북한 해커, 바이낸스 탈취금 2차 세탁…비트코인 믹싱 시작

북한 해킹 조직이 바이낸스에서 빼낸 가상자산을 나흘도 안 돼 지갑 약 1만2천 개로 쪼개 옮긴 것으로 나타났다. 블록체인 분석업체 엘립틱(Elliptic)은 2일 낸 보고서에서 공격자가 11개 블록체인에서 4만 건 넘는 거래를 일으켰고, 1일 트론 배분이 멈춘 뒤 솔라나·이더리움·XRP 등 다른 체인 자산이 움직이기 시작했다고 밝혔다. 25초마다 새 지갑이 하나씩 생긴 셈이다.

51시간 동안 1,113번 나눠 보냈다

엘립틱에 따르면 탈취는 한국시간 10월 30일 오전 5시 5분부터 8시 56분 사이에 벌어졌고, 피해액은 약 64억3천만 달러다. 이 가운데 54%인 34억6천만 달러가 USDT·USDC 같은 스테이블코인이었다. 테더는 이더리움으로 들어온 USDT를 37분 만에 동결했고, 서클은 USDC 8억2,300만 달러를 교환되기 전에 모두 묶었다. 그 전에 공격자가 다른 코인으로 바꾼 스테이블코인은 약 7억8,600만 달러였다.

세탁의 중심은 트론이었다. 트론에서만 약 3만2천 건이 오갔고, 한 시간에 1,300건(3초에 1건)까지 몰렸다. 트론을 거친 돈은 1달러당 평균 9번 옮겨졌다.

1. 10월 30일 11:19배분용 지갑이 TRX 6억8,460만 개를 새 주소 수백 곳에 잘게 나눠 보내기 시작, 주소 약 7,700개로 퍼짐
2. 10월 31일 12:36일부 TRX를 '동결되지 않는다'고 홍보하는 스테이블코인 USDD로 교환
3. 11월 1일 14:3351시간, 1,113번째 전송을 끝으로 트론 배분 중단
4. 11월 1일 14:55트론에서 넘어온 비트코인이 코인조인에 들어가기 시작
5. 11월 2일 11:12XRP 2억3,300만 개 전부를 새 주소 6곳으로 옮김

시각은 엘립틱이 밝힌 협정 세계시(UTC)를 한국시간으로 바꾼 것이다. 체이널리시스(Chainalysis)도 2일 새벽 공식 X 계정에서 "북한 연계 세력이 바이낸스 탈취 자금 세탁의 새 단계에 들어갔다"며 트론의 임시 보관 지갑에서 5억 달러를 빼낸 뒤 솔라나로 옮기고 있다고 밝혔다.

솔라나는 비트코인으로, 비트코인은 믹싱으로

온체인 추적 계정 룩온체인(Lookonchain)은 1일 저녁 공격자가 훔친 SOL 97만522개 가운데 48만6,970개(약 4,640만 달러)를 옮겨 크로스체인 서비스 릴레이(Relay)로 비트코인으로 바꾸고 있다고 전했다. 엘립틱도 같은 날 SOL 절반가량이 새 주소로 옮겨졌다고 확인했다.

비트코인 일부는 코인조인(CoinJoin)으로 향했다. 엘립틱에 따르면 코인조인에 들어간 비트코인은 트론에서 넘어온 자금과, 묶어 두었던 ETH 일부를 바꾼 것이었다. 코인조인은 여러 사람의 거래를 한 건으로 묶어 누구의 돈이 어디로 갔는지 알아보기 어렵게 만드는 방식이다. 엘립틱은 2일 오후 3시까지 약 28BTC(220만 달러)가 코인조인 18건을 거쳤고, 한 건에 101~491개의 입력이 섞였다고 밝혔다. 거래소로 직접 들어간 돈도 잡혔다. 룩온체인은 2일 공격자가 12시간 동안 게이트(Gate)에 25만 달러를 입금했다고 알렸고, 게이트는 공식 X에서 "관련 계정 2개를 찾아 동결했다"며 수사에 협조하겠다고 밝혔다.

아직 움직이지 않은 32억 달러

엘립틱은 지금까지 동결·압수된 금액을 28억5천만 달러로, 탈취와 연결된 주소에 남은 자산을 약 32억4천만 달러로 집계했다. 남은 자산은 대부분 ETH와 BTC다. 탈취 당일 주소 19개로 나뉜 비트코인 1만8,270개는 그 뒤로 한 번도 움직이지 않았다. 현금화된 금액은 아직 미미하다고 봤다.

엘립틱은 2025년 2월 바이비트 해킹 때 북한이 ETH 49만9천 개를 열흘 안에 대부분 비트코인으로 바꿨고, 동결된 비율은 약 3%에 그쳤다고 짚었다. 이번에는 "ETH를 작은 단위로 비트코인으로 바꾼 뒤 몇 달에 걸쳐 장외(OTC) 중개업자를 통해 현금화할 것"으로 내다봤다. 세탁이 자동화돼 있지만 "AI가 판단을 내린다는 증거는 없다"고도 덧붙였다.

북한은 배후설을 부인했다. 조선중앙통신에 따르면 김여정 노동당 부장은 2일 담화에서 미국의 지목을 "황당무계한 낭설"이라며 "엄중한 정치적 도발"이라고 주장했다. 3일 오전 8시 33분 바이낸스에서 비트코인은 7만6,791달러로 24시간 전보다 1.8% 낮았다. 같은 시각 업비트에서는 1억371만6천 원에 거래됐고, 김치 프리미엄은 1.3% 안팎이었다.