바이낸스 63억 달러 도난 수사에 비밀경호국·IRS 가세…해커 손엔 35억 달러 남은 듯

바이낸스에서 63억 달러(약 8조 4,000억 원, 1달러 1,335원 기준) 규모의 가상자산을 훔친 해커들이 세탁 경로를 넓히고 있다. 코인텔레그래프에 따르면 온체인 분석업체 룩온체인(Lookonchain)은 일요일(11월 1일, 현지시각) 해커들이 솔라나(SOL) 48만 6,970개를 비트코인(BTC)으로 바꾸고 있다고 보고했다. 금액은 약 4,640만 달러이며 교환에는 Relay가 쓰였다. 블록체인 분석업체 Chainalysis는 해커들이 쓰던 트론(Tron) 임시 보관 지갑이 대부분 비워졌다고 밝혔다.

앞서 FBI는 10월 31일(현지시각) 북한 해킹 조직 TraderTraitor를 범행의 배후로 공식 지목했다. 범행 시점은 10월 29일 무렵이다. 수사당국의 추적과 해커들의 자금 이동이 동시에 진행되는 상황이다.

솔라나 48만 개, Relay 거쳐 비트코인으로

룩온체인이 포착한 이동은 동결을 피한 자금에서 나왔다. 코인텔레그래프는 이 자금이 목요일 탈취 직후 걸린 동결 조치에서 빠져나간 물량이라고 전했다. 테더(Tether)와 서클(Circle) 등 업계 파트너가 약 30억 달러를 동결했지만 조사자 SomaXBT는 공격자들이 여전히 약 35억 달러를 쥐고 있다고 추정했다.

솔라나 물량은 전체 탈취액에 비하면 작다. 4,640만 달러는 63억 달러의 1%에 못 미친다. 다만 해커들이 이더리움 중심의 세탁에서 솔라나와 비트코인으로 경로를 넓혔다는 점에서 추적 난도는 달라질 수 있다. FBI는 토요일 발표에서 해커들이 훔친 자산을 주로 이더로 바꾸고 있다고 밝혔다. 디파이(DeFi·탈중앙화 금융)와 즉시 교환 서비스를 거치는 ‘추가 세탁 단계’도 예상한다고 덧붙였다.

바이낸스는 이번 공격이 핫월렛(인터넷에 연결돼 즉시 출금이 가능한 지갑)을 겨냥했다고 설명했다. 코인텔레그래프는 초기 조사에서 직원 노트북이 해킹된 정황이 나왔고, 이후 수사관들이 추가 침해 지점을 찾아냈다고 전했다. 바이낸스는 금요일 사건을 여러 ‘침해 지점’이 있는 ‘복잡한 공격’이라고 표현했다.

트론 지갑은 비워졌다…5억 달러 vs 2억 4,200만 달러

Chainalysis는 일요일 트론에 있던 해커들의 임시 보관 지갑이 대부분 비워졌다고 밝혔다. 세탁 활동이 솔라나로 확대되는 중이라는 설명이다. 이 회사는 트론 이동 규모를 약 5억 달러로 집계했다.

이 수치를 두고 SomaXBT는 반박성 설명을 내놨다. 5억 달러에는 세탁 과정에서 지갑끼리 반복해 오간 이동분이 중복으로 잡혀 있다는 것이다. 그가 제시한 실제 트론 임시 지갑 이탈 규모는 약 2억 4,200만 달러다. 같은 움직임을 두고 집계 방식에 따라 숫자가 두 배 넘게 차이 나는 셈이다.

Chainalysis는 금요일에도 해커들이 자동화 수단을 쓰고 있을 가능성을 짚었다. 짧은 시간에 수천 건의 거래가 이뤄졌고, 자금이 지갑 사이를 반복해 돌며 앞서 쓴 주소로 되돌아오기도 했다는 근거에서다. 흔적을 흐리려는 목적일 수 있다는 분석이다.

