8조원 훔친 북한 해커, 300억원 잃어가며 코인 바꾼 이유 작성일 11-02 19 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="7whQND2uFm"> <figure class="figure_frm origin_fig" contents-hash="e2ee9d4d6585cd5526095a2cda18c14bbd792809d96cfa124036f5b7f091bc0f" dmcf-pid="zrlxjwV77r" dmcf-ptype="figure"> <p class="link_figure"><img alt="세계 최대 가상자산 거래소 바이낸스 로고가 표시된 스마트폰과 컴퓨터 코드 이미지. 북한 해킹 조직이 바이낸스에서 탈취한 가상자산을 여러 블록체인으로 옮기는 과정에서 약 300억 원의 비용과 손실을 본 것으로 분석됐다. 게티이미지코리아" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/02/donga/20261102144822714hbwc.jpg" data-org-width="1600" dmcf-mid="fRqDyZaeFp" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/02/donga/20261102144822714hbwc.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 세계 최대 가상자산 거래소 바이낸스 로고가 표시된 스마트폰과 컴퓨터 코드 이미지. 북한 해킹 조직이 바이낸스에서 탈취한 가상자산을 여러 블록체인으로 옮기는 과정에서 약 300억 원의 비용과 손실을 본 것으로 분석됐다. 게티이미지코리아 </figcaption> </figure> <div contents-hash="4da2674fa7d8dc39d51ad5b90078a54fa4ec8bcadf62d73164bd8d44430cb0a4" dmcf-pid="qgEKeoUZzw" dmcf-ptype="general"> 세계 최대 가상자산 거래소 바이낸스에서 약 8조 원을 탈취한 북한 해킹 조직이 훔친 코인을 옮기면서 약 300억 원의 비용과 손실을 본 것으로 분석됐다. 스테이블코인 발행사 테더가 탈취 자산 일부를 동결한 뒤에도 해커들은 다른 블록체인으로 코인을 옮겼다. </div> <p contents-hash="3905f9eb6104952d5e321fd05c7c425c23d75d83fcc7fc01e76d9b1e9fb77e3b" dmcf-pid="BaD9dgu5FD" dmcf-ptype="general">이 과정에서 교환이 실패한 코인을 새 지갑으로 옮겨 재거래를 시도하고, 31시간 동안 매시간 자금을 전송하는 움직임이 포착됐다. 미국 연방수사국(FBI)이 거래 차단을 요청하며 공개한 지갑 목록에는 정작 대규모 자금 이동이 이뤄진 트론 블록체인의 주소가 빠져 있었다.</p> <p contents-hash="89272c440ff07ff8c7bf68ea37435c8bb27756cf91c698aae4c30500b1adec3c" dmcf-pid="bNw2Ja71zE" dmcf-ptype="general">1일(현지시간) 가상자산 전문매체 더블록에 따르면 온체인 분석가 소마엑스비티(SomaXBT)는 테더가 트론 블록체인에서 탈취된 자산 약 6억2800만 달러 중 3억7870만 달러를 동결했다고 밝혔다. 이후 해커들이 이틀 동안 약 2억4200만 달러를 여러 교환 서비스로 이동시켰으며, 이 과정에서 약 2200만 달러(약 300억 원)의 비용과 손실이 발생한 것으로 추산했다.</p> <p contents-hash="fde1b249f91bfa53e3cf3af1d56dd31052aa9050c05d68ece73d9619751a94e3" dmcf-pid="KjrViNztzk" dmcf-ptype="general"><strong>● 3억7870만 달러 동결되자 코인 이동…300억 원 비용·손실은 왜 발생했나</strong></p> <p contents-hash="8bf25282a3533add82ea1a91cb5ff0683f1b84e0cf80787179f35e2988c657bb" dmcf-pid="9AmfnjqF0c" dmcf-ptype="general">이동한 2억4200만 달러 가운데 약 1억9400만 달러는 다른 블록체인으로 넘어갔고 2600만 달러는 트론에 남았다. 나머지 약 2200만 달러는 거래 수수료와 불리한 가격에 코인이 교환되면서 발생한 손실, 가격 변동 등에 따른 비용·손실로 추산됐다.</p> <p contents-hash="efa3bb0706bc6479be6ffd51188bb66ce039b226df12618f0d2b6696fe2173c7" dmcf-pid="2cs4LAB3pA" dmcf-ptype="general">해커들은 서로 다른 블록체인의 가상자산을 교환해 주는 서비스를 잇달아 이용했다. 