북한 해커, 바이낸스 탈취 자금 약 1만2,000개 지갑 거쳐 이동

북한 해커들은 바이낸스 탈취 자금을 옮기기 위해 약 25초마다 새 지갑 하나를 이용하고 있다. 월요일 공개된 엘립틱의 분석은 4일도 안 돼 11개 블록체인에서 약 1만2,000개 지갑과 4만 건이 넘는 거래를 확인했다. 도난당한 64억3,000만 달러 가운데 약 28억5,000만 달러, 즉 44%가 동결되거나 압수됐다. 2025년 2월 북한의 15억 달러 규모 바이비트 해킹 사건에서 회수된 비율은 약 3%였다.

스테이블코인은 도난 자금의 54%인 34억6,000만 달러를 차지했다. 스테이블코인 발행사가 해당 자산을 동결할 수 있어 신속한 개입이 중요하다. 엘립틱은 공격자가 지갑에 USDT를 받은 지 37분 만에 테더가 이더리움상 도난 USDT를 동결한 사실을 확인했다. 엘립틱은 서클이 공격자가 USDC를 하나라도 교환하기 전에 도난당한 USDC 8억2,300만 달러 전액을 동결한 사실도 확인했다.

동결 조치가 이뤄지기 전 해커는 유니스왑을 포함한 탈중앙화 거래소를 통해 4억3,400만 USDT를 ETH로 교환했다. 해커는 또 5,990만 USDT를 에이브에 담보로 맡기고 19,762 ETH를 빌렸다. 아울러 2억3,400만 USDT를 트론의 토큰인 TRX로 교환했다. 동결을 피한 스테이블코인은 약 7억8,600만 달러였다.

공격자들은 목요일 늦게 바이낸스 핫월렛에서 자금을 빼가기 시작했다. 이후 FBI는 북한 정권과 연계된 단체 트레이더트레이터(TraderTraitor)가 탈취를 저질렀다고 지목했다. FBI는 관련 주소 수백 개도 공개했다. 바이낸스는 모든 손실을 보상하겠다고 약속했다. 바이낸스는 일요일 출금을 재개했으며, 첫 9시간 30분 동안 약 36억4,000만 달러의 순유출을 기록했다.

트론은 주요 자금 세탁 경로가 됐으며, 한 시간 동안 거래가 약 1,300건에 달했다. 거래 속도가 빨라지면서 AI 에이전트 사용 가능성이 제기됐다. 그러나 엘립틱은 일정한 거래 간격과 사전에 정해진 금액, 반복된 실패, 사람의 근무 일정을 닮은 휴식 시간을 근거로 이 해석을 부정했다. 엘립틱은 자금 세탁이 분명 자동화됐다고 설명하면서도 관찰된 활동에서는 AI 에이전트가 의사결정을 내렸다는 증거를 찾지 못했다고 밝혔다.

탈취와 관련된 주소에는 여전히 약 32억4,000만 달러가 남아 있으며, 대부분 ETH와 도난당한 비트코인 1만8,270개다. 도난당한 비트코인은 공격 당일 이후 움직이지 않았다. 엘립틱은 북한이 해당 자금에 대한 통제권을 계속 유지하고 있을 가능성이 매우 높다고 본다. 엘립틱은 이미 자금 세탁이 진행 중인 자금이 중국의 자금 세탁 네트워크에 도달했을 수 있다고 밝혔다. 현금으로 전환된 것으로 보이는 비중은 극히 일부다. 약 1,600만 달러는 9월 비트겟 익스플로잇으로 얻은 자금도 보유한 주소에 도달했다.

엘립틱은 공격자가 바이비트 해킹 때의 자금 세탁 방식에 따라 ETH를 소량씩 비트코인으로 교환할 것으로 예상한다. 공격자는 수개월에 걸쳐 장외 거래 브로커를 통해 자금을 현금으로 전환할 것으로 엘립틱은 내다봤다. ETH와 비트코인은 동결할 수 없어 추가 동결은 더 어려워질 것이라고 엘립틱은 밝혔다. 자금은 결국 중앙화 서비스에 유입돼야 하므로 해당 서비스가 남은 차단 기회 가운데 가장 강력하다.

BTCPay Server는 핫월렛 공격 보도 이후 월요일 가맹점들에 서버를 종료해 달라고 요청했다. 브라질의 메르카도 비트코인은 4,000만 달러 규모 해킹 이후 출금을 중단했다. 두 사건 중 어느 하나라도 바이낸스 공격과 관련이 있는지는 불분명하다.