FBI, 바이낸스 63억 4,000만 달러 해킹 배후에 북한 TraderTraitor 지목

FBI, TraderTraitor 조직 지목

FBI는 10월 31일, 바이낸스 지갑에서 약 63억 4,000만 달러가 무단 반출된 지 이틀 만에 북한 국가 소속 해커 조직을 이 사상 최대 규모 디지털 자산 탈취 사건의 배후로 공식 지목하고 해당 작전명을 TraderTraitor라고 밝혔다. 거래소가 중간 수사 보고서 형태로 공개한 사고 공시에 따르면 침입은 6월부터 10월 말까지 단계적으로 진행됐다. 바이낸스의 복기 기록은 6월로 거슬러 올라간다. 한 소프트웨어 엔지니어가 AI 코딩 도구를 설치하려다 변조된 Homebrew 설치 프로그램을 내려받았고, 회사는 이상 징후를 감지해 해당 장비를 격리하고 연계된 자격 증명을 교체했다. 그러나 공격자는 여전히 내부에 남아 있었다. 9월에는 채용 플랫폼에서 바이낸스 재직 이력이 노출된 엔지니어에게 가짜 채용 담당자가 헤드헌팅을 제안했고, 화상 면접을 거쳐 악성코드가 숨겨진 개발 과제 파일이 전달됐다. 회사 공시에 따르면 10월 20일까지 침입자는 감염된 워크스테이션과 내부 AI 도구를 이용해 지갑 운영 담당자 수준의 권한에 도달했고, 컨테이너 배포 권한을 보유한 직원의 접근 토큰도 식별했다. 10월 29일에는 탈취한 자격 증명으로 다른 직원의 컴퓨터에 침입해 컨테이너를 배포하고 악성 스크립트를 실행했으며, 이후 내부 지갑 서명 시스템에 접근해 표준 출금 절차를 거치지 않고 거래를 승인했다. 바이낸스는 피해 자산을 약 63억 4,000만 달러로 추산하며 손실을 사용자에게 전가하지 않고 자체 부담하겠다고 밝혔고, 공격 경로에 놓였던 지갑 시스템과 내부 AI 도구도 재구축했다. FBI는 앞서 2025년 15억 달러 규모의 Bybit 탈취 사건에도 TraderTraitor 명칭을 사용한 바 있다. 같은 프로그램에 대한 두 번째 지정이며, Bybit의 네 배를 넘는 규모로 업계 역사상 최대 단일 피해가 된다.

미림대에서 로닌 브리지까지

이번 침해의 능력은 하루아침에 만들어진 것이 아니다. 북한은 비트코인이 존재하기 수십 년 전인 1980년대부터 수학과 과학 분야 우수 학생들을 선발해 사이버 업무에 투입해 왔다. 미 해군대학원이 2004년에 정리한 논문은 미림학원이 1984년 설립돼 1986년 5년제 미림대로 전환했으며, 상위 고등학교 졸업생과 현역 장병을 선발해 컴퓨터, 프로그래밍, 전자전을 가르쳤다고 기록한다. 보안업체 DTEX에 따르면 금성제1중학교 학생들은 6년 동안 약 1,660시간의 컴퓨터 교육을 받으며 Linux, C, C++, Windows, 네트워킹, AI를 익히고, 최우수 졸업생은 김일성종합대학이나 김책공업대학으로 진학한다. 한국군은 2024년 기준 북한의 사이버전 인력을 해커와 지원 요원을 포함해 약 8,400명으로 추산했다. 초기 작전은 금전보다 정보 수집과 교란을 겨냥했다. 미 법무부는 북한 연계 세력을 2014년 소니 픽처스 해킹, 2016년 SWIFT 연동 결제망에서 8,100만 달러를 인출한 방글라데시 은행 사건, 2017년 WannaCry 랜섬웨어 확산에 연결했다. 디지털 자산은 은행망이 주지 못하는 것을 제공했다. 거래소 지갑이나 이체 권한을 확보하는 순간 국경을 넘는 가치 이동이 가능하다는 점이다. FBI는 2022년 게임 Axie Infinity의 로닌 브리지에서 약 6억 2,000만 달러가 탈취된 사건을 Lazarus와 APT38의 소행으로, 2025년 15억 달러 규모의 Bybit 침해는 TraderTraitor의 소행으로 본다. 또 하나의 통로는 취업이다. 법무부는 2025년 북한 연계 인력이 허위 또는 도용 신원으로 미국 기업 100곳 이상에서 원격 근무를 하며 급여를 수령했고 일부는 민감한 데이터에 접근했다고 밝혔다. 다자제재감시단의 2025년 보고서는 Bybit에서 털린 자금이 중국, 러시아, 홍콩, 캄보디아의 브로커를 거쳐 그해 9월까지 현금으로 전액 전환됐을 가능성이 높다고 결론 내렸다.

코드 취약점은 1%뿐

북한이 거래소를 겨냥한 이유는 산술적으로 명확하다. TRM Labs 집계에 따르면 2017년 이후 북한의 누적 암호화폐 탈취액은 약 128억 달러이며, 올해 10월까지 74억 달러가 유출돼 전 세계 해킹 피해의 약 85%를 차지한다. 이 나라에 귀속된 100건의 공격 가운데 스마트 계약 코드를 악용한 사례는 13건에 불과했고 그 사건들이 차지한 피해액은 전체의 약 1%였다. 바이낸스 사건을 포함하면 88%의 자금이 침해된 개인 키, 서버, 서명 시스템에서 나왔다. 바이낸스의 사후 분석은 이 패턴을 그대로 재현한다. 채용 사칭, 감염된 개발 도구, 자격 증명 우회, 내부에서 열린 지갑 서명 시스템이 그 순서다. 이용자에게 남는 교훈은 자기관리만큼이나 이용처 선정에 있다. 최고 암호화폐 거래소를 비교할 때 수수료 못지않게 커스터디 통제 수준에 무게를 둘 이유다.