세계 최대 가상자산 거래소 바이낸스에서 약 8조4000억원 상당의 가상자산을 탈취한 북한 연계 해커들이 본격적인 2차 세탁 단계에 나선 것으로 나타났다. 훔친 코인을 1000개가 넘는 전자지갑에 분산하고 3000차례 이상 송금을 반복하며 자금의 이동 경로를 복잡하게 만드는 방식이다.
3일 블록체인 분석업체 체이널리시스와 룩온체인에 따르면 북한 연계 해커들은 바이낸스에서 탈취한 가상자산을 보관하던 임시 지갑에서 자금을 꺼내 솔라나(SOL) 등 다른 블록체인 네트워크로 이동시키기 시작했다.
이들은 솔라나 토큰 97만522개(약 1290억원 상당)를 비트코인으로 교환하는 작업도 진행 중인 것으로 파악됐다.
이처럼 해커들이 탈취 자금을 다른 가상자산으로 바꾸는 건 추적을 피하기 위한 것으로 분석된다. 서로 다른 블록체인 네트워크로 자금을 이동시키고 여러 차례 교환하면 최초 탈취된 자산과 최종 보관 지갑 사이의 연결 관계를 추적하기가 한층 복잡해진다. 실제로 해커들은 1000개 이상의 전자지갑을 활용해 3000차례 넘는 송금을 반복는 수법으로 추적망을 교란하고 있다. 일부 자금은 여러 지갑을 거쳐 이전에 사용했던 지갑으로 되돌아오는 순환 이동 패턴도 보였다.
체이널리시스는 "북한 연계 세력이 바이낸스에서 탈취한 자금에 대한 새로운 세탁 단계에 착수했다"고 분석했다. 해킹 직후 훔친 자금을 자신들이 통제하는 임시 지갑으로 옮겨 분산 보관한 데 이어, 본격적으로 자금의 이동 경로를 복잡하게 만드는 2차 세탁에 들어갔다는 의미다.
특히 해커들이 비트코인으로 자산을 바꾸는 데에도 이유가 있는 것으로 보인다.
스테이블코인이나 일부 가상자산은 발행사의 조치로 동결되거나 거래가 제한될 수 있지만, 비트코인은 자산을 일괄적으로 동결할 수 있는 중앙 발행기관이 없다. 거래 규모와 유동성도 커 향후 다른 자산이나 현금으로 교환하기에 상대적으로 유리하다. 다만 비트코인 역시 거래소 등을 통한 현금화 과정에서 자금 추적이나 거래 제한을 받을 수 있다.
해커들은 향후 자금을 더욱 잘게 나누고 여러 거래 경로를 거쳐 달러화 등 실제 화폐로 바꾸는 추가 세탁 단계에 나설 것으로 예상된다.
또 다른 블록체인 분석업체 엘립틱의 분석에서도 북한 연계 해커들의 대규모 자금세탁 정황이 확인됐다.
엘립틱이 지난 2일 공개한 보고서에 따르면 해킹 발생 후 나흘도 지나지 않아 탈취 자금은 11개 블록체인에 걸쳐 약 1만2000개의 전자지갑과 4만건 이상의 거래를 거쳤다. 평균 25초마다 새로운 지갑이 하나씩 사용된 셈이다.
자금세탁은 주로 트론(TRX) 네트워크를 통해 이뤄졌다. 해커들은 탈취한 자금을 약 7700개의 지갑 주소로 분산한 뒤 여러 블록체인을 연결하는 '크로스체인 브리지'를 이용해 이더리움 네트워크로 옮겼다. 최소 7개의 브리지가 동원된 것으로 파악됐다.
자금 이동 속도도 상당했다. 지난달 31일 거래가 가장 활발했던 시간에는 트론 네트워크에서 한 시간 동안 약 1300건의 거래가 발생했다. 약 3초마다 한 건꼴로 자금이 이동한 것이다. 트론에서 세탁된 자금은 달러당 평균 9차례 이동한 것으로 분석됐다.
