바이낸스, 11월 1일 출금 재개…고객 손실 전액 부담
해커들, 20분간 지갑 반복 인출…28억달러 동결
북한 연계 조직, 역대 최대 탈취 의혹혹…무기 개발 자금 활용 추정
해커들, 20분간 지갑 반복 인출…28억달러 동결
북한 연계 조직, 역대 최대 탈취 의혹혹…무기 개발 자금 활용 추정
|
▲ 바이낸스는 약 63억달러로 추정되는 해킹 피해 자산의 90%를 자체 자금으로 보충하고 11월 1일 출금을 재개한다고 밝혔다.
▲ 해커들은 약 20분 동안 자금이 계속 유입되는 거래소 지갑을 반복 공격해 60억달러 이상을 빼돌렸다.
▲ 엘립틱은 약 28억달러가 동결되고 약 33억달러는 동결되지 않았다고 분석했다. 자산 동결은 실제 회수와 구분된다.
▲ 분석업체들은 북한 연계 조직 트레이더트레이터를 배후로 지목했지만, 바이낸스는 공격 주체와 침투 경로를 확정하지 않았다.
세계 최대 가상화폐 거래소 바이낸스는 10월 31일(현지시간) 약 63억달러(8조4155억원)로 추정되는 사상 최대 해킹 피해 자산의 90%를 자체 자금으로 보충하고 11월 1일 출금을 재개한다고 밝혔다. 해커들은 29일 오후 4시 20분(한국시간 30일 오전 5시 20분) 무렵부터 약 20~30분 동안 거래소 지갑에서 자산을 반복 인출한 것으로 분석됐다. 블록체인 분석업체들은 북한 연계 해킹 조직 트레이더트레이터(TraderTraitor)를 배후로 지목했지만, 바이낸스는 이를 공식 확인하지 않았다.
◇ 바이낸스, 피해 자산 90% 보충…비상기금 투입·출금 재개
바이낸스는 31일 홈페이지와 엑스(X)를 통해 탈취 자산의 90%를 보충했으며 주요 토큰 10종의 준비금을 최소 1대 1 비율로 확보했다고 밝혔다. 이에는 비트코인·이더리움과 테더가 발행한 테더코인(USDT), 서클이 발행한 USD코인(USDC) 등이 포함된다. 나머지 10%는 유동성이 낮은 토큰으로 장내·장외 거래를 통해 보충하고 있다. 회사는 10억달러(1조3358억원) 규모의 이용자자산보호기금(SAFU) 일부와 선물 보험기금의 여유 자금, 사내 유보금을 투입했다고 로이터통신이 전했다. 바이낸스는 SAFU에서 사용한 자금을 다시 채워 기금 규모를 10억달러 수준으로 유지할 계획이다.
리처드 텅 바이낸스 공동 최고경영자(CEO)는 "탈취 자산의 90%를 보충했으며 나머지 10%도 충당하겠다"며 "이용자들은 이번 사건의 재정적 부담을 지지 않을 것"이라고 엑스에 밝혔다. 바이낸스는 손실 보전을 위해 약 63억4000만달러(8조4690억원)를 회사 자금으로 배정했다. 이는 해커에게서 회수한 금액이 아니다. 회사는 협정세계시(UTC) 31일 0시(한국시간 31일 오전 9시) 기준 자산 현황을 기록했다. 영지식 증명(Zero-Knowledge Proof) 연산에 40~50시간이 걸려 이용자들은 11월 3일부터 준비금 보유 여부를 직접 검증할 수 있다.
|
해커들은 바이낸스 소유 블록체인 계정에 접근하는 프로그램을 이용해 자산을 빼돌렸다. 거래소 운영 자금이 해당 계정에 계속 유입되는 사이 이를 반복 인출했다고 블룸버그통신이 보도했다. 공격은 최소 4개 블록체인에서 이뤄졌다. 바이낸스 아부다비 보안팀은 29일 오후 4시 20분 무단 인출액이 10억달러를 넘은 사실을 감지했다. 위기대응팀 소속 약 100명이 긴급회의에 참여했지만, 임직원들은 자산이 실시간으로 빠져나가는 모습을 지켜볼 수밖에 없었다.
피해액은 30억달러로 늘어난 데 이어 오후 4시 40분에는 60억달러를 넘어섰다고 미국 일간 월스트리트저널(WSJ)이 전했다. 블록체인 분석업체 체이널리시스는 주된 탈취가 약 20분 만에 이뤄졌다고 분석했다. 엘립틱은 대부분의 자산이 첫 30분 안에 빠져나갔으며 약 3시간 뒤 소규모 추가 인출이 있었다고 밝혔다.
