엘립틱, 바이낸스 탈취금 28BTC 믹싱 포착…AI 아닌 기존 자동화가 세탁 중

블록체인 분석업체 엘립틱(Elliptic)이 바이낸스 해킹으로 탈취된 자금에서 비트코인 믹싱(출처 은닉) 정황을 처음 포착했다. 11월 2일(현지시각) 공개한 분석에서 약 28BTC, 220만 달러어치가 와사비(Wasabi) 계열 코인조인으로 흘러 들어갔다고 밝혔다. 10월 29일 도난 사고가 터진 뒤 엘립틱이 믹싱을 확인한 것은 이번이 처음이다. 다만 엘립틱은 세탁 과정을 AI가 지휘하는 것이 아니라 기존 방식의 자동화 스크립트가 돌리고 있다고 판단했다.

믹싱은 11월 1일 시작…코인조인 거래 18건 확인

엘립틱에 따르면 믹싱은 11월 1일부터 시작됐다. 11월 2일 동부시간 오전 1시 2분 기준으로 도난 자금과 관련된 코인조인 거래는 18건이 집계됐다. 코인조인은 여러 이용자의 비트코인을 하나의 거래로 묶어 들어온 코인과 나가는 코인의 주인을 연결하기 어렵게 만드는 기법이다. 와사비 측 문서도 이런 원리를 설명하고 있다.

믹싱에 쓰인 것은 와사비 지갑 등이 사용하는 와비사비(WabiSabi) 프로토콜이다. 서로 다른 블록체인 사이에서 가치를 옮기는 브리지(교량형 전송)와는 성격이 다르다. 코인조인에 처음 들어간 비트코인은 트론(Tron)에서 빠져나온 자금에서 나왔다. 이어 일부 이더리움(ETH)을 스왑해 확보한 비트코인이 뒤따랐다.

해킹으로 직접 탈취된 1만 8,270BTC는 전혀 다른 상태에 있다. 엘립틱은 이 물량이 19개 주소에 분산된 채 움직이지 않고 있다고 전했다. 지금까지 믹싱에 들어간 28BTC와 비교하면 극히 일부만 세탁 경로에 올라선 셈이다.

추적 범위는 지갑 약 1만 2,000개…“AI 아닌 기존 자동화”

엘립틱은 도난 자산과 연결된 지갑 약 1만 2,000개를 11개 블록체인에 걸쳐 추적했다. 10월 29일 사고 이후 나흘이 채 되지 않는 기간에 확인한 거래만 4만 건이 넘는다. 자금이 그만큼 잘게 쪼개져 여러 체인으로 퍼졌다는 뜻이다.

이번 세탁이 AI의 작품이냐는 질문에 대한 엘립틱의 답은 부정적이다. 엘립틱은 X(옛 트위터) 업데이트에서 이를 “기존 자동화로 작동하는 것(running on conventional automation)”이라고 표현했다. 근거로는 규칙적인 실행 간격, 미리 정해진 금액, 결과를 확인하지 않고 반복하는 재시도(블라인드 리트라이)를 들었다.

코인포매니아는 엘립틱의 별도 분석을 인용해 트론의 주 분배 지갑이 31시간 넘게 매시간 지급을 이어갔다고 전했다. 이 매체는 이를 자동화된 세탁 작전의 신호로 해석했다. 사람이 일일이 손으로 옮기는 방식으로는 나오기 어려운 패턴이라는 설명이다.

도난 64억 달러 중 아직 남은 돈과 동결된 돈

엘립틱은 도난 당시 자산 가격으로 계산한 피해 규모를 64억 3,000만 달러(약 8조 5,800억 원, 1달러 1,335원 기준)로 추산했다. 앞서 온체인 분석가가 언급한 약 63억 달러와는 산정 기준에 따라 차이가 있다. 이 가운데 연결된 주소에 여전히 남은 자산은 약 32억 4,000만 달러이고 대부분 ETH와 BTC다. 여기에 동결됐거나 압수된 자산이 28억 5,000만 달러다.

피해액과 달리 잔액·동결액은 11월 2일 동부시간 오전 2시경 가격으로 계산됐다. 시세가 다른 시점의 값이어서 세 수치를 단순 합산하거나 직접 비교하기는 어렵다. 엘립틱은 지금까지 실제로 현금화된 몫이 극히 일부에 그친다고 판단했다.

그렇다면 남은 길목은 어디일까. 엘립틱은 이동 중 잠시 보관되는 스테이블코인과 중앙화된 현금화 플랫폼을 가장 현실적인 차단 지점으로 꼽았다. 토큰 발행사가 가진 동결 권한이 네이티브 비트코인과 ETH에는 미치지 않기 때문이다.

FBI는 북한 연계 지목…업계에 차단 요청

미 연방수사국은 10월 31일 이번 도난을 북한의 트레이더트레이터 활동으로 규정했다. 가상자산 기업과 인프라 운영자에게는 FBI가 공개한 주소와 그 주소에서 나온 자금이 얽힌 거래를 차단해 달라고 요청했다. 앞서 10월 30일에는 미 비밀경호국이 민간 파트너와 함께 도난 자금을 식별·동결·추적·회수하고 있다고 밝혔다. 워싱턴DC 연방검사장실 등 다른 법 집행 기관도 공조에 참여한다.

엘립틱도 대응 도구를 내놨다. 토큰포스트에 따르면 바이낸스 익스플로잇과 연관된 주소 목록을 공개했고 모델 컨텍스트 프로토콜 서버에서 조회할 수 있다. 엘립틱 계정이나 API 키 없이도 주소를 확인할 수 있어 들어오고 나가는 거래의 위험도를 점검하는 데 쓰인다.

믹싱이 시작됐지만 직접 탈취된 1만 8,270BTC는 아직 19개 주소에 머물러 있다. 엘립틱은 11월 2일 분석 시점에도 도난 자금 추적을 이어가고 있다고 밝혔다.