해커들은 단순히 자금을 여러 지갑으로 나누는 데 그치지 않았다. 탈중앙화거래소(DEX)에서 가상자산의 종류를 반복적으로 바꾸거나, 탈중앙화금융(DeFi) 대출 서비스를 경유해 송금 주소와 수취 주소 사이의 직접적인 거래 연결고리를 끊는 수법도 활용했다.
비트코인의 거래 경로를 감추는 '코인조인(CoinJoin)' 방식도 동원됐다. 코인조인은 여러 사용자의 비트코인을 하나의 거래에 섞어 자금의 출처와 이동 경로를 추적하기 어렵게 만드는 기술이다. 지난 1일부터 이달 2일까지 약 28비트코인(220만 달러 상당)이 18차례의 코인조인 거래를 거친 것으로 확인됐다.
이 같은 자금 이동은 자동화된 프로그램을 통해 이뤄진 것으로 분석됐다. 일정한 시간 간격으로 정해진 금액이 송금되고, 실패한 거래를 반복 시도하는 패턴 등이 관찰됐기 때문이다. 다만 엘립틱은 인공지능(AI)이 독자적으로 판단해 자금세탁을 수행했다는 증거는 확인되지 않았다고 설명했다.
탈취 자금 가운데 상당액은 이미 동결된 상태다. 엘립틱에 따르면 전체 탈취액 64억3000만 달러 중 약 28억5000만 달러(44%)가 동결되거나 압류됐다. 스테이블코인 발행사들이 탈취 자금의 이동을 차단하면서 피해 확산을 일부 막은 것이다.
반면 약 32억4000만 달러는 여전히 해킹 사건과 연관된 지갑 주소에 남아 있다. 대부분은 비트코인과 이더리움 형태로 보관돼 있으며, 실제 현금화된 자금은 극히 적은 것으로 추정된다.
엘립틱은 아직 이동하지 않은 자금은 북한이 직접 보유하고 있을 가능성이 크지만, 세탁이 진행 중인 자금은 이미 중국의 자금세탁 조직에 넘어갔을 가능성도 있다고 분석했다. 북한이 과거 중국의 자금세탁 조직을 이용한 전례가 있다는 이유에서다. 다만 이번 사건에서도 실제로 중국 조직이 개입했는지는 확인되지 않았다.
엘립틱은 향후 해커들이 탈취한 이더리움을 소규모로 나눠 비트코인으로 교환한 뒤 장외거래(OTC) 중개업체 등을 통해 수개월에 걸쳐 현금화할 것으로 내다봤다.
실제로 북한은 작년 2월 바이비트(Bybit) 해킹 당시 탈취한 이더리움 약 49만9000개를 열흘 만에 세탁한 바 있다. 다만 실제 현금화까지는 수개월이 걸렸으며, 당시 자금은 중국의 장외거래 서비스로 의심되는 업체들을 거쳐 회수된 것으로 분석됐다.
엘립틱은 이번 바이낸스 해킹의 경우 탈취 규모가 바이비트 사건의 두 배 이상인 데다 미국 연방수사국(FBI)이 관련 지갑 주소를 공개해 감시가 강화된 만큼 자금세탁과 현금화 과정이 상대적으로 더디게 진행될 것으로 전망했다.
앞서 지난달 29일 바이낸스에서는 약 63억 달러(8조4000억원) 규모의 가상자산이 탈취되는 초대형 해킹 사건이 발생했다.
미국 연방수사국(FBI)은 지난달 31일 이번 사건의 배후로 북한 연계 해킹 조직 '트레이더트레이터'(TraderTraitor)를 공식 지목했다. FBI는 탈취 자금이 이더리움 등 다른 가상자산으로 전환되고 있으며, 이후 탈중앙화 금융 서비스와 가상자산 교환 서비스를 통해 추가 세탁될 가능성이 있다고 경고했다.
