사상 최대 규모... 전 선계 코인(암호화폐) 시장에 충격파 안긴 북한

세계 최대 가상화폐 거래소 바이낸스에서 사상 최대 규모인 63억 달러(약 8조4000억원) 상당의 가상자산이 약 20분 만에 빠져나갔다.

해커들이 미국 동부시간 29일 저녁 약 20분 동안 바이낸스에서 탈취한 자금 대부분을 빼돌렸다고 로이터통신과 월스트리트저널(WSJ)이 30일(현지시각) 보도했다. 블록체인 분석업체 TRM랩스는 공격자가 10개 블록체인에 걸친 바이낸스 지갑에서 약 63억6000만 달러(약 8조 4956억 원)를 인출했다고 분석했다. 지난해 2월 거래소 바이비트에서 탈취된 15억 달러를 4배 이상 웃도는 규모다.

공격의 출발점은 엔지니어 한 명의 노트북이었다. 바이낸스는 개발·운영(DevOps) 엔지니어의 노트북이 해킹당하면서 공격자가 무단 출금 거래를 제출할 수 있었다고 밝혔다. 추가 침투 지점도 확인됐다고 했다. 리처드 텅 바이낸스 최고경영자(CEO)는 엔지니어 한 명의 권한만 쓴 단순한 공격이 아니라 더 복잡한 과정을 거친 공격이었다고 설명했다. 지갑 개인키가 유출된 증거는 발견하지 못했다는 게 바이낸스의 입장이다.

TRM랩스에 따르면 범행 준비는 최소 36시간 전에 시작됐다. 공격자들은 28일 오전 자금 추적을 어렵게 하는 믹싱 서비스 토네이도캐시에서 소액을 받아 운영용 지갑을 마련했다. 29일에는 공격 코드를 다른 지갑 두 곳에서 시험했다. 최종 리허설을 마친 지 4시간 만에 같은 코드를 바이낸스 핫월렛(인터넷에 연결된 지갑)에 심었다.

본격적인 인출은 동부시간 29일 오후 4시5분(한국시각 30일 오전 5시5분)쯤 시작됐다. 4시5분부터 9분 사이 바이낸스 XRP 레저 지갑 5곳에서 2억3346만 XRP(약 2억9600만 달러)가 공격자 주소 하나로 넘어갔다. 4시10분 직후에는 솔라나와 옵티미즘 블록체인의 바이낸스 지갑에서 자금이 빠져나갔다. 솔라나 지갑에서만 97만500 SOL이 인출됐다.

4시20분에는 비트코인 1만8270개(약 14억7000만 달러)가 공격자 주소로 이동했다. 공격자는 이를 같은 블록 안에서 1000개, 100개 단위로 쪼갰다. 2분 뒤에는 트론 블록체인의 바이낸스 지갑에서 테더(USDT) 6억1270만개가 인출됐다.

같은 시각 공격자는 바이낸스 이더리움 핫월렛이 미리 서명한 승인 50건을 거래 하나에 담아 제출했다. 그로부터 3분24초 뒤 이더리움 16만7464개와 테더 16억1500만개 등 지갑 잔고 전체가 빠져나갔다. 이더리움 지갑에서는 이후에도 밤늦게까지 여러 차례 추가 인출이 이어졌다. 같은 지갑의 권한을 이용해 USDC 8억2300만개도 빼냈다.

해커들은 동결을 피하는 데 집중했다. 테더나 USDC 같은 스테이블코인(가치안정형 디지털자산)은 발행사가 특정 지갑의 자금을 동결할 수 있다. 반면 비트코인과 이더리움은 발행 주체가 없어 동결이 사실상 불가능하다.

TRM랩스는 공격자들이 테더 약 3억2500만개를 전문 유동성 공급자들에게 팔아 이더리움 약 12만2300개를 받았다고 분석했다. 당시 이더리움 시세는 2300~2350달러였다. 받은 이더리움을 기준으로 계산하면 해커들은 개당 약 2650달러를 치른 셈이다. 10% 넘는 손실을 감수하고서라도 스테이블코인을 서둘러 처분한 것이다. 같은 묶음에 있던 나머지 테더 1억7500만개는 약 10분 뒤 다른 지갑으로 옮겨지다 동결됐다.

또 다른 공격자 지갑은 테더 6000만개를 대출 프로토콜 에이브에 담보로 맡기고 이더리움 약 1만9760개를 빌렸다. 에이브는 이후 관련 시장을 동결했다.

자금 세탁도 치밀했다. 짧은 시간에 수천 건의 거래가 이뤄진 점으로 보아 자동화 도구가 쓰인 것으로 보인다고 분석업체 체이널리시스는 밝혔다. 해커들은 앞서 사용한 주소로 자금을 되돌려 보내는 순환 구조를 만들었다. 여러 주소에 정확히 1 TRX(트론)를 먼저 보내 작동을 확인한 뒤 본 자금을 보내는 방식도 반복됐다.

이 과정에서 결정적인 단서가 나왔다. 바이낸스에서 탈취된 자금이 지난달 해킹당한 거래소 비트겟의 탈취 자금과 섞이는 장면을 체이널리시스 조사관들이 실시간으로 포착했다. 체이널리시스는 이를 근거로 북한 정예 해킹조직 '트레이더트레이터'(TraderTraitor)의 소행이라는 판단을 굳혔다. TRM랩스도 높은 확신을 갖고 트레이더트레이터를 배후로 지목했다.

업계의 동결 조치는 빠르게 이어졌다. 테더는 주요 인출 37분 뒤 공격자 지갑을 동결했다. 로이터에 따르면 테더는 약 15억7000만 달러, 서클은 8억 달러 이상을 동결했다. 트럼프 일가가 후원하는 월드리버티파이낸셜도 스테이블코인 2700만 달러를 동결했다. 리플은 약 2억 달러를 묶었다. 그러나 해커들은 이미 상당 부분을 동결할 수 없는 자산으로 바꾼 뒤였다. 약 28억 달러가 동결됐지만 30억 달러 이상은 회수가 어려울 것이라고 WSJ는 분석업체들을 인용해 전했다.

바이낸스는 고객 피해가 없을 것이라고 강조했다. 텅 CEO는 회사 자금으로 손실을 메우겠다고 밝혔다. 바이낸스는 보안 사고에 대비해 비트코인 10억 달러어치를 비상 준비금으로 보유하고 있다. 중단된 출금 서비스는 45시간 안에 재개할 예정이다. 입금은 영향을 받지 않았다. 미 연방수사국(FBI)과 비밀경호국은 수사에 착수했다.