블룸버그는 보안업체 서틱(CertiK) 자료를 인용한 집계에서 63억달러를 최종 손실이 확정되지 않은 추정 영향액으로 표시했다. 이는 2025년 2월 바이비트 해킹 피해액 15억달러(2조37억원)의 4배 이상이며 지난 9월 비트겟 피해액 3억8750만달러(5176억원)의 16배가 넘는다.
|
TRM랩스는 공격 준비가 약 36시간 전에 시작됐다고 파악했다. 해커들은 자신들이 통제하는 이더리움 계정에서 몇 달러 규모의 시험 거래를 반복했다고 블룸버그가 전했다. 영국 일간 파이낸셜타임스(FT)는 엘립틱 분석을 인용해 공격 전날 토네이도 캐시(Tornado Cash)를 거친 소액 거래 3건이 있었고, 공격 약 4시간 전에는 별도 지갑 2곳에서 악성코드를 시험했다고 보도했다.
바이낸스는 초기 조사에서 개발·운영(DevOps) 엔지니어의 노트북이 침해된 정황을 파악했고 이후 추가 침해 지점도 발견했다고 밝혔다. 텅 CEO는 공격자가 도구와 흔적을 파괴하는 '자폭 기능'을 사용해 조사를 어렵게 했다고 설명했다. FT는 거래 승인 권한을 자동화 소프트웨어에 위임하는 기능이 약 38억달러(5조760억원) 상당의 이더리움 탈취에 악용됐다고 전했다. 정확한 침투 경로는 아직 확인되지 않았다.
◇ 바이낸스, 100명 비상대응팀 소집…발행사들 28억달러 동결
바이낸스는 사내 메신저와 화상회의를 통해 긴급 대응에 나섰다. 허이(何一) 공동 CEO는 아부다비에서, 텅 CEO는 홍콩에서 밤새 수습을 지휘했다고 미국 일간 뉴욕타임스(NYT)가 전했다. 창업자 자오창펑(趙長鵬)은 엑스에 "이용자 자금은 안전하다"고 밝혔다. 바이낸스는 미국 연방수사국(FBI)과 미국 비밀경호국, 블록체인 추적업체들과 공조했다.
비영리 보안단체 SEAL의 테일러 모나한 연구원은 29일 오후 4시 38분 테더에 긴급 연락했다. 서클은 오후 5시 18분 8억달러 이상, 테더는 7분 뒤 15억달러 이상의 자산을 동결했다고 발표했다. 도널드 트럼프 미국 대통령 일가가 참여한 월드리버티파이낸셜도 자사 USD1 토큰 2700만달러(361억원)를 동결했다. 엘립틱은 테더의 USDT 18억2000만달러, 서클의 USDC 8억2500만달러, 기타 자산 1억8700만달러 등 총 28억3200만달러(3조7830억원)가 동결된 것으로 분석했다고 FT가 보도했다.
반면 비트코인 14억3000만달러, 이더리움 11억5000만달러, 기타 자산 7억4000만달러 등 33억2000만달러(4조4349억원)는 동결되지 않은 자산으로 분류됐다. 바이낸스는 약 30억달러가 동결됐다고 발표했고, TRM랩스는 약 24억달러(3조2059억원)가 발행사의 동결 권한 밖으로 이동했다고 추산했다. 기관마다 집계 시점과 분류 기준이 달라 수치에 차이가 있으며 자산 동결은 실제 반환과 구분된다. FT는 이번 동결 규모가 지난 4월 이란 중앙은행 연계 지갑에서 동결된 3억4400만달러(4595억원)를 넘어 역대 최대라고 전했다.
해커들은 동결 조치가 확대되기 전 9억3400만달러(1조2476억원) 상당의 테더를 손실을 감수하며 다른 토큰으로 교환했다. 또 스테이블코인 6000만달러(801억원)를 대출 플랫폼 에이브(Aave)에 담보로 맡겨 당시 4460만달러(596억원) 상당의 이더리움 약 2만개를 빌렸다. 발행사의 자산 동결을 피하기 위한 움직임이었다.
