북한, 바이낸스 해킹 64억 달러를 25초마다 새 지갑으로 세탁

25초마다 하나의 새 지갑

북한 해커 집단은 바이낸스에서 탈취한 64억 3,000만 달러를 자동화된 방식으로 세탁하고 있으며, 온체인 분석으로는 약 25초마다 새로운 암호화폐 지갑을 하나씩 여는 속도다. 블록체인 분석 업체 Elliptic이 월요일 공개한 분석에 따르면 공격자는 4일도 채 안 된 기간 동안 11개 블록체인 위에서 약 1만 2,000개의 지갑 주소로 4만 건이 넘는 거래를 통해 자금을 옮겼다. 동결 대응은 이번 규모의 유출 사건 중 어느 때보다 빠르게 움직였다. 현재 28억 5,000만 달러, 전체의 44%가 동결되거나 압수됐다. 2025년 2월 북한의 바이비트 15억 달러 해킹 당시 동결 비율이 약 3%에 그쳤던 점을 감안하면 큰 차이다. 결정적 역할은 스테이블코인이 했다. 탈취 자금의 54%인 34억 6,000만 달러가 스테이블코인이었고, 발행사는 언제든 이를 동결할 수 있다. Tether는 이더리움 위의 탈취 USDT를 공격자 지갑에 도착한 지 37분 만에 잠갔다. Circle은 단 한 푼의 USDC도 교환되기 전에 탈취된 8억 2,300만 달러 전액을 동결했다. 그러나 동결이 적용되기 전 몇 시간 동안 해커의 속도는 빨랐다. Uniswap 같은 자동화 시장 조성자 플랫폼에서 4억 3,400만 USDT를 이더로 교환했고, 대출 프로토콜 Aave에서 5,990만 USDT를 담보로 1만 9,762 ETH를 빌렸으며, 2억 3,400만 USDT를 트론의 TRX 토큰으로 바꿨다. 이 틈새를 벗어난 스테이블코인은 약 7억 8,600만 달러로 추산된다. 유출 자체는 목요일 늦게 시작됐고, 이때 공격자들은 바이낸스의 핫월렛 비우기에 나섰다. FBI는 이 사건을 북한 국가 연계 해킹 조직 TraderTraitor의 소행으로 규정하고 수백 개의 연관 주소를 공개했다. 전체 손실 보상을 약속한 바이낸스는 일요일 출금을 재개했고, 이후 9시간 30분 동안 약 36억 4,000만 달러의 순 유출이 기록됐다. 주요 세탁 경로인 트론에서는 활동이 한 시간에 약 1,300건으로 정점을 찍었다.

Bitmine 8,573 ETH 추가, Tom Lee는 회복력 평가

Bitmine 회장 Tom Lee는 이번 공격에 대한 시장의 반응을 업계가 약해진 것이 아니라 회복력이 커졌다는 증거로 읽었다. 회사가 월요일 발표한 성명에서 Lee는 2025년 2월 북한 세력이 15억 달러를 탈취한 바이비트 해킹과 직접 비교했다. 당시 해킹이 공개되자 이더는 하루에 8% 하락했고 일주일 만에 20%를 잃었다. 반면 바이낸스 공격이 알려진 후 ETH의 하락은 약 4%에 그쳤다. 더 큰 도난 규모에 더 작은 낙폭이라는 대비가 2025년 초 이후 통제 능력이 얼마나 개선됐는지 보여주는 가장 분명한 척도라는 것이 Lee의 판단이다. 그는 거래소가 손실을 전액 보상할 수 있게 한 바이낸스의 재무 건전성, 업계 대응 속도, 그리고 탈중앙화 금융 프로토콜로 이어지는 연쇄 피해의 부재를 그 배경으로 꼽았다. 또한 이번 침입은 블록체인 인프라가 아니라 바이낸스의 사내 시스템을 노린 것으로, 프로토콜 실패가 아닌 거래소 보안 실패로 분류된다는 점도 지적했다. 같은 성명은 Bitmine의 주간 매수 현황이기도 했다. 회사는 지난주 8,573 ETH를 매수해 이더리움 보유량을 6,060,506 ETH로 늘렸다. 이 중 5,227,037 ETH가 스테이킹에 예치돼 있으며, Bitmine은 현재 스테이킹 규모와 수익률 조건을 기준으로 연간 약 3억 5,800만 달러의 수익을 전망하고 있다. 이번 매수는 시장이 바이낸스 도난 사건의 후폭풍을 가격에 반영하던 같은 기간에 이뤄졌다.

움직이지 않은 32억 4,000만 달러

이제 동결된 자금과 그렇지 않은 자금의 구도가 다음 국면을 결정짓는다. 약 32억 4,000만 달러가 여전히 해킹과 연관된 주소에 남아 있다. 대부분 이더이며, 공격에서 탈취된 1만 8,270 BTC도 여기에 포함된다. 두 자산 모두 침해 당일 이후 움직이지 않았다. 온체인 증거는 이 자금이 아직 북한의 손에 있다는 방향을 가리키며, 이미 세탁 흐름에 들어간 돈은 중국 네트워크로 넘어갔을 가능성이 있다. Elliptic은 바이비트 사례의 패턴을 근거로 공격자가 이더를 소규모로 나눠 비트코인으로 바꾸고 수개월에 걸쳐 장외 브로커를 통해 현금화할 것으로 본다. ETH와 BTC는 동결할 수 없는 자산이기 때문에 추가 동결의 마지막 실질적 관문은 중앙화 서비스다. Elliptic은 세탁 속도를 둘러싼 AI 에이전트 설명도 배제했다. 타이밍은 고정돼 있고 금액은 미리 정해져 있으며, 재시도는 무작위적이지 않고 일시 중지는 사람의 근무 시간과 맞아떨어진다는 것이다. 이 회사는 “지금까지 본 어떤 것도 AI 에이전트가 의사결정을 하고 있다는 증거는 없다”고 밝혔다. 결국 이 작업은 AI 지갑 에이전트가 아니라 스크립트 기반 자동화로 읽힌다. 아직 현금화된 금액은 미미한 수준이다. 다만 9월 Bitget 해킹 수익을 보유한 주소에서 약 1,600만 달러가 확인됐으며, 이 연결의 목적은 아직 공개되지 않았다.