소마엑스비티에 따르면 릴레이(Relay)를 통해 약 4800만 달러, 토르체인(THORChain)을 통해 4400만 달러, 체인플립(Chainflip)을 통해 3210만 달러, 심비오시스(Symbiosis)를 통해 1600만 달러가 이동했다. 네 서비스를 거친 자금만 약 1억4000만 달러다.</p> <p contents-hash="504726049bf581b5e3df727c888038e1a3341632f74c99b9d1ffec62d04002b5" dmcf-pid="VkO8ocb00j" dmcf-ptype="general">비트겟 월렛을 통해서도 약 4170만 달러가 이동한 것으로 분석됐다. 다만 이 자금이 이후 어디로 향했는지는 확인되지 않았다.</p> <p contents-hash="51f53cbddd85a2e2945b35198bc38c3dd50fe3a1fcbc2eae6ad01d22c200dade" dmcf-pid="fEI6gkKpFN" dmcf-ptype="general">해커들이 여러 서비스를 이용하는 것은 탈취 자산의 추적과 거래 차단을 어렵게 만들기 위한 것으로 분석된다. 가상자산은 거래 내역이 블록체인에 남아 수사기관과 분석기업이 이동 경로를 추적할 수 있다. 그러나 코인 종류와 블록체인을 반복해서 바꾸면 추적해야 할 경로가 복잡해진다.</p> <p contents-hash="e44ad678a74cfb5606656b6689f320ca2542773a68c18cc8494069005b8c8d80" dmcf-pid="4DCPaE9UFa" dmcf-ptype="general">이 과정에서 적지 않은 비용이 발생했다. 코인을 옮길 때마다 거래 수수료가 붙고, 한꺼번에 많은 물량을 교환하면 예상보다 불리한 가격에 거래될 수 있다. 이를 ‘슬리피지(slippage)’라고 한다. 거래하는 동안 코인 가격이 변하는 것도 손익에 영향을 준다.</p> <p contents-hash="a611efb47bb8d48ac6d360777766113099d89bc5f50d700e469aee58641355d0" dmcf-pid="8xn3VQHlug" dmcf-ptype="general">약 2200만 달러는 이러한 비용과 손실을 합산한 추정치다. 해커들이 현금으로 같은 금액을 잃었다거나 전액을 거래 수수료로 지급했다는 뜻은 아니다.</p> <p contents-hash="899b4f9e5dcad80ec84c678b640f8904d4adac80fcaa94079d1a9997e07079df" dmcf-pid="6ML0fxXS0o" dmcf-ptype="general">일부 교환 거래는 정상적으로 이뤄지지도 않았다. 더블록에 따르면 해커들은 체인플립에 약 4947만 달러 상당의 테더(USDT)를 571차례 입금했으나 여러 건의 교환이 실패했다. 반환된 약 1791만 달러 상당의 테더는 새로운 트론 지갑으로 옮겨진 뒤 다시 입금됐다.</p> <p contents-hash="87fb6998fe6ce53cba0fa029ba7f7413733138ab10963081634541ef05488f21" dmcf-pid="PRop4MZvUL" dmcf-ptype="general">심비오시스에서도 해킹 관련 자금의 이동이 포착됐다. 해커들은 이 서비스에 약 4971만 개의 트론(TRX)을 1367차례 나눠 입금한 것으로 분석됐다.</p> <p contents-hash="f2e5e4b34ba90d3a1ef9674d757bf9612fd649f36372bcadb0c7c12c9ec0c236" dmcf-pid="QegU8R5TUn" dmcf-ptype="general">심비오시스는 바이낸스 탈취 자산이 자사 서비스를 통해 이동하려 한 사실을 확인하고 바이낸스와 연락하고 있다고 밝혔다. 업체 측은 “우리의 위험 거래 탐지 시스템은 일반적인 거래를 기준으로 설계돼 빠르게 움직이는 정교한 시도를 추적하는 데 한계가 있다”며 “일부 장치에 허점이 있어 보완하고 있다”고 설명했다.</p> <figure class="figure_frm origin_fig" contents-hash="766d7477e7c0b512256d598cf729afa5ccfe42f6757eb36eebe27b0a8e8c3c6f" dmcf-pid="xdau6e1ypi" dmcf-ptype="figure"> <p class="link_figure"><img alt="ⓒ뉴시스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/02/donga/20261102144823990ebcy.jpg" data-org-width="1000" dmcf-mid="ujRZBfTsus" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/02/donga/20261102144823990ebcy.