"北, 바이낸스 해킹 자금 세탁에 자체 밈코인 활용…43만달러 이동"

북한 해킹 조직이 바이낸스에서 탈취한 가상자산(암호화폐)을 세탁하기 위해 자체 밈코인을 발행하고 있는 것으로 나타났다. 이들은 별다른 가치가 없는 토큰을 만들어 탈중앙화거래소(DEX)에서 거래하는 방식으로 자금 추적을 어렵게 하고 있는 것으로 분석된다.

9일 블록체인 분석업체 엘립틱(Elliptic)에 따르면 북한 해킹 조직은 최근 64억달러 규모의 바이낸스 해킹 사건에서 탈취한 자금을 세탁하기 위해 트론(TRON)과 니어(NEAR) 블록체인에서 자체 밈코인을 발행했다. 솔라나(SOL)에서도 유사한 방식의 자금 세탁이 확인됐다.

엘립틱은 북한 해킹 조직이 지난 5일부터 7일까지 니어 블록체인에서 최소 6개의 밈코인을 발행한 것으로 파악했다. 해당 토큰은 FUK, OLCCL, MEILI, MMLI, DABI, SINU 등으로, 발행 비용은 개당 약 90달러에 불과했다.

자금 세탁 방식은 비교적 단순하다. 해킹 조직은 먼저 새로운 토큰을 발행한 뒤 탈중앙화거래소에 니어 등 실제 가치가 있는 가상자산과 함께 유동성 풀을 만든다. 이후 탈취 자금을 보유한 지갑에서 해당 토큰을 매수하고, 다른 지갑에서 이를 다시 매도해 니어를 회수하는 방식이다.

이 과정에서 탈취 자금을 보유한 지갑과 최종 자금을 받는 지갑 사이에는 직접적인 송금 기록이 남지 않는다. 외부에서는 일반적인 밈코인 거래처럼 보일 수 있어 자금 흐름을 추적하는 데 추가적인 분석이 필요하다.

엘립틱은 이 같은 방식으로 약 11만7000 NEAR가 세탁된 것으로 분석했다. 이는 약 43만달러 규모다. 탈취 자금이 유입된 지갑에서 밈코인을 매수한 뒤 별도의 지갑에서 이를 매도했으며, 회수된 자금 상당수는 스테이블코인으로 교환되거나 다른 블록체인으로 이동했다.

특히 해당 밈코인들은 발행 직후 집중적으로 거래된 뒤 사용이 중단되는 특징을 보였다. 6개 토큰 모두 지난 8일 이후 거래가 발생하지 않았으며, 일부 토큰의 유동성은 발행자가 직접 회수한 것으로 나타났다. 엘립틱은 대부분의 거래가 해킹 조직과 연관된 지갑 사이에서 이뤄졌다는 점을 근거로 자금 세탁 목적의 토큰이라고 판단했다.

북한 해킹 조직이 이 같은 수법을 사용한 것은 이번이 처음은 아니다. 엘립틱에 따르면 지난해 바이비트 해킹 사건에서도 자체 발행 토큰을 활용해 최소 2400만달러의 탈취 자금을 세탁한 사례가 확인됐다. 이번 바이낸스 사건에서는 지난 2일 트론에서 유사한 토큰이 발견됐으며, 이튿날 솔라나에서도 거래량이 적은 토큰을 이용한 자금 이동이 포착됐다.

엘립틱은 "이 수법은 자금을 완전히 숨기는 것이 아니라 조사관의 추적 속도를 늦추는 방식"이라며 "모든 거래 기록이 블록체인에 남기 때문에 자금 흐름을 추적하는 것은 여전히 가능하다"고 설명했다.

이어 "새로운 토큰을 발행하는 비용이 매우 저렴하기 때문에 해킹 조직은 여러 토큰을 만들고 폐기하는 과정을 반복할 수 있다"며 "가상자산 사업자는 유동성 풀에서 유입된 자금이라고 해서 정상 자금으로 간주해서는 안 된다"고 강조했다.

한편 엘립틱에 따르면 바이낸스 해킹으로 탈취된 니어 가운데 약 1180만 NEAR(4370만달러)는 아직 이동하지 않은 상태다.