FBI, 바이낸스 63억 달러 해킹 북한 소행 공식 지목…세탁 의심 주소 수백 개 공개

바이낸스에 자산을 맡긴 이용자라면 가장 궁금한 것은 내 코인이 안전한지, 출금은 언제 되는지일 것이다. 미국 연방수사국(FBI)이 10월 31일(현지시각) 약 63억 달러(약 8조 4,000억 원, 1달러 1,335원 기준) 규모의 바이낸스 해킹을 북한 소행으로 공식 지목했다. 바이낸스는 탈취된 자산의 90%를 회사 자금으로 다시 채웠고 이용자는 손실을 떠안지 않는다는 입장이다. 중단됐던 출금도 단계적으로 재개됐다.

FBI, 북한 ‘트레이더트레이터’ 지목…공격은 29일 발생

FBI는 10월 31일 성명에서 북한이 10월 29일 무렵 바이낸스에서 60억 달러가 넘는 가상자산을 훔친 책임이 있다고 밝혔다. FBI는 이 북한발 악성 사이버 활동을 ‘트레이더트레이터(TraderTraitor)’라고 부른다. 앞서 블록체인 분석업체 TRM 랩스가 이 조직을 배후로 지목했는데, 이번에는 미국 정부가 직접 확인한 것이다.

미국 사이버보안·인프라보안국(CISA)에 따르면 트레이더트레이터는 적어도 2020년부터 암호화폐 탈취와 연관된 북한 국가 후원 해킹 그룹이다. 라자루스 그룹의 일부로 추정된다. ABC는 이들이 지난해 15억 달러 규모의 바이빗 해킹을 저지른 것과 같은 세력이라고 전했다.

공격 방식에 대한 설명은 매체마다 조금씩 다르다. 바이낸스의 리처드 텅 공동 최고경영자는 사건을 ‘복잡한 공격’이라고 표현했다. 유로뉴스는 해커가 핫월렛(인터넷에 연결돼 있어 즉시 출금이 가능한 지갑)에 접근했다고 전했다. NBC뉴스는 텅 공동 최고경영자가 감염된 노트북과 활동 흔적을 지우도록 설계된 악성 소프트웨어가 동원됐다고 밝혔다고 보도했다.

확인할 것: 출금 재개 상황과 보전 현황

바이낸스는 해킹 직후 보안 점검과 자금 동결, 수사 공조를 위해 입금과 출금을 모두 중단했다. 일요일인 11월 1일에는 출금 재개를 알렸다. ABC에 따르면 1단계로 가장 먼저 열린 곳은 비트코인 네트워크다. 유로뉴스는 출금이 ‘단계적으로’ 재개되고 있다고 전했다. 모든 자산·네트워크가 한꺼번에 열린 것이 아니므로, 내가 쓰는 코인과 네트워크가 열렸는지 먼저 확인해야 한다.

보전 현황도 점검 대상이다. 바이낸스는 토요일인 10월 31일 X(옛 트위터)에서 회사 자금으로 새 토큰을 사들여 탈취 자산의 90%를 채웠다고 밝혔다. 나머지 10%는 유동성이 낮은 토큰이어서 구하는 데 시간이 더 걸린다는 설명이다. 텅 공동 최고경영자는 “사용자는 사고의 재무적 영향을 부담하지 않을 것”이라고 말했다. 비트코인과 이더리움 등 주요 자산이 아닌 코인을 보유했다면 공지를 따로 살펴야 한다.

준비금 증명(proof-of-reserves·거래소가 고객 자산을 실제로 보유하고 있음을 입증하는 절차)도 확인할 수 있다. 바이낸스는 협정세계시 토요일 0시 기준으로 새 스냅숏을 찍었다. BTC·ETH·USDT·BNB·SOL·USDC·XRP·USD1·RLUSD·ZEC 등 10개 토큰 보유자는 전체 증명이 공개되면 자산이 최소 1대 1 비율로 뒷받침되는지 직접 검증할 수 있다고 바이낸스는 밝혔다. 바이낸스는 주요 공지를 X 계정으로 내고 있다. 출금 재개 안내를 비롯한 소식은 공식 계정과 앱 공지로 확인하는 편이 안전하다.

