바이낸스 해커, 도난 알트코인 1억 2,400만 달러를 비트코인(BTC)으로 전환

16개 블록체인으로 흩어진 자금 세탁

바이낸스에서 털려 나간 64억 3,000만 달러의 세탁 공정이 이제 16개 블록체인에 걸쳐 진행되고 있다. 2만 개가 넘는 지갑과 약 6만 5,000건의 거래로 추적된 이 흐름의 최근 경로는 비트코인 현물 시장으로 직접 이어진다. 11월 6일 공개된 블록체인 포렌식 보고서에 따르면 해커는 이렇게 탈취한 도난 알트코인 1억 2,400만 달러어치를 약 1,650 Bitcoin (BTC)로 바꿔치기했다. 다만 이는 형태를 바꾼 것일 뿐 새로운 피해는 아니다. 바뀐 코인은 모두 10월 29일 침해 사건에서 빼돌려진 같은 화폐 뭉치의 일부이며, 이 전환은 당초 해당 공격에 매겨진 14억 8,000만 달러 규모와는 별도로 집계됐다. 분석에서 비트코인이라고 부르는 자산은 다른 체인 위의 래핑 비트코인이 아니라 그 자체로, 곧 업계에서 가장 깊은 유동성 풀 안에 수익금이 들어갔다는 뜻이다. 추적 결과 전체의 44.3%인 28억 5,000만 달러는 동결 조치에 묶여 있고, 48.4%인 31억 1,000만 달러는 아직 연결된 지갑에 남아 있다. 둘을 합치면 64억 3,000만 달러 가운데 59억 6,000만 달러를 설명할 수 있고, 나머지 약 4억 7,000만 달러, 전체의 7.3%는 공개 집계에서 행방이 확인되지 않는다. 이 공백은 집계 시점 차이와 자산 가격 변동으로 설명될 가능성이 높다. 자산별로는 리플(XRP) 약 5,000만 달러어치가 지금까지 이동했고 약 2억 2,600만 달러가 해커 지갑에 남아 있다. 반면 약 8,700만 달러 규모로 탈취된 솔라나는 거의 전량이 교환되거나 브리징되거나 출처를 가리기 위한 전송을 거쳐 순환됐다. 분산 과정은 자동화된 것으로 보이지만, 분석 결과 AI 에이전트가 지휘하고 있다는 증거는 없었으며 실제로 인출된 돈은 극히 일부다.

98% 보충 이후 출금 재개

총액만큼이나 은폐 수법이 중요하다. TRM Labs의 포렌식 작업은 전송을 위장하기 위해 만들어진 자가 발행 토큰과 트론 위의 유동성 풀, 그리고 자산이 동결될 수 있는 지갑을 우회하는 대출 영수증 토큰과 연쇄적 브리지 프로토콜 경로를 문서화했다. 별개의 체인리시시스 추적은 20분 안에 스테이블코인 3억 2,500만 달러가 이더 2억 8,500만 달러어치로 전환되는 모습을 붙잡아냈는데, 동결을 뛰어넘기 위한 움직임으로 보인다. 리플(XRP) 전환 일부는 THORChain을 거쳤다. 분산형 아토믹 스왑 장소처럼 작동하는 크로스체인 네트워크다. 홈페이지는 FBI 요청 후 위험 주소를 차단했지만 독립 운영 노드는 거래를 계속 처리했다. 사건과 묶여 공개된 주소 목록은 소속 규명과 함께 나왔다. 국경수사국은 10월 31일 이 절도를 북한의 TraderTraitor 조직 소행으로 규정하고 THORNode 운영자, 디파이 서비스, 즉시 교환소에 관련 자금 흐름 차단을 요청했다. 한편 바이낸스는 자금이 움직이는 동안 출금을 복구 중이다. 11월 6일 업데이트는 HYPE, INJ, APT, PLASMA, NEAR, LTC를 다음 주 말까지 재개 대상으로 올렸다. 공식 사고 공개 자료에 따르면 피해 토큰 자산의 98%가 10월 31일까지 보충됐고 고객 손실을 전액 보전하겠다고 밝혔으나, 도난 자산을 갚는 것과 되찾는 것은 다른 문제다. 같은 설명에 따르면 침해는 가짜 채용 면접, 엔지니어 컴퓨터에 설치된 악성코드, 내부 AI 도구 남용으로 시작됐고, 지갑 거래 서명 시스템에 이르기까지 고객 대면 KYC 검사가 아니라 기술 경계를 우회하는 경로였다. 재개 시점의 시장 유동성은 압박을 받고 있었다. 거래 플랫폼 Talos의 시장 구조 데이터는 순유출 61억 달러, 첫날 중간가 1% 이내 호가 깊이 28% 감소, 11월 1일 무렵 해킹 전 대비 약 44% 낮은 저점을 기록했고, 비트코인 가격은 공격 직후 약 5% 하락했다. 그럼에도 같은 보고서는 FTX 붕괴와 비교하면 광범위한 전염 조짐은 제한적이었다고 봤다.

추적 불명은 7.3%뿐

시장 관점에서 Bitcoin (BTC)로의 이동은 공급 충격이 아니라 경로 선택이다. 1,650개 규모는 비트코인의 발행 일정에 비하면 자잘한 오차 수준이다. 발행량은 하빙을 거치며 대략 4년마다 절반으로 줄어든다. 5%의 일시적 하락과 함께 호가 깊이가 회복된 점은 매도 압력이 흡수됐음을 가리킨다. 해커에게 BTC가 매력적인 이유는 출구 유동성이다. 암호화폐에서 가장 깊은 시장이며, 작은 체인보다 동결 집행이 어렵기 때문이다. 도난 코인이 사후에 어떻게 포위될 수 있는지는 코리 필즈의 비트코인 '양자 지뢰' 관련 보도가 하나의 회수 경로를 보여준다. 포렌식 집계 기준으로 여전히 노출된 부분은 직접 동결 통제 밖의 연결 지갑에 있는 31억 1,000만 달러, 그리고 공개 총액이 설명하지 못하는 4억 7,000만 달러, 전체의 7.3%다. 자체 운영 인프라에 흩뿌려진 분산 구조가 이 몫을 계속 이동 가능한 상태로 유지하고 있고, 실제 인출된 것은 극히 일부이므로 위험의 대부분은 체인 밖이 아니라 암호화폐 결제 레일 안에 남아 있다.