THORChain 긴급 중단과 Gate의 계정 동결

세탁 경로 중 하나였던 THORChain은 토요일 뜻하지 않게 멈춰 섰다. THORChain 설명에 따르면 협정세계시 오전 11시 34분(한국시간 오후 8시 34분)에 이더리움에서 블록 한 개가 재구성되는 현상이 있었다. 블록 재구성은 네트워크가 최근 블록을 경쟁 블록으로 교체하는 일이다. 이 과정에서 THORChain이 이미 입금 처리한 10 ETH 예치분이 사라졌다.

THORChain은 받지 못한 자금에 대해 환불을 집행했고 송금자의 실제 예치금도 환불됐다. 그 결과 10 ETH가 추가로 나가면서 자동 중단이 작동했다. THORChain 팀은 이 결함이 알려진 만큼 외부 체인에서 재구성이 일어날 때마다 악의적 행위자가 같은 논스로 새 거래를 만들어 볼트 자금을 받아 갈 수 있다고 경고했다. 노드 운영자들은 비트코인·이더리움·솔라나·트론 등 10개 네트워크의 스왑을 멈췄고, 아발란치와 베이스, XRP에서는 거래가 이어졌다.

Chainalysis는 일요일 이 중단이 바이낸스 해킹 자금의 세탁을 ‘의도치 않게’ 늦췄다고 밝혔다. 북한 자금세탁 조직을 포함해 모든 이용자가 크로스체인 스왑을 쓰지 못한다는 이유다. 서비스가 복구될 때까지 THORChain 브리지 대부분을 통한 스왑은 해커에게도 막힌다고 설명했다.

중앙화 거래소 Gate에도 일부 자금이 흘러들었다. 룩온체인은 월요일(11월 2일, 현지시각) 해커들이 직전 12시간 동안 Gate에 약 25만 달러를 입금했다고 보고했다. Gate는 연결된 계정 2개를 동결했고 수사당국에 협조하겠다고 밝혔다. 동결 금액은 공개하지 않았다.

수사 공조 확대와 엇갈린 정치권 발언

FBI는 토요일 TraderTraitor와 연결된 지갑 주소를 공개했다. FBI와 비밀경호국, 국세청 범죄수사국은 THORChain 노드 운영자와 거래소, 디파이 서비스에 해당 주소나 추적된 자금이 얽힌 거래를 막아 달라고 요청했다. THORChain 창립자 존폴 토르비에른센은 압박에 맞서 프로토콜의 허가 불필요 원칙을 옹호했다. 그는 노드들이 프로토콜을 내리기로 결정한다면 “실험은 끝난 것”이라고 말했다.

비밀경호국은 일요일 성명에서 바이낸스 글로벌에서 60억 달러가 넘는 가상자산이 도난당한 사건을 계속 수사 중이라고 밝혔다. 목요일 오후 사건 발생 직후 몇 분 안에 업계 파트너와 함께 훔친 자산의 상당 부분을 식별해 동결했다는 설명이다. 수사에는 FBI와 IRS-CI, 워싱턴DC 연방검찰청, 캘리포니아 중부지구 연방검찰청 등이 참여한다. 비밀경호국은 도난 자산을 보유했거나 보유 중인 추가 주소를 찾고 있다고 덧붙였다.

정치권 반응은 엇갈렸다. 외신에 따르면 도널드 트럼프 미국 대통령은 토요일 늦게 플로리다 자택 앞에서 기자들에게 “걱정하지 않는다. 우리는 이 건을 파악하는 중이다. 북한인지는 모른다”고 말했다. FBI의 공식 지목과 온도 차가 나는 발언이다.

TraderTraitor는 지난해 2월 바이빗에서 15억 달러를 훔친 것으로 지목된 그룹이다. AP 보도를 인용한 트윅타운은 바이낸스 사건 규모가 바이빗의 4배를 넘는다고 전했다. FBI의 배후 지목은 사건 이틀 뒤에 나왔는데, 바이빗 때는 닷새가 걸렸다. 한 외신 보도에 따르면 사건 소식이 알려진 금요일 비트코인은 5% 가까이, 이더리움은 6% 가까이, 바이낸스 자체 토큰 BNB는 10% 가까이 급락했다. 바이낸스는 출금이 일요일 재개될 예정이라고 밝혔고 63억 4,000만 달러 넘는 회사 자금을 손실 보전용으로 따로 확보했다고 설명했다.