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ⓒ뉴시스 </figcaption> </figure> <div contents-hash="3c0faaa4da317376a622d8332c96ebd85c922efdab0816401f5aaa8126e1d373" dmcf-pid="yH3cSGLxFJ" dmcf-ptype="general"> <strong>● FBI 공개 지갑 628개에 트론은 ‘0개’…31시간 이어진 자금 이동</strong> </div> <p contents-hash="dc5f6aa8e82e615ab761ab20704c8f524a2cb85f8a99ed5e56fd89a41734e38a" dmcf-pid="WX0kvHoM7d" dmcf-ptype="general">미 FBI는 지난달 31일 바이낸스 해킹을 북한의 ‘트레이더트레이터(TraderTraitor)’ 조직 소행으로 지목했다. FBI는 미국 비밀경호국(USSS), 국세청 범죄수사국(IRS-CI)과 함께 해커들이 탈취 자산을 주로 이더리움으로 전환하고 있으며, 이후 탈중앙금융(DeFi)과 즉시 교환 서비스 등을 이용해 추가 자금세탁에 나설 것으로 예상한다고 밝혔다.</p> <p contents-hash="6373b3fba0224918127138d37a5d8868619aaa20bbcaf510e99f72796d9ebb2d" dmcf-pid="YZpETXgRFe" dmcf-ptype="general">FBI는 가상자산 거래소와 블록체인 네트워크 운영자, 탈중앙금융 서비스 업체 등에 해킹 관련 주소에서 발생했거나 유래한 자산의 거래를 차단해 달라고 요청했다.</p> <p contents-hash="f7a07a5847254f50d8e448dd3470def947f741f25146dd9c2c879453e96040a9" dmcf-pid="G5UDyZaezR" dmcf-ptype="general">그러나 공개된 주소 목록에는 이더리움 지갑 608개와 비트코인 지갑 19개, 솔라나 지갑 1개가 포함됐을 뿐, 정작 2억4200만 달러의 자금 이동이 포착된 트론 주소는 하나도 없었다. FBI가 공개한 주소만 차단해서는 다른 블록체인에서 이뤄지는 자금 이동까지 모두 막기 어렵다는 점을 보여준다.</p> <p contents-hash="e201ee356256ca7f0b42140b384d7f59f13df3585133a64116299595cdd28070" dmcf-pid="HIydEO6b0M" dmcf-ptype="general">목록에 오른 주소에서도 자금 이동이 이어졌다. 더블록에 따르면 FBI가 공개한 유일한 솔라나 지갑에서는 경고 이후 릴레이를 통한 비트코인 교환이 시작됐다. 해당 지갑에서 한 시간 동안 약 4640만 달러 상당의 솔라나가 이동한 것으로 분석됐다.</p> <p contents-hash="e9b3dc6a477349381f15ed0e58ae56e4c47d7a1efc69d24f7b4b986ec80191b0" dmcf-pid="XCWJDIPK7x" dmcf-ptype="general">탈중앙화 서비스의 거래 차단 방식도 문제로 떠올랐다. 중앙화 거래소와 달리 여러 참여자가 네트워크를 운영하는 서비스에서는 특정 주소의 거래를 제한하는 데 기술적·운영상 제약이 있을 수 있다.</p> <p contents-hash="97c6cf8c3da9f285d6146be22ef76233a7fc148cf102e407e71456662b7cc63f" dmcf-pid="ZhYiwCQ90Q" dmcf-ptype="general">해커들이 이용한 토르체인의 기술 공동창업자 채드 배러퍼드는 노드 운영자들이 “실시간으로 공개된 정보 외에 별도로 가진 정보는 전혀 없다”고 밝혔다. 다만 FBI가 공개한 주소를 실제로 차단할 것인지에 대해서는 명확한 답을 내놓지 않았다.</p> <p contents-hash="bd30e2f157a2e8911ed982cc081cf18f0138769872eb09dd593defbfff7f98e2" dmcf-pid="5lGnrhx2pP" dmcf-ptype="general">토르체인에서는 별도의 기술적 문제로 거래가 일시 중단되기도 했다. 이더리움 거래 기록이 변경되는 과정에서 입금액을 중복 환불하는 문제가 발생해 긴급 중단 조치가 이뤄졌다. 이에 따라 해커들이 이용하던 교환 경로도 한동안 제한됐다.</p> <p contents-hash="a163a04d03f8b40aecd1cc28501910c57c18bfd93552d73633a52f4e123a1611" dmcf-pid="1SHLmlMVu6" dmcf-ptype="general">해커들의 자금 이동은 일정한 간격으로 반복됐다. 