훔친 코인 어떻게 현금화?…北 해커 '자금세탁' 경로[바이낸스 해킹]②

(서울=뉴스1) 최재헌 기자 = 세계 최대 가상자산 거래소 바이낸스에서 약 63억 달러(약 8조 4000억 원)가 탈취되면서 북한 해커들의 자금세탁 수법에 관심이 쏠린다. 해커들은 자산을 다른 코인으로 바꾸고 수천 개 지갑으로 분산하고 있다. 발행사의 자금 동결을 피하면서 이동 경로를 복잡하게 만들어 추적을 어렵게 하는 차원이다.

과거 해킹에서는 자금의 연결고리를 흐리는 '믹서'도 활용됐다. 다만 코인의 종류·주소를 바꾸는 것만으로 현금화가 끝나지 않는다. 장외거래 중개망 등을 통한 현금화를 차단하려면 거래소·분석업체·수사기관의 공조가 필요하다.

2일 업계에 따르면 블록체인 분석업체 체이널리시스는 전날 바이낸스 탈취 자금의 이동 과정에서 짧은 시간 수천 건의 거래가 발생했다고 밝혔다. 자금이 여러 지갑을 반복적으로 오가거나 기존 주소로 되돌아가는 정황도 확인됐다.

체이널리시스는 "탈취 자금이 이미 수천 개 지갑으로 분산됐으며, 관련 주소가 수만 개로 늘어날 수 있다"고 전망했다.

미국 연방수사국(FBI)은 이번 해킹을 북한 소행으로 지목했다. 탈취 자산이 주로 이더리움(ETH)으로 전환되고 있으며, 탈중앙화금융(DeFi·디파이)을 통한 추가 세탁이 예상된다고 밝혔다.

해커들이 자산을 빠르게 바꾸는 이유는 동결을 피하기 위해서다. USDT·USDC 등 스테이블코인은 발행사가 특정 주소의 자산을 동결할 수 있다. 반면 이더리움은 중앙 발행사가 없어 같은 방식의 직접 동결이 어렵다.

이를 위해 해커들은 디파이 대출도 활용했다. 공격자 측 지갑은 디파이 서비스에 USDT를 담보로 맡기고 이더리움(ETH) 계열 토큰을 빌렸다. 동결 가능한 스테이블코인을 담보로 남겨두고 직접 동결이 어려운 자산을 가져간 것이다.

여러 주소와 블록체인으로 자금을 옮기는 방식도 추적을 어렵게 한다. 거래 기록은 남지만 자산 교환과 블록체인 간 이동이 겹치면 분석 대상이 늘고 실제 통제 주체를 특정하기도 어려워진다.

자산을 분산한 뒤에는 '믹서'를 활용하기도 한다. 믹서는 여러 이용자가 보낸 가상자산을 섞어 다른 지갑으로 보내는 서비스다. 어느 입금이 어느 출금으로 이어졌는지 구분하기 어려워 자금의 출처를 흐리는 방식이다.

지난해 바이비트 해킹에서도 이 같은 수법이 활용됐다. 블록체인 분석업체 TRM랩스는 "탈취 이더리움 대부분이 비트코인으로 전환됐으며, 이후 일부가 와사비·크립토믹서 등 믹서로 유입됐다"고 분석했다.

미국 재무부는 2022년 블록체인 게임 액시인피니티와 연결된 '로닌 네트워크'의 브리지 해킹 탈취 자금 중 2050만 달러 이상이 믹서 '블렌더'를 통해 처리됐다고 발표했다.

지난 2023년에는 가상자산 지갑 서비스 '아토믹월렛' 이용자들에게서 탈취한 1억 달러 규모 자산의 상당 부분을 세탁하는 데 믹서 '신바드'가 사용됐다고 밝혔다.

가상자산 현금화에는 장외거래 중개망도 활용된다. 미국 재무부는 지난 2023년 북한의 탈취 가상자산을 법정화폐로 바꾸는 데 관여한 중국·홍콩 기반 장외거래 중개인들을 제재했다. 탈취 자금은 위장회사를 거쳐 북한을 위한 물품 대금으로 쓰이기도 했다.

분석업체가 의심 주소를 식별하더라도 거래 차단과 자산 회수에는 사업자와 수사기관의 협력이 필요한 배경이다.

실제로 FBI는 지난 2022년 발생한 블록체인 네트워크 하모니의 자산 이동 서비스 '호라이즌 브리지' 해킹 탈취 자금이 거래 정보를 숨기는 서비스 '레일건'을 거쳐 가상자산사업자로 이동했고, 일부가 비트코인으로 전환됐다고 밝혔다. 이 과정에서 사업자들과 공조해 일부 자금을 동결했다.

FBI는 이번 바이낸스 사건에서도 탈취 자금 관련 지갑 주소와 해당 주소에서 흘러나온 자산의 거래까지 차단해 달라고 업계에 요청했다.

권준혁 체이널리시스코리아 지사장은 "이번 바이낸스 사건에서 확인된 온체인 연결고리는 블록체인 분석이 공격 배후를 파악하고 탈취 자금을 추적하는 데 중요한 역할을 한다는 점을 보여준다"고 말했다.

chsn12@news1.kr