북한 해커들, 트론 통해 약 2억4,200만 달러 세탁…분석가 주장

온체인 분석가이자 시큐리티 얼라이언스(SEAL) 기여자인 SomaXBT는 일요일 북한 해커들이 바이낸스에서 훔친 약 2억4,200만 달러를 이틀 동안 트론을 통해 세탁했다고 밝혔다. SomaXBT는 공격자들이 트론에서 약 6억2,800만 달러를 훔쳤고, 테더가 3억7,870만 USDT를 동결한 뒤에는 약 2억4,900만 달러를 옮길 수 있었다고 말했다. SomaXBT는 트론에서 빠져나간 자금이 약 1억9,400만 달러, 트론에 남은 자금이 2,600만 달러, 수수료·슬리피지·가격 변동에 따른 금액이 약 2,200만 달러라고 추산했다. SomaXBT는 릴레이를 통한 유출액을 4,800만 달러, 토르체인을 통한 유출액을 4,400만 달러, 체인플립을 통한 유출액을 3,210만 달러, 심바이오시스를 통한 유출액을 1,600만 달러로 집계해 총액이 약 1억4,000만 달러라고 밝혔다. SomaXBT는 비트겟 월렛이 4,170만 달러를 추가로 처리했으며, 최종 목적지는 아직 확인되지 않았다고 말했다.

바이낸스는 목요일 약 63억 달러 규모의 절도를 당했다. 기록된 암호화폐 해킹 중 최대 규모다. FBI는 토요일 미 비밀경호국 및 국세청 범죄수사국과 공동으로 발표한 경보를 통해 공격 배후로 트레이더트레이터를 지목했다. FBI는 공격자들이 탈취 자산을 주로 이더리움으로 바꾸고 있으며, 디파이 프로토콜과 즉시 교환 서비스 등을 통한 추가 자금 세탁이 예상된다고 밝혔다. FBI는 토르노드 운영자, RPC 노드 운영자, 즉시 교환소, 디파이 서비스 및 기타 제공업체에 절도와 관련된 거래를 막아 달라고 요청했다. FBI는 이더리움 주소 608개, 비트코인 주소 19개, 솔라나 주소 1개를 공격과 연관된 주소로 특정했지만 트론 주소는 열거하지 않았다. 경보는 해당 지목을 뒷받침하는 증거를 제시하지 않았다. 다만 체이널리시스, 엘립틱, TRM Labs는 앞선 공격과의 블록체인 연결고리를 통해 이미 이번 절도를 북한과 연관지었다.

토르체인 기술 공동 창립자 채드 배러퍼드는 토요일 저녁 토르노드 운영자들이 실시간으로 공개된 정보 외에는 아무런 정보를 갖고 있지 않다고 말했다. 배러퍼드는 소환장은 불필요하며 정보 접근이 수사에 유리하다고 설명했지만, 해킹 이후 올린 게시물에서 운영자들이 공개된 주소를 차단하겠다고 약속하지는 않았다. 체이널리시스는 토요일 이더리움 체인 재구성으로 토르체인이 10 ETH 예치금을 두 차례 환불했고, 이로 인해 긴급 중단 조치가 발동돼 해커를 포함한 모든 사용자의 브리지 스왑 대부분이 멈췄다고 밝혔다. 토르체인 노드 데이터에 따르면 일요일 오후 1시20분(미 동부시간) 연결된 13개 체인 중 10개에서 거래가 중단됐다. 여기에는 트론, 이더리움, 비트코인이 포함됐으며 트론 거래는 토요일 정오 무렵부터 중단된 상태였다. SomaXBT는 공격자들이 2,697건의 예치를 통해 1억8,510만 TRX와 383만 USDT를 토르체인에 입금했다고 밝혔다. 토르체인은 170개 주소에 17,019 ETH를, 20개 주소에 53.25 BTC를 분배했다. 공격자들은 수수료와 슬리피지로 약 12%의 손실을 입었고, 프런트엔드 인터페이스는 제휴 수수료로 약 145,800 RUNE, 약 9만5,000달러 상당을 거뒀다.

SomaXBT는 이전 트레이더트레이터 공격 이후 자금 세탁에서 거의 역할을 하지 않았던 릴레이가 735건의 예치를 통해 3,764만 USDT와 3,928만 TRX를 받았다고 밝혔다. 온체인 분석가 Specter는 릴레이가 체이널리시스 데이터 등 제3자 위험 정보와 내부 차단 목록을 이용해 거래를 심사한다고 밝혔음에도 해커들이 토요일 7시간 동안 릴레이를 통해 3,800만 달러를 이체했다고 말했다. 이더스캔 데이터에 따르면 토요일 약 80분 동안 릴레이의 라우터와 솔버를 통해 97건의 지급이 이뤄졌고, 이더리움 주소 하나가 2,804 ETH와 102만 USDT를 받았다. 해당 지갑은 CoW 프로토콜에서 USDT를 이더로 교환한 뒤 약 3,257 ETH, 약 740만 달러 상당을 신규 주소 4개로 이체했다. 이들 주소와 수신 지갑은 모두 FBI 명단에 없었다.