체이널리시스는 이전에 관찰하지 못한 자금세탁 패턴을 확인했다고 밝혔다. 필 라랏 체이널리시스 글로벌서비스 선임국장은 수백 개 지갑 사이에서 수천 건의 거래가 발생했다며 이를 '고도화된 자동화 난독화 시도'로 평가했다.
|
TRM랩스·체이널리시스·엘립틱은 바이낸스에서 탈취된 자금이 지난 9월 비트겟 해킹으로 확보된 자금과 같은 지갑에 섞인 정황은 북한 연계 조직이 공격에 관여했다는 분석의 주요 근거로 제시됐다. WSJ는 북한 국가 지원 조직 트레이더트레이터와 이번 공격이 연계됐다는 분석을 전했다. 다만 바이낸스는 범행 주체를 공식 발표하지 않았다. FBI는 이 조직을 2023년 이후 발생한 최소 3건의 가상화폐 탈취 사건과 연결했다.
북한은 2014년 소니 픽처스 해킹의 배후로 지목됐다. 2016년에는 방글라데시 중앙은행에서 약 10억달러 탈취를 시도해 8100만달러(1082억원)를 빼돌렸으며 2017년에는 150여개국에서 피해가 발생한 워너크라이(WannaCry) 공격과 연계됐다고 미국 인터넷 매체 악시오스가 전했다. 이후 2022년 로닌 네트워크 6억2000만달러(8282억원), 2024년 일본 DMM비트코인 3억800만달러(4114억원), 2025년 바이비트 15억달러 탈취에도 북한 연계 조직이 관여한 것으로 분석됐다.
북한은 수학·과학에 재능이 있는 학생을 선발해 3~5년간 사이버전 훈련을 시키는 것으로 알려졌다. 북한인권위원회는 평양 모란봉대학이 군사학·해킹·암호 해독을 결합한 5년제 과정을 운영한다고 밝혔다. 신범철 전 한국 국방부 차관은 북한 해커들을 "세계에서 가장 공격적이고 숙련된 사이버 행위자들"이라고 평가하며 정권의 외화벌이를 위해 체계적으로 훈련받는다고 FT에 말했다.
|
TRM랩스는 북한 해커들이 2017년 이후 100건 넘는 사건에서 128억달러(17조982억원)를 탈취한 것으로 추산했다고 미국 일간 워싱턴포스트(WP)가 보도했다. WP는 북한의 2025년 국내총생산(GDP) 추정치를 약 260억달러(34조7308억원)로 제시했다. 이번 바이낸스 피해액이 북한 국민총소득(GNI)의 약 5분의 1에 해당한다는 추산도 나왔다.
체이널리시스는 2025년 북한의 가상화폐 탈취액을 약 20억달러(2조6716억원), 전 세계 탈취액의 약 60%로 집계했다. 올해 신고된 해킹 피해액에서도 북한 연계 공격의 비중이 약 89%라는 추정이 나왔다고 WSJ가 전했다. 영국 일간 가디언이 검토한 유엔 안전보장이사회 전문가 패널 보고서는 2017~2023년 북한 관련 가상화폐 기업 공격을 58건, 피해액을 약 30억달러로 추정했다. 전문가 패널은 해킹 자금이 북한 외화 수입의 절반을 차지할 수 있다고 봤다. 무기 개발 비용의 약 40%를 해킹 자금으로 충당한다는 별도 추산도 제기됐다.
북한의 불법 외화벌이는 1990년대 위조지폐 '슈퍼노트' 제작과 2000년대 마약 제조·밀매 의혹을 거쳐 가상화폐 탈취로 확대됐다. TRM랩스의 닉 칼슨 조사관은 북한의 수백 명 정예 해커가 벌어들이는 외화가 기존 수출품 수입을 크게 웃돈다며 해킹이 사실상 북한 정부의 주요 경화 수입원이 됐다고 WP에 말했다.
블룸버그는 탈취 자산을 현금으로 바꾸기도 쉽지 않다고 설명했다. 해커들은 여러 지갑과 블록체인으로 자금을 옮기거나 거래를 섞는 믹서(Mixer)를 이용한 뒤 거래소·중개업체를 통해 현금화를 시도한다. 그러나 거래 기록을 추적할 수 있고 의심 입금도 차단될 수 있다.
사이버보안업체 스텔스몰의 사이먼 최 최고기술책임자(CTO)는 인공지능(AI)이 공격을 지원할 수 있다며 "AI는 해커들에게 날개를 달아줬다"고 경고했다. WP는 이번 공격에 AI가 실제 사용됐는지는 확인되지 않았다고 지적했다.
허이 공동 CEO는 "더 일찍 보안에 투자하고 더 엄격한 기준을 세웠어야 했다"고 인정했다. 바이낸스와 수사기관은 탈취 자산의 이동 경로를 계속 추적하고 있으며 동결된 자산의 반환과 추가 회수 여부는 아직 확인되지 않았다.
