TRM "바이낸스 63억 달러 탈취, 북한 소행"…36시간 전부터 준비

바이낸스에서 사라진 코인의 배후로 북한이 지목됐다. 미국 블록체인 분석업체 TRM랩스는 30일 공식 블로그에서 "공격자가 10개 블록체인의 바이낸스 지갑에서 약 63억6천만 달러를 빼냈고, 대부분은 약 20분 만에 이뤄졌다"며 "이번 공격을 북한의 정예 해킹 조직 트레이더트레이터(TraderTraitor)의 소행으로 판단한다"고 밝혔다. TRM은 "높은 확신을 갖고 내린 판단"이라고 했다. 63억6천만 달러는 이체 당시 가격 기준으로, 2025년 2월 바이비트 해킹(15억 달러)의 약 네 배이자 코인 업계 사상 최대 규모다.

"We make this judgment with high confidence."

TRM랩스 공식 블로그

미국 연방수사국(FBI)은 지난해 바이비트 해킹도 같은 트레이더트레이터의 소행으로 지목한 바 있다. 다만 바이낸스는 북한 배후설을 직접 확인하지 않았다.

36시간 전부터 토네이도 캐시로 판을 깔았다

TRM에 따르면 준비는 적어도 공격 36시간 전에 시작됐다. 공격자는 거래 추적을 끊어 주는 믹서 서비스 토네이도 캐시에서 세 차례 소액을 꺼내 작업용 지갑에 넣었고, 다른 지갑에서 코드를 미리 시험해 본 뒤 같은 코드를 바이낸스 핫월렛(인터넷에 연결된 출금용 지갑)에 심었다. 실제 탈취는 한국시간 30일 새벽에 몰렸다.

1. 공격 36시간여 전토네이도 캐시에서 세 차례 소액 인출해 작업용 지갑 마련
2. 공격 전날지갑 두 곳에 코드 배포·시험, 세 번째 지갑에서 예행연습 뒤 약 4시간 만에 같은 코드를 바이낸스 핫월렛에 설치
3. 30일 05:05XRP 원장 지갑 5곳에서 XRP 2억3,346만 개가 공격자 주소 한 곳으로 이동
4. 30일 05:20비트코인 핫월렛에서 1만8,270개, 트론 핫월렛에서 USDT 6억1,270만 개 유출
5. 30일 05:23이더리움 핫월렛 잔고 전부(이더리움 16만7,464개, USDT 16억1,500만 개) 이동
6. 30일 06:01테더, 공격자 주 지갑의 USDT 9억7,110만 개 동결. 3분 뒤 서클도 USDC 8억2,300만 개 동결
7. 30일 08:05아발란체·폴리곤 지갑에서 두 번째 유출

체인별로는 이더리움이 약 37억9천만 달러로 가장 컸고 비트코인 약 14억7천만 달러, 트론 약 6억2,800만 달러, XRP 약 2억9,600만 달러, 솔라나 약 9,600만 달러 순이었다.

서명 50개를 미리 만들어 둔 '쓸어담기' 수법

TRM은 이더리움 지갑을 턴 수단으로 EIP-7702를 꼽았다. 2025년 5월 이더리움 펙트라 업그레이드로 들어온 기능으로, 일반 지갑이 스마트 계약처럼 동작하도록 권한을 넘길 수 있다. 공격자는 연속된 거래 번호(논스) 50개에 대한 권한 위임 서명을 미리 만들어 한꺼번에 제출했고, 약 3분 24초 뒤 지갑 잔고가 통째로 빠져나갔다. 이 지갑을 이용해 바이낸스의 다른 계정에서 USDC 8억2,300만 개도 끌어냈다. TRM은 다른 체인은 일반 서명 이체로 털린 점을 들어 바이낸스 핫월렛의 서명 시스템이 뚫린 것으로 봤다.

바이낸스는 30일 오전 11시 25분께 공식 X 계정에 "초기 조사 결과 데브옵스(개발·운영) 엔지니어의 노트북이 감염돼 공격자가 서비스 컨테이너에 접근하고 승인되지 않은 출금 거래를 제출한 것으로 보인다"고 밝혔다. 이어 "지갑 개인키가 유출됐다는 증거는 찾지 못했다"고 했고, 전체 피해 규모는 약 63억 달러로 추산했다.

발행사도 못 묶는 이더리움·비트코인 24억 달러

TRM 집계로 30일 오전 9시 30분까지 동결된 금액은 약 27억 달러다. 테더가 USDT 약 17억7천만 개, 서클이 USDC 약 8억2,500만 개를 묶었고 리플(RLUSD 4,050만 개), 월드리버티파이낸셜(USD1 2,780만 개), 아비트럼 보안위원회(약 3천만 달러)도 동결에 나섰다. 바이낸스는 확인된 동결액을 약 30억 달러로 밝혔다.

남은 돈은 이미 세탁에 들어갔다. TRM에 따르면 공격자는 USDT 3억2,500만 개를 유니스왑X에서 이더리움 약 12만2,300개로 바꿨는데, 이더리움 1개당 약 2,650달러로 시세(2,300~2,350달러)보다 비싸게 사 들였다. 에이브에는 USDT 약 6천만 개를 맡기고 이더리움 1만9,760개를 빌렸고, 트론에서는 USDT 3억 개를 저스트렌드로 옮겼다. 공격자 손에는 여전히 이더리움 42만 개 이상과 비트코인 1만8,270개, 약 24억 달러어치가 남아 있다. 발행사가 없는 코인이라 동결할 방법이 없다. 블록체인 분석업체 체이널리시스의 조너선 레빈 CEO도 트레이더트레이터를 용의자로 꼽았다고 코인텔레그래프가 전했다.

입금은 다시 열고 출금은 48시간 안 재개 목표

바이낸스는 30일 오후 1시 17분께 "출금 서비스와 관련 주소를 보안 점검·재정비하는 동안 출금은 계속 중단한다"고 밝히고, 출금 재개 시점으로 '48시간 안'을 제시했다. 오전에 함께 막았던 입금은 정상으로 돌아왔다. 바이낸스는 손실을 이용자 보호 기금(SAFU)과 회사 자금으로 모두 메우겠다고 했다.

시장은 낙폭을 일부 되돌렸다. 바이낸스에서 비트코인은 30일 오전 5시 8만848달러에서 오전 11시대 7만6,500달러까지 밀렸다가 오후 3시 33분 7만8,604달러에 거래됐다. 같은 시각 BNB는 716달러, 이더리움은 2,250달러였다. 업비트에서 비트코인은 1억582만5천 원, 이더리움은 303만 원에 거래됐고, 업비트와 바이낸스 비트코인 가격 차이(김프)는 약 0.6%였다.