피해야 할 것: 세탁 경로와 연계된 거래, 사칭 메시지

FBI는 민간 업체에도 협조를 요청했다. THORNode 운영자, RPC 노드 운영자, 즉시 교환 서비스, 디파이(DeFi·중개자 없이 코드로 운영되는 탈중앙 금융) 서비스, 블록체인 분석업체 등이 트레이더트레이터가 세탁에 쓰는 주소와의 거래, 또는 그 주소에서 파생된 거래를 막아 달라는 요청이다. 크립토슬레이트에 따르면 FBI는 사건과 연관된 암호화폐 주소 수백 개를 공개했다. 미국 비밀경호국, 국세청 범죄수사국과 함께 수사 중이라는 설명도 있다.

개인이 출처가 불분명한 코인을 받거나 낯선 주소와 엮이면 서비스 쪽 차단 대상이 될 수 있다. FBI가 공개한 주소 목록과 연관된 자금은 거래 상대로 삼지 않는 편이 낫다. 소스에 이용자에게 닥칠 구체적 불이익이 명시된 것은 아니다. 다만 FBI가 서비스 업체들에 차단을 요청한 만큼 위험을 감수할 이유가 없다.

사칭 메시지도 경계해야 한다. CISA는 라자루스 그룹이 스피어피싱(특정 대상을 노린 맞춤형 사기 메시지)과 악성코드로 블록체인·암호화폐 업계를 공격해 왔다고 설명했다. 이번 사건에서도 감염된 노트북이 언급됐다. 출금 재개나 보상을 내세워 링크 클릭이나 지갑 정보 입력을 유도하는 메시지는 공식 채널에서 먼저 확인하기 전에는 응하지 않는 것이 안전하다.

추적은 계속…동결·세탁 공방이 남은 변수

FBI는 트레이더트레이터가 훔친 자산을 주로 이더리움으로 바꾸고 있다고 밝혔다. 앞으로는 디파이와 즉시 교환 서비스를 이용해 더 세탁할 것으로 예상했다. TRM 랩스의 아리 레드보드 최고정책책임자는 해커가 자산을 잘게 쪼개 규모가 작은 거래소에서 세탁하려 할 것이며 이 과정이 수개월에 걸칠 수 있다고 내다봤다. 그는 “일은 인터넷 속도로 벌어진 은행 강도”라면서도 “실시간으로 자금을 추적해 되찾을 수 있다”고 말했다.

체이널리시스에 따르면 해커들은 트론의 디파이 대출 프로토콜로 스테이블코인 동결을 피하고 있다. 지금까지 스테이블코인 동결로 묶인 탈취 자산은 약 30억 달러다. 해커는 TRX를 스테이블코인으로 바꿔 대출 프로토콜에 예치하고 영수증 토큰을 받는다. 발행사가 직접 동결하기 어려운 토큰이다. 이를 새 지갑으로 옮겨 다시 스테이블코인으로 바꾸고 이더리움 등으로 넘긴다. 체이널리시스가 이 경로로 추적한 금액은 약 50만 달러다.

THORChain을 둘러싼 논란도 있다. 체이널리시스에 따르면 이더리움 블록체인 재편성(reorganization)으로 THORChain이 10 ETH 입금에 환불을 두 번 처리하는 오류가 났고, 이 때문에 대부분의 브리지에서 교환이 긴급 중단됐다. 해커도 일시적으로 쓰지 못했지만 의도적 차단은 아니었다. THORChain은 9월 비트겟의 3억 8,800만 달러 해킹 자금 차단 요구를 거부한 바 있다. 공동 창업자 채드 바래포드는 FBI 요청에 노드 운영자는 실시간 공개 정보 이상을 갖고 있지 않다고 답했다.

북한의 해킹 규모는 갈수록 커지고 있다. 코인텔레그래프가 인용한 서틱 보고서에 따르면 지난해 암호화폐 보안 손실 약 34억 달러 중 20억 달러 넘게가 북한 연계 조직 몫이었다. 656건 중 79건이 이들 소행이었다. 서틱은 2016년부터 올해 초까지 북한 연계 세력이 263건에 걸쳐 약 67억 5,000만 달러를 훔친 것으로 추산했다.