북한 연계 SquidSquad, BNB 스마트체인 기관 보유자에서 284만 달러 유출

10월 8일 기관 보유자 표적

10월 8일(목) BNB 스마트체인의 한 기관 암호화폐 보유자에서 약 284만 달러 규모 자금이 유출됐으며, 10월 21일(수) 공개된 추적 결과는 이 사건을 북한 연계 해킹 조직 SquidSquad의 소행으로 지목했다. 블록체인 수사업자 ZachXBT의 분석이 근거다. 그는 탈쁘된 자금이 여러 중간 지갑을 거쳐 중국 장외거래(OTC) 암호화폐 상인과 연결된 주소에 도달하기까지의 세탁 경로를 재구성했고, 이들 상인은 규제된 암호화폐 거래소의 컴플라이언스 테두리 밖에서 움직인다. ZachXBT는 이번 이체에 쓰인 지갑과 기존에 북한 해커 그룹으로 분류됐던 주소 사이에서 자금 연계를 확인했고, 이 교집합이 SquidSquad 지목의 기초가 된다. 다만 이는 온체인 추적에 기반한 지목일 뿐이다. 근거는 이전 북한 관련 활동과의 지갑 수준 중첩이며, 내부 정보에 대한 주장은 아니다. 피해 기관의 이름, 자산 탈취에 쓰인 방법, 그리고 피해자가 당국에 신고했는지 여부까지 모두 공개되지 않았다. 공개된 기록은 초기 침해 경위를 설명하지 않는다. 서명 키 유출인지, 직원 기기 침해인지, 서드파티 연동 구간의 실패인지 아직 알 수 없다. 플랫폼이나 커스터디 업체가 손실을 독립적으로 확인한 발표도 없다. 온체인 기록에 따르면 공격자는 침해 후 약 2주 동안 자금을 보유 상태로 두었고, 첫 대규모 이동은 10월 20일(화)에야 나타났다. 그때까지 이 자산은 네트워크에서 가시적인 흔적을 남기지 않았다. 이번 침해는 BNB 네트워크의 운영이나 BNB 가격과는 무관하다. 문제는 BNB 위의 개별 기관 보유자 한 곳의 커스터디 계층에서 발생했다.

Tornado Cash로 1,111.2 ETH 세탁

10월 20일 이동이 지금까지 경로 중 가장 분주한 구간이었다. 공격자는 송신 지갑과 수신 지갑 사이의 가시적 연결을 끊는 프라이버시 프로토콜인 Tornado Cash에 1,111.2 ETH를 입금한 뒤, 별개의 이더리움 주소 세 곳으로 인출했다. 이어 자산은 USDT0을 통해 트론 네트워크로 넘어갔다. USDT0는 테더의 달러 연동 스테이블코인을 지원 네트워크 간에 직접 옮기도록 만든 형태로, 사용자가 평소 크로스체인 브리지를 통해 설정하는 경로 없이 이동한다. 이체는 TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU와 TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux 두 트론 주소에 수렴했고, 이 주소 두 곳 모두 이전에 북한 관련 활동으로 지목된 주소들과 거래 중첩을 보인다. 자금이 한곳에 모인 뒤 수분 만에 중간 지갑을 통과해 중국 OTC 상인으로 지목된 주소에 도달했다. 이 속도는 동결 선점 시도로 읽힌다. 테더는 자신이 지원하는 네트워크의 주소에 대해 USDT 잔액을 제한할 수 있다. 공개 결과는 운영자들이 실제로 법정화폐로 바꾸는 단계, 흔히 말하는 암호화폐 현금화를 완료했는지, 그리고 탈취 자산 일부가 이후 동결됐는지 확인하지 못한다. 2026년 북한 암호화폐 위협 평가는 SquidSquad를 암호화폐 창업자, 경영진, 부유한 투자자 대상 공격 캠페인과 연결한다. 이 조직은 텔레그램과 링크드인에서 벤처캐피탈리스트, 투자자, 비즈니스 인맥으로 위장한 뒤 악성 문서나 소프트웨어를 유포하며, 연구자들은 이를 RustBucket, SwiftBucket, NimDoor 악성코드 계열과 연결해 왔다. Tornado Cash는 탈취 자금 이동에 쓰인 서비스로 명시돼 있다. 이 사건은 이전 공개 사례들과 맥락을 이룬다. ZachXBT는 10월 5일(월) 고객으로 위장해 2025년 15억 달러 규모 바이비트 탈취 사건 관련 거래를 추적하면서 34만 9,700달러를 지출했다고 밝혔고, 그 작업은 10억 달러 이상을 처리한 것으로 알려진 중국 운영 조직을 가리켰다. 테더는 그 과정에서 발견된 지갑과 연결된 44만 2,000 USDT를 동결했다. Mandiant가 북한 그룹 UNC6862 소행으로 분류한 4월의 2억 8,500만 달러 규모 Drift Protocol 해킹과 연결된 지갑도 같은 날 6,156만 달러어치 2만 5,700 ETH를 Tornado Cash로 옮겼다. 다만 두 사건 간 연계는 확인되지 않았다. 약 5,000만 달러 규모였던 2024년 Radiant Capital 탈취 사건도 비슷한 믹서 경로를 밟았다. 2025년 10월까지 CertiK는 해당 공격 관련 지갑이 믹서를 통해 흘려보낸 물량을 2,834 ETH, 약 1,080만 달러로 집계했고, Radiant는 2026년 6월 사업을 정리했다. BNB 스마트체인에 대한 보안 압박은 이번 사건 이전부터 있었다. COINOTAG는 별도로 CYS 1,000만 개가 초과 발행된 뒤 Cysic 브리지 중단 사태를 네트워크 내 사례로 다룬 바 있다.

취합에서 OTC 상대방까지 수분

이 사건에서 헤드라인 금액보다 더 중요한 세부는 두 가지다. 하나는 타이밍이다. 트론 취합에서 OTC 상대방 도달까지 걸린 시간은 수일이 아니라 수분이었고, 그 박자는 테더가 내릴 수 있는 동결 조치를 앞지르기 위한 것이다. 다른 하나는 출구 경로다. 경로의 모든 홉은 블록체인 노드를 구동하는 누구에게나 보이지만, 흔적의 끝은 여전히 공개된 조사 결과 밖의 상대방에 닿는다. 회복 가능성이 희박해지는 지점이 바로 여기다. BNB 시장 쪽은 별개의 동인으로 움직인다. BNB 기술적 분석과 37회째 분기 자동 소각 같은 공급 이벤트가 이를 별도로 다룬다. 최신 공개 시점 기준, 284만 달러가 환전됐는지, 동결됐는지, 회수 가능한지는 아직 보고되지 않았다.