북한 해커, 바이낸스 탈취 자금 2억4200만달러 세탁…크로스체인 서비스 악용

북한 해킹 조직이 바이낸스에서 탈취한 가상자산 약 2억4200만달러를 이틀 만에 자금 세탁한 것으로 나타났다.

1일(현지시간) 더블록에 따르면 온체인 분석가이자 보안 연합체 시큐리티 얼라이언스(SEAL) 기여자인 소마XBT(SomaXBT)는 북한 해커들이 트론(TRX) 블록체인에서 탈취한 자금 가운데 약 2억4200만달러를 이동시켰다고 밝혔다. 해커들은 트론 네트워크에서 약 6억2800만달러를 탈취했으며, 테더가 3억7870만USDT를 동결한 이후 약 2억4900만달러를 이동시킬 수 있는 상태였다.

소마XBT에 따르면 이동한 자금 가운데 약 1억9400만달러는 브리지와 스왑 서비스를 통해 다른 블록체인으로 빠져나갔다. 약 2600만달러는 트론 네트워크에 남았으며, 나머지 2200만달러는 거래 수수료와 슬리피지, 가격 변동 등에 따른 비용으로 추정됐다.

자금 세탁에는 여러 크로스체인 서비스가 활용됐다. 릴레이(Relay)를 통해 약 4800만달러, 토르체인(THORChain) 4400만달러, 체인플립(Chainflip) 3210만달러, 심바이오시스(Symbiosis) 1600만달러가 이동했다. 비트겟 월렛을 통해서도 약 4170만달러가 처리됐지만 최종 자금 이동 경로는 확인되지 않았다.

미국 연방수사국(FBI)은 이번 해킹의 배후로 북한 해킹 조직 '트레이더트레이터(TraderTraitor)'를 지목하고 관련 자금의 거래 차단을 촉구했다. FBI는 해커들이 탈취 자산을 주로 이더리움(ETH)으로 전환하고 있다며 토르체인 노드 운영자와 탈중앙화금융(DeFi) 서비스, 가상자산 교환 업체 등에 협조를 요청했다.

해커들의 자금 세탁 과정에서는 자동화된 거래 패턴도 포착됐다. 블록체인 분석업체 엘립틱에 따르면 해커들의 주요 트론 지갑은 31시간 연속으로 매시간 자금을 전송했으며, 거래가 거부되면 새로운 지갑을 통해 동일한 경로로 재전송했다. 다만 엘립틱 공동창업자 톰 로빈슨은 인공지능(AI) 에이전트보다는 사람이 거래를 지시하고 자동화 스크립트가 반복 작업을 수행한 것으로 분석했다.

일부 크로스체인 서비스의 자금 세탁 방지 체계에도 의문이 제기됐다. 심바이오시스는 해킹 관련 자금의 이동 시도를 확인하고 바이낸스와 협력하고 있다면서도 빠르게 움직이는 정교한 공격을 추적하는 데 기존 감시 체계의 한계가 있었다고 인정했다. 토르체인은 별도의 기술적 문제로 13개 연결 네트워크 가운데 10개에서 거래가 중단된 상태로 전해졌다.

한편 엘립틱은 전체 탈취 자산 약 64억3000만달러 가운데 28억5000만달러가 동결되거나 압류된 것으로 확인했다고 밝혔다. 이는 전체 피해액의 약 44%에 해당한다. 다만 비트코인과 엑스알피(XRP) 등 발행사가 직접 동결할 수 없는 자산도 상당량 남아 있어 추가 자금 세탁 가능성에 대한 감시가 이어지고 있다.