“北 탈취 바이낸스 암호화폐, 새로운 자금세탁으로 동결 어려울 수도”

바이낸스에서 훔친 자산, 주로 이더리움 토큰으로 전환 포착

탈중앙화 금융(DeFi)·즉시 스왑 서비스 등 통해 추가 자금세탁 가능성

전문가 “北, 해킹 암호화폐 자금세탁에 AI 통합 움직임”

[서울=뉴시스] 미국 연방수사국(FBI)가 지난달 31일 북한의 해커 집단 ‘트레이더 트레이터’에 의한 바이낸스 암호화폐 사이버 절도를 발표하면서 공개한 해킹 및 자금세탁과 관련된 600여개 지갑 주소의 일부.(출처: FBI 홈페이지) 2026.11.03.
 *재판매 및 DB 금지

[서울=뉴시스] 구자룡 기자 = 북한이 지난달 29일 암호화폐 거래소 바이낸스에서 해킹으로 훔친 63억 6000만 달러 규모의 암호화폐를 사용하지 못하도록 동결할 수 없을 수도 있다는 분석이 나왔다.

FBI, 600여개 지갑 주소 공개하며 피해액 회수 노력 

미 연방수사국(FBI)는 지난달 31일 북한에 의한 바이낸스 암호화폐 탈취를 확인하면서 피해액 회수를 위한 노력의 일환으로 해킹과 관련된 600여개의 지갑 주소를 공개했다.

하지만 새로운 정보에 따르면 공격자들은 전례없는 24시간 자동화 시스템을 이용한 새로운 자금 세탁 수법을 사용해 탈취된 자금을 동결하는 것이 어려울 수 있다고 NK 뉴스가 2일 보도했다.

미국 당국은 공격자들이 자동 이체를 이용해 탈취 자금을 은닉한 후 추가 자금 세탁을 할 가능성이 있다고 보고 있다는 것이다.

FBI는 지난달 31일 이번 해킹 사건이 북한 라자루스 그룹의 암호화폐 전문 하위 조직 ‘트레이더 트레이터(TraderTraitor)’와 연관되어 있다고 밝혔다.

FBI는 비밀경호국 및 국세청 범죄수사국과 함께 트레이더 트레이터가 바이낸스에서 훔친 자산을 주로 이더리움(ETH) 토큰으로 전환하는 것을 포착했다고 밝혔다.

FBI는 공격자들이 다음 단계로 탈중앙화 금융(DeFi) 및 즉시 스왑 서비스를 이용해 자산을 변환하고 추가적인 자금 세탁 단계를 준비할 것으로 예상했다.

FBI는 탈중앙화 금융 서비스, 즉시 거래소, 가상자산 서비스 제공업체, 블록체인 노드 인프라 및 토르체인(THORChain)이라는 탈중앙화 크로스체인 거래 프로토콜을 실행하는 독립 서버 클러스터 세트인 THORNode 운영자들에게 이번 해킹 사건과 관련된 거래를 차단할 것을 권고했다.

이는 북한이 자금을 현금화하기 전에 자금 세탁 전략에서 이러한 플랫폼을 사용할 수 있음을 보여주는 것이라고 NK 뉴스는 전했다.

실제로 트레이더 트래이터는 지난해 15억 달러 규모의 바이비트 해킹 사건에서 얻은 수익금을 세탁하기 위해 이러한 도구들을 적극적으로 활용했다.

자산 동결을 지원하기 위해 FBI는 바이낸스 절도 사건과 관련된 628개의 가상 지갑 주소 목록을 공개했는데 여기에는 608개의 이더리움 지갑이 포함되어 있다.

자동 세탁 통한 탈취 자금 은닉

절도 사건 직후 북한 사이버 범죄자들은 바이낸스에서 훔친 암호화폐를 신속하게 유통 및 환전하기 시작했으며, 자금의 출처를 숨기기 위해 수백 개의 디지털 지갑 간 자동 이체를 이용했다고 블록체인 분석 업체들이 밝혔다.

공격자들은 처음에 발행자가 동결할 수 있는 스테이블코인을 거래를 차단할 수 있는 중앙 기관이 없는 이더리움 같은 암호화폐로 바꾸는 데 주력했다.

