북한 해커들, 63억 달러 규모 바이낸스 해킹 자금 세탁 위해 밈코인 발행

북한 해커들이 63억 달러 규모 바이낸스 해킹으로 훔친 돈을 투자 수익으로 위장하기 위해 밈코인을 발행하고 허위 거래를 만들어 내고 있다. 블록체인 분석업체 엘립틱(Elliptic)은 약 43만 달러 상당의 NEAR 토큰 약 11만7,000개가 밈코인 6종을 거쳐 이동한 경로를 추적했다. 엘립틱의 분석에 따르면 해당 밈코인들은 11월 5일부터 11월 7일 사이에 만들어졌다.

해커들은 탈중앙화 거래소에서 밈코인마다 NEAR와 짝을 이룬 별도의 유동성 풀을 만들었다. 한 무리의 지갑은 도난당한 NEAR를 사용해 밈코인을 매수했다. 다른 무리의 지갑은 같은 밈코인을 NEAR와 교환해 매도하면서 지갑 간 직접 송금을 피했다. 이 거래로 도난 자금은 거래를 통해 얻은 수익처럼 보이게 됐다. 엘립틱의 공동 창업자 겸 수석 과학자인 톰 로빈슨은 자금 세탁자들이 토큰 6종을 만들고 도난 자금이 거래 수익인 것처럼 보이게 하려고 자기들끼리만 거래했다고 말했다.

엘립틱은 자금 세탁에 연루된 지갑들이 거래 활동의 거의 전부를 만들어 낸 것으로 파악했다. 한 토큰의 거래량 가운데 외부 매수자가 차지한 비중은 1% 미만이었다. 6개 토큰 모두 11월 8일까지 거래가 중단됐다. 한 토큰에는 "Elon 2028 President"라는 배너 아래 일론 머스크의 이미지가 표시됐다. 그러나 엘립틱은 머스크가 해당 토큰들과 관련이 있다는 점을 시사하는 내용은 없다고 밝혔다. 토큰 이름에는 저속한 농담과 개를 뜻하는 밈코인 용어 "inu" 등 익숙한 밈코인 작명 관행이 반영됐다.

미국 연방수사국(FBI)은 10월 29일 바이낸스에서 발생한 절도 사건의 배후로 북한의 트레이더트레이터(TraderTraitor) 그룹을 지목했다. 해커들은 THORChain을 통해 도난 자산을 비트코인으로도 전환했다. 비트코인은 중앙 발행 주체가 동결할 수 없다. 엘립틱은 2025년 바이비트 해킹 이후에도 이와 유사한 밈코인 자금 세탁 수법을 확인했다. 엘립틱은 최근 거래로 도난 자금의 추적이 더 어려워졌지만 온체인 흔적은 그대로 남아 있다고 밝혔다.