 비교해 거의 두 배 증가한 수치다.
미국 연방수사국(FBI)은 지난 10월 29일에 발생한 이번 해킹 사건의 배후로 '트레이더 트레이터(TraderTraitor)'라는 이름으로 알려진 북한 해킹 그룹을 지목했다. 그러나 북한 측은 이러한 혐의에 대해 부인하고 있다.
엘립틱은 현재까지의 자금 세탁 과정이 '매우 복잡하고 명백히 자동화되었다'고 평가했다. 이번 해킹으로 획득한 자금을 세탁하기 위해 16개 블록체인에 걸쳐 2만 개 이상의 지갑 주소가 동원되었으며, 최소 36개의 서비스가 이용된 것으로 확인되었다. 이는 약 30초마다 새로운 지갑 주소가 생성되는 수준의 속도다.
특히, 해킹 당일 도난된 18,270 BTC(당시 약 15억 달러 규모)는 19개의 주소로 분산되었으나, 이후 현재까지 전혀 움직이지 않고 있다. 공격자가 보유한 이더리움의 89%를 차지하는 9개의 대형 이더리움 주소 역시 지난 10월 30일 이후 동결 상태를 유지하고 있다.
자금 세탁 과정에서 트론(TRX) 네트워크가 주로 활용되었다. 약 2억 2천만 달러 상당의 TRX가 한 개의 배포 지갑에서 51시간 동안 수백 개의 새로운 주소로 분산되었으며, 이 과정에서 평양의 밤 시간대도 포함된 것으로 분석되었다. 대부분의 TRX는 이더리움으로 브릿지(Bridge)되었다.
도난당한 솔라나(SOL) 약 8,700만 달러는 이미 모두 스왑, 브릿지 또는 믹싱(Mixing) 과정을 거쳤다. 공격자는 약 5천만 달러 상당의 XRP를 현재까지 전환했으며, 2억 2천 6백만 달러가 남아 있다. 총 1억 2천 4백만 달러 상당의 암호화폐가 비트코인으로 전환되었으며, 이 중 상당 부분은 크로스체인 서비스인 THORChain을 통해 이루어졌다.
일부 자금은 프라이버시 강화 기술을 거친 것으로 보인다. 약 250만 달러 규모의 33 BTC는 와사비(Wasabi) 월렛과 유사한 코인조인(CoinJoin) 방식을 거쳤으며, 약 110만 달러 규모의 이더리움과 솔라나는 프라이버시 캐시(Privacy Cash) 풀에 예치되었다. 이 풀은 약 하루 동안 예치를 중단하기도 했다.
이처럼 빠른 자금 이동 속도는 인공지능(AI) 에이전트가 동원된 것이 아니냐는 추측을 낳고 있다. 그러나 엘립틱은 북한 해커들이 과거 유사한 대규모 해킹 사건에서 자금을 장기간에 걸쳐 비트코인으로 전환하고 장외 브로커(OTC broker)를 통해 현금화하는 방식을 사용했던 전례를 언급하며, 이번에도 수개월에 걸쳐 유사한 방식이 진행될 것으로 예상했다. 이는 2025년 발생했던 바이비트 해킹 이후의 자금 흐름과도 유사하다.
바이낸스는 이번 대규모 해킹 사건 이후 투자자들의 불안감을 해소하기 위해 콜드월렛(Cold Wallet)에 보관된 자산 비율을 공개하는 등 보안 강화 조치를 발표했다. 하지만 이번 사건으로 인해 암호화폐 거래소의 보안 취약성과 자금 세탁 방지(AML) 시스템의 중요성이 다시 한번 강조되었다.