미국의 블록체인 분석 업체인 체이날리시스는 5억 달러 상당의 스테이블코인을 전용 지갑으로 옮겼으며, 20분 만에 3억 2500만 달러를 약 2억 8500만 달러 상당의 이더리움으로 교환했다고 밝혔다.

영국 기업 엘립틱도 공격자들이 동결 조치 이전 약 7억 8600만 달러 상당의 스테이블코인을 환전하는 것을 관찰했으며 자금을 더 빨리 이동시키기 위해 12%에서 26%의 손실을 감수했다고 밝혔다.

엘립틱에 따르면 공격자들은 약 6000만 달러 상당의 USDT를 탈중앙화 대출 플랫폼인 Aave에 예치해 약 1만 9762 이더리움을 빌렸다.

도난당한 비트코인은 19개의 주소로 분산되어 있으며 대부분 1000개씩 보유하고 있고, 어떤 거래소나 서비스로도 전송되지 않았다.

트론 블록체인에서 6억 3800만 TRX(트론 자체 코인)가 하나의 지갑으로 집중된 후, 해당 지갑에서 소액씩 수십 개의 새로운 지갑으로 자금이 분산됐다.

그 자금은 블록체인 간 자금 이동을 담당하는 서비스인 최소 6개의 브리지를 거쳐 대부분 이더리움 형태로 최종적으로 이동했다.

이러한 전술 중 상당수는 북한이 훔친 자금을 은닉하기 위해 오랫동안 사용해 온 방법을 더욱 정교하게 다듬은 것이라고 NK뉴스는 전했다.

대규모 자동화라는 신종 수법 전술로 도입

하지만 조사관들은 북한이 이전에는 시도한 적 없는 대규모 자동화라는 더욱 이례적인 전술을 사용하는 것을 목격했다.

엡립틱은 지난달 30일부터 1일까지 트론 블록체인에서 도난당한 암호화폐를 보관하는 주요 지갑에서 발생한 1113건의 이체를 추적했다.

송금은 평균 90초 간격으로 이루어졌으며 북한에서 이틀 밤 동안 계속됐다. 이와 대조적으로 바이비트 도난 사건 이후의 자금 세탁은 사람들의 근무 시간대에 맞춰 진행됐다.

송금액은 소수점 여섯째 자리까지 불규칙적이고 임의적인 금액으로 이루어져 감시 프로토콜을 우회하도록 설계됐다.

브리지에서 입금이 거부되면 자금은 자동으로 새로운 지갑에서 재전송됐다.

엡립틱에 따르면 소액 테스트 결제나 몇 건의 정액 이체와 같은 일부 단계는 여전히 사람의 결정처럼 보였다.

체이날리시스는 여러 주소 간에 자금이 반복적으로 순환되는 수천 건의 거래를 별도로 식별했으며, 때로는 해당 자금이 거래 순서상 먼저 관련된 지갑으로 다시 돌아오는 경우도 있었다.

많은 수신자 지갑은 더 많은 금액을 받고 다른 곳으로 전달하기 전에 먼저 정확히 1TRX를 받았다.

전문가 “北, 자금세탁에 AI 통합 움직임”

이러한 요인들을 바탕으로 엘립틱은 자동화가 전례 없는 규모의 자금 세탁을 위한 북한의 전략의 핵심이라고 결론지었다.

엘립틱은 블록체인 데이터만으로는 인공지능(AI) 에이전트인지 기존 스크립트인지 여부를 아직 구분할 수 없다고 덧붙였다.

호주 사이버 보안회사 라빈의 최고 기술 책임자 데니스 데스몬드에 따르면 이번 작전의 신속한 송금, 다양한 금액, 그리고 지갑 테스트는 북한이 사이버 범죄 활동에 AI를 더욱 개발하고 통합하려는 움직임과 일맥상통한다고 분석했다.

그는 NK 프로와의 인터뷰에서 “우리가 목격한 것은 단일 취약점을 기반으로 한 최초의 대규모 공격이라고 생각한다”며 트레이더 트레이터가 바이낸스 엔지니어의 노트북을 해킹해 접근 권한을 얻은 사건을 언급했다.

데스몬드는 북한이 실제로 암호화폐 자금 세탁에 AI를 이용하고 있다면 사이버 보안 전문가들은 AI 기반 공격자를 교란하고, 유인하고, 차단하기 위해 신속하게 방어하는 방법을 배워야 한다고 말했다.


◎공감언론 뉴시스 [email protected]