룩온체인은 해커들이 일요일 릴레이를 통해 970,522 SOL, 약 9,590만 달러 상당을 비트코인으로 바꾸기 시작했다고 전했다. FBI가 공개한 유일한 솔라나 주소인 해커 지갑은 룩온체인의 오전 5시35분(미 동부시간) 게시물 전 1시간 동안 486,970 SOL(4,640만 달러)을 이체했다. 릴레이를 통한 스왑은 토요일 FBI가 해당 주소를 공개한 뒤 시작됐다. 솔스캔 데이터에 따르면 게시 시점에 지갑에는 약 466,700 SOL이 남아 있었으며, 이는 오전 9시55분(미 동부시간) 기준과 같았다.

SomaXBT는 체인플립이 571건의 예치를 통해 4,947만 USDT를 받았지만, 다수의 스왑이 실패했고 총 1,791만 USDT의 환불이 신규 트론 지갑을 거쳐 재신청됐다고 밝혔다. 심바이오시스는 일요일 이른 시간 프로토콜이 바이낸스 해킹 수익을 옮기려는 시도를 감지했으며 바이낸스와 소통 중이라고 밝혔다. 심바이오시스는 일반 거래를 위해 설계된 심사 절차가 신속하고 정교한 활동을 막는 데는 허점이 있었다고 인정하고, 이를 보완하고 있다고 말했다. SomaXBT는 공격자들이 심바이오시스에 1,367건의 소액 예치를 해 총 4,971만 TRX를 입금했다고 밝혔다.

엘립틱은 공격자들의 주요 트론 자금 분배 지갑이 31시간 연속 매시간 지급을 했으며, 46분 넘게 멈춘 적이 없었다고 밝혔다. 토르체인 예치액과 동일한 금액이 반복해서 나타났고, 그중 한 금액은 19회 반복됐다. 엘립틱은 거부된 브리지 예치금이 신규 지갑을 통해 동일한 목적지로 자동 재신청됐다며, 이는 바이비트 자금 세탁 때 관찰된 사람의 작업 방식과 다르다고 밝혔다. 엘립틱 공동 창립자 톰 로빈슨은 반복되는 거래 규모와 시점, 경로를 근거로 AI 에이전트가 사용된 것으로 보이지 않는다고 말했다. 시험 이체와 정액 단위의 추가 입금은 스크립트의 도움을 받은 사람의 판단을 시사한다고 덧붙였다.

엘립틱은 28억5,000만 달러가 동결되거나 압류된 사실을 확인했다. 이는 자사가 추산한 도난액 64억3,000만 달러의 약 44%에 해당하며, 동결·압류액의 94%는 스테이블코인이었다. 엘립틱은 비트코인, XRP 레저, 솔라나, 니어에서는 자금이 동결되지 않았다고 밝혔다. 발행자가 동결할 수 없는 자산 약 32억5,000만 달러가 남아 있었으며 여기에는 18,327 BTC와 2억3,300만 XRP가 포함됐다. 트론스캔 데이터에 따르면 테더가 동결한 USDT는 공격자 지갑 2개에 들어 있었으며, 각각 3억1,270만 USDT와 6,599만 USDT를 보유했다. 멤풀스페이스 데이터에 따르면 FBI가 특정한 비트코인 주소 19개에는 18,270 BTC 전량이 남아 있었다.

체이널리시스는 토요일 공격자들이 동결할 수 없는 예치증서 토큰을 얻기 위해 스테이블코인을 트론 디파이 프로토콜에 입금한 뒤 새 주소를 사용해 해당 토큰을 상환했다고 밝혔다. 체이널리시스는 프로토콜을 특정하지 않았고, 다른 온체인 분석가들이 관련 프로토콜로 지목한 저스트렌드에 대한 질문에도 답하지 않았다. TRM Labs는 3억 USDT가 저스트렌드에 자금을 공급하기 시작한 트론 지갑으로 들어갔다고 밝혔다. 트론스캔 데이터에 따르면 해당 지갑은 저스트렌드에 10,000 USDT를 예치하고 탈중앙화 거래소에서 약 2억3,400만 USDT를 TRX로 교환한 뒤 6,599만 USDT를 동결된 지갑 중 하나로 이체했다.

릴레이, 배러퍼드, 체인플립, 비트겟 월렛에 논평을 요청했다.