北 연계 세탁조직, 바이낸스 해킹 자금 43만 달러를 직접 만든 밈코인으로 세탁

NEAR 위에서 만들어진 여섯 개의 일회용 토큰

북한과 연계된 세탁 조직이 64억 달러 규모 바이낸스 해킹과 연결된 자금 약 43만 달러를 은폐하기 위해 일회용 토큰 여섯 개를 직접 발행했다. 블록체인 분석 업체 Elliptic의 공동창업자이자 최고과학책임자 Tom Robinson이 11월 9일 공개한 보고서는 이 구조를 상세히 담고 있다. 조직은 11월 5일부터 11월 7일 사이 FUK, OLCCL, MEILI, MMLI, DABI, SINU라는 이름의 토큰을 발행했고, memecoin 하나를 만드는 데 약 25 NEAR, 달러로는 90달러 남짓한 발행 비용만 지불했다.

세탁 경로는 탈중앙화 거래소의 유동성 풀을 통했다. 조직은 토큰마다 NEAR와 짝을 이루는 별도의 AMM 풀을 만들고, 해킹으로 탈취한 NEAR 약 11만 7,000개를 이 풀들로 흘려보냈다. 지갑 한 무리가 탈취한 암호화폐로 토큰을 사들이면, 다른 무리가 같은 토큰을 풀에 되팔아 실제 자산을 회수하는 방식이다. 두 집단 사이에 풀이 놓여 있어 어느 지갑도 다른 지갑으로 자금을 직접 보내지 않았고, 수취 계좌는 해킹 피해 자금이 아니라 차익을 실현한 트레이더처럼 보일 수 있었다.

거래의 거의 전부가 조직 소속 지갑에서 나왔다. 외부 매수자가 차지한 비중은 한 토큰의 거래대금 기준 1%에도 미쳤고, 여섯 토큰 모두의 거래는 11월 8일까지 멈췄다. 한 토큰에는 'Elon 2028 President' 문구와 함께 Elon Musk의 이미지가 담겼지만, Elliptic은 Musk가 이 토큰과 연관이 있다는 표시는 없다고 밝혔다. 나머지 이름들은 통속적인 농담과 개를 소재로 한 접미사 등 평범한 밈코인 관행을 따랐다.

이 기법은 이번 사건 이전부터 쓰여 왔다. Elliptic은 2025년 Bybit 해킹 뒤에서도 같은 수법을 확인했고, 값싸게 만든 토큰을 사용 후 버리는 만큼 그 효과는 조사 지연에 있다. 다만 이 회사는 흔적이 여전히 온체인에서 추적 가능하다고 보며, 유동성 풀에서 들어오는 자금을 기본적으로 깨끗한 것으로 취급하지 말라고 컴플라이언스 부서에 당부했다.

7,000 ETH가 Tornado Cash로 유입

밈코인 경로는 훨씬 큰 세탁 작업의 한 조각이다. Elliptic이 11월 9일 13시 15분(UTC) 기준으로 갱신한 별도의 세탁 추적 자료에 따르면, 탈취 자금은 16개 블록체인 위 2만 개가 넘는 지갑에 걸쳐 있고 최소 36개 서비스와 약 6만 5,000건의 거래와 연결된다. 11월 8일 이후 해킹 연관 지갑은 가치 약 1,500만 달러의 ETH 7,000개를 Tornado Cash에 예치했으며, 일부 예치금은 이미 코인조인 거래를 통과한 비트코인이 이더로 다시 바뀐 뒤 들어온 것이다.

다른 탈취 자산을 바꿔 담은 신규 주소에는 약 2억 2,500만 달러어치의 BTC 3,000개가 쌓여 있었고, 본래의 비트코인·이더 보유분은 움직이지 않았다. 해킹 연관 주소에는 약 30억 달러가 남아 있고 28억 5,000만 달러는 동결 상태이며, 이미 현금화된 금액은 미미할 것으로 추정된다. FBI는 10월 29일 목요일 발생한 이 해킹의 배후로 북한의 TraderTraitor 조직을 10월 31일 지목하고, THORChain 운영자를 포함한 각 서비스에 연관 거래 차단을 요청했다. 해커들은 THORChain을 통해 탈취 자산을 누구도 동결할 수 없는 비트코인으로 바꾸는 데에도 이 기술을 활용했다.

바이낸스가 11월 3일에 공개한 침해 사고 설명에 따르면, 공격은 가짜 채용 면접과 조작된 개발자 소프트웨어를 기반으로 수개월간 준비됐다. 9월의 채용 과정에서 한 엔지니어가 과제 저장소를 회사용 컴퓨터에 내려받았고, 악성 코드는 정상 개발 도구를 대체하면서도 엔드포인트 보안에 걸리지 않았다. 10월 20일 화요일 공격자는 이 컴퓨터와 사내 도구를 이용해 지갑 담당 엔지니어 두 명의 컴퓨터에 접근했고, 유출된 컨테이너 배포 자격증명이 지갑 서명 권한까지 닿게 했다. Blockaid의 기술 분석에서는 단일 트랜잭션에 담긴 EIP-7702 서명 50건이 확인됐으며, 이는 실사용 중인 지갑의 연속된 카운터 값을 커버했다. 바이낸스는 피해 규모를 63억 4,000만 달러로 잡고 전액 이상을 복구 재원으로 확보했다고 밝혔다. 회복 절차에도 거버넌스가 끼어 있다. Arbitrum 위에 동결된 ETH 8,425.997개와 ARB 7,456만 개는 DAO 승인 없이는 움직일 수 없으며, 이 절차에 최소 7주 이상이 걸릴 것으로 바이낸스는 추산한다.

이번 세탁 설계는 북한의 이전 탈취 사건들에서 온체인 기록이 이미 보여준 사실을 다시 확인시킨다. 은폐는 추적을 늦출 뿐 끊지는 못한다. 풀 생성부터 Tornado Cash 예치까지 밈코인 경로의 모든 단계는 공개 원장 위에 있고, 추적 자료는 잔여 자금 약 30억 달러를 특정 가능한 주소와 묶어 놓았다. 바이낸스의 사후 분석에 따르면 근본 원인은 개인키 유출이 아니라 오염된 개발 도구를 통한 엔드포인트 침해였고, 그만큼 대응 무게는 키 교체가 아니라 운영 보안에 실린다. 28억 5,000만 달러의 동결 자산과 DAO 표결을 기다리는 Arbitrum 잔액을 놓고 보면, 회복의 속도는 이제 조사 못지않게 거버넌스 일정이 결정한다.