체이널리시스 "비트겟 해킹은 북한 소행"…40.8%는 XRP로

블록체인 분석업체 체이널리시스(Chainalysis)가 지난달 24일 거래소 비트겟(Bitget)에서 빠져나간 3억8,700만 달러를 북한 소행으로 판단했다. 회사는 1일(미국 시간) 낸 블로그 글에서 이번 공격을 '북한에 귀속된(DPRK-attributed)' 해킹으로 규정하고, 이 사건으로 올해 북한 연계 세력이 훔친 코인이 10억 달러를 넘었다고 밝혔다. 체이널리시스는 비트겟, 수사기관과 함께 자금을 추적하고 있다.

세 시간 만에 네 개 체인으로 흩어졌다

체이널리시스에 따르면 해킹 직후 3시간 동안 23건의 전송으로 3억8,700만 달러가 비트겟을 떠났다. 자금이 도착한 블록체인은 네 곳으로, 비중은 다음과 같다.

• 이더리움 49.7%
• XRP 레저 40.8%
• 지캐시 7.6%
• 트론 1.8%

이후 해커는 서로 다른 체인을 잇는 유동성·메시징 프로토콜, 즉시 교환 서비스, 자금세탁 서비스를 거쳐 돈을 옮겼다. 공격이 시작된 뒤 수백 건의 이체가 이어졌고, 이더리움에서 비트코인으로 넘어간 자금도 있었다.

훔친 XRP는 거래소 대신 비트코인으로

체이널리시스가 가장 공을 들인 부분은 XRP다. 해커는 XRP를 거래소에 보내지 않고, 한 체인에 자산을 넣으면 다른 체인에서 다른 자산을 받는 교차체인 유동성 프로토콜에 넣어 비트코인으로 바꿔 받았다. 계정이나 중개인 없이 이뤄지지만 교환마다 블록체인에 기록은 남는다. 체이널리시스는 입금과 지급을 하나씩 짝지어 끊긴 경로를 이었다고 설명했다.

이 경로로 약 하루 반 동안 수천만 달러가 움직였다. 체이널리시스는 여러 온체인 프로토콜을 거친 자금을 해커가 통제하는 비트코인 주소까지 따라갔고, 이 주소들을 지켜보고 있다고 밝혔다. 회사는 자체 AI로 추적 자동화 도구를 만들어 사람이 20시간 넘게 해야 할 브리지 거래 대조를 10분 안쪽으로 줄였다고 했다. 다만 추적 논리를 정하고 결과를 검토한 것은 조사관이라고 덧붙였다. 도난 자금 표시는 확인 즉시 자사 데이터에 올라가 거래소와 수사기관이 볼 수 있다.

동결된 돈은 80만 달러 남짓

도난 자금 가운데 묶인 돈은 아직 적다. 코인 전문 매체 디크립트에 따르면 스테이블코인 발행사 서클과 테더는 해킹 다음 날인 9월 25일 해커와 연결된 이더리움 주소 하나를 막아 USDC 9만9,990개와 USDT 21만8,023개, 합쳐 약 31만8천 달러어치를 동결했다. 서클이 먼저 막고 테더가 7시간쯤 뒤 따라왔다. 같은 주소에 있던 이더리움 약 170개는 그대로 남았다. 발행사는 자기 토큰만 막을 수 있고 이더리움 자체는 누구도 동결할 수 없어서다. 해커는 동결될 수 있는 스테이블코인을 서둘러 이더리움으로 바꿨고, 다른 해커 주소에는 이더리움 6만3천 개 넘게 남아 있다고 이 매체는 전했다.

크로스체인 거래 서비스 니어 인텐츠는 해커 자금 50만3천 달러를 동결했고 약 16만6천 달러는 자기 교환 시스템을 거쳐 빠져나갔다고 밝혔다고 디파이 매체 더디파이언트가 보도했다. 니어 인텐츠는 비트겟이 내건 회수 현상금(동결 5%, 회수 5%)도 받지 않겠다고 밝혔다. 두 곳을 합쳐도 동결액은 전체 피해의 0.3%에 못 미친다.

보름도 안 돼 북한 판정까지

1. 9월 24일비트겟 지갑 백엔드 시스템이 뚫려 무단 전송 발생, 3시간 새 23건으로 3억8,700만 달러 유출
2. 9월 25일그레이스 첸 비트겟 최고경영자(CEO), 타운홀에서 IP 주소·행동 패턴·온체인 흔적이 북한 연계 해킹 조직을 가리킨다고 발언
3. 9월 26일비트겟, 취약점 수정 완료와 단계별 출금 재개 일정 공지. 손실은 보호 기금이 부담하고 맨디언트·슬로우미스트가 조사 지원
4. 9월 28일~10월 2일비트코인, 이더리움, 테더(USDT), 나머지 코인·법정화폐 순으로 출금 재개 일정
5. 10월 1일체이널리시스, 북한 소행 판단과 자금 추적 결과 공개

첸 CEO는 타운홀에서 북한이 2025년 바이비트에서 15억 달러를 훔친 사건을 언급하며 "바이비트가 15억 달러 손실을 버텼다면 우리도 3억5천만 달러 넘는 손실은 충분히 버틸 수 있다"고 말했다고 미국 보안 매체 더레코드가 전했다. 비트겟 공지에 따르면 이용자 계정 잔고는 바뀌지 않았다. 체이널리시스는 앞으로 몇 주간 새로 드러나는 주소에 표시를 달고 거래소, 발행사, 수사기관과 정보를 나누겠다고 밝혔다.

탈취 자금이 거쳐 간 체인 가운데 국내 원화마켓에서 거래되는 코인은 XRP다. 4일 오후 3시 30분 기준 업비트에서 XRP는 2,028원에 거래돼 원화마켓 거래대금 5위였다. 지캐시와 비트겟 자체 코인 BGB는 업비트·빗썸 원화마켓에 없다.