블록체인 분석기업 엘립틱에 따르면 주요 트론 지갑에서는 31시간 연속 매시간 자금이 전송됐으며, 거래 간격이 46분을 넘지 않았다. 같은 금액을 반복해서 보내거나 교환이 실패하면 새로운 지갑을 통해 다시 시도하는 모습도 포착됐다.</p> <p contents-hash="0cfa4b41f0e9a205d694cb0a55d379c74d1bd0a21e2eb2ecac7aa9cd67f7ee1c" dmcf-pid="tvXosSRfu8" dmcf-ptype="general">엘립틱 공동창업자 톰 로빈슨은 더블록에 이러한 거래가 인공지능(AI) 에이전트에 의해 이뤄진 것으로 보이지는 않는다고 설명했다. 그는 “같은 금액과 시간 간격, 경로가 반복된다”며 사람이 주요 결정을 내리고 프로그램이 반복 작업을 수행한 것으로 분석했다.</p> <p contents-hash="c599ef095eebf1e1de298a330d37322e9f2027afa4fd7a683e9554757aa73de2" dmcf-pid="FTZgOve4F4" dmcf-ptype="general"><strong>● 코인 2억4200만 달러 이동했지만 현금화 여부는 미확인</strong></p> <p contents-hash="a5a798907e029b2f58ddba36a641e5d76f0744d94a19e6926a0f9e3a097f8130" dmcf-pid="3y5aITd8uf" dmcf-ptype="general">코인을 다른 블록체인으로 옮겼다고 해서 실제 현금화에 성공한 것은 아니다. 훔친 가상자산을 달러 등 법정화폐로 바꾸려면 거래소나 중개업자 등 별도의 거래 상대방이 필요하다. 정상적인 거래소에서는 고객 신원확인과 자금세탁방지 절차에 따라 범죄 관련 자금의 거래가 제한될 수 있다.</p> <p contents-hash="3ae567eb48d26e8785771d4952f63f010db513e78e2494afc61fbf0c1ff5b8c7" dmcf-pid="0W1NCyJ6uV" dmcf-ptype="general">자산 종류에 따라 동결 가능 여부도 다르다. 테더 같은 일부 스테이블코인은 발행사가 특정 지갑의 토큰 이동을 제한할 수 있지만, 비트코인처럼 발행사가 없는 가상자산은 같은 방식으로 동결하기 어렵다.</p> <p contents-hash="5f40adb2bd36124913fa31c68e7c558e2f5a18a29c69e62d0d7a59ae5497f461" dmcf-pid="pb8ypBIkU2" dmcf-ptype="general">더블록이 인용한 엘립틱 분석에 따르면 바이낸스에서 탈취된 자산 가운데 약 28억5000만 달러가 동결되거나 압류된 것으로 확인됐다. 엘립틱이 집계한 전체 탈취액 약 64억3000만 달러의 44%에 해당한다. 동결·압류된 자산의 94%는 스테이블코인이었다.</p> <p contents-hash="c13d181278a8c6f2fb880b539f3036d9d3877763fac5965c6dfb4762c439bd18" dmcf-pid="UK6WUbCEu9" dmcf-ptype="general">그러나 동결되지 않은 자산을 모두 해커가 현금화할 수 있다는 뜻도 아니다. 비트코인 등을 다른 지갑으로 옮기는 것은 가능하더라도 거래소에서 이를 현금으로 바꾸는 과정에서는 추적과 차단이 이뤄질 수 있다. 반대로 비공식 중개망 등을 통한 자금 이동까지 모두 막을 수 있는 것은 아니다.</p> <p contents-hash="da6b3d324bddd7bf37816b4937cea8f9d772a86d043b7b2e280f2da4da93e804" dmcf-pid="u9PYuKhDFK" dmcf-ptype="general">이번에 추적된 2억4200만 달러 역시 자금세탁 경로로 이동한 규모일 뿐, 최종 현금화 금액은 아니다. 북한 해커들이 실제로 얼마를 현금이나 사용 가능한 자금으로 전환했는지는 확인되지 않았다.</p> <p contents-hash="c7c28126beab94261105320516e90637722a7fa91cdab40dc367f8768a6ca941" dmcf-pid="72QG79lw0b" dmcf-ptype="general">최현정 기자 phoebe@donga.com </p> </section> </div> <p class="" data-translation="true">Copyright © 동아일보. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 할리갈리+러시안룰렛? 저승협회 신작 파티 게임 ‘파이브 투 파이어’ 11-02 다음 "오래 기다렸네요" …세계 'TOP 급' 국가 슈퍼컴, 실제로 보니 [르포] 11-02 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
