ZachXBT, 3억 8,750만 달러 Bitget 해킹 자금 세탁 추적 중 27만 7,724 XRP 동결 상태 확인

공개 채팅방에서 도움 요청한 자금 세탁 조직

Bitget에서 탈취한 자금을 빼돌리던 조직이 운을 맞췄다. 이들은 고객 지원센터에 도움을 요청하는 과정에서 완전히 공개된 채팅방을 이용했고, 그 과정에서 자신들의 자금 세탁 작업 스스로를 드러내고 말았다. 은밀하게 움직이기는커녕, 자금을 이동하는 데 실제로 쓰던 서비스의 Discord 서버와 Telegram 채널에 직접 들어가 막힌 주문 처리를 요청한 것이다. 온체인 수사관 ZachXBT는 지난 일요일 이러한 행태를 문서화하며 5개 계정을 특정하고 각 별명(닉네임)을 구체적인 거래와 하나씩 대응시켰다. 그는 이 조직을 9월 24일 침해 사건의 용의자인 북한 배후 세력을 대신해 일하는 중국계 자금 세탁 조직으로 평가한다. 해당 사건에서 공격자는 거래소의 내부 승인 시스템을 속여 총 3억 8,750만 달러 규모의 외부 송금에 서명하게 만들었다. Bitget의 CEO Gracy Chen은 이번 사건을 다단계 승인 워크플로의 조작으로 규정했으며, 북한 개입 가능성이 매우 높다고 밝혔다. ZachXBT가 공개한 스크린샷에 따르면, 해당 계정들은 XRP에서 Bitcoin(BTC)으로의 변환 자금이 끝내 도착하지 않았다며 THORChain 직원들에게 불만을 토로했다. THORChain은 사용자 계정 없이 블록체인 간 자산을 교환하는 네트워크로, 중앙화 거래소의 현물 거래 에 대한 대안적 방식이다. 별명 'Cc'를 쓰던 한 사용자는 27만 7,724 XRP를 보냈는데 431개만 돌아왔다고 호소했고, 'jack'이라는 별명의 사용자는 자산을 잃으면 "내 인생에 큰 곤란이 생긴다"고 적었다. 스왑 서비스 SwapKit의 운영자는 이에 김정은의 사진 한 장으로 답했다. 수사관의 온체인 분석 스레드 에는 별명과 거래의 전체 매핑이 정리되어 있다.

온체인 분석 스레드https://x.com/zachxbt/status/2104528688469647700?ref_src=twsrc%5Etfw

Kelp DAO 연계와 TraderTraitor

이 자금 세탁 조직은 대규모 탈취의 초보가 아니다. ZachXBT의 발표에 따르면 5개 계정 중 'lolo'라는 핸들을 쓰던 계정은 4월 발생한 2억 9,200만 달러 규모의 Kelp DAO 익스플로잇 자금도 이동시켰으며, 같은 계정은 채팅에서 자신이 Telegram에서는 'Marin'으로 불린다는 점도 확인해 주었다. 이 중복은 의미가 크다. 단일 작업을 위해 임시로 꾸려진 조직이 아니라, 소수의 반복 전문 인력이라는 뜻이기 때문이다. 수사관은 TraderTraitor에 귀속된 여러 익스플로잇 이후에도 동일한 행동 패턴을 관찰해 왔으며, 이들 조직을 오랜 기간 추적해 왔다고 밝혔다. TraderTraitor는 미국 연방수사국(FBI)이 특정 북한 사이버 조직에 붙인 명칭으로, 2024년 일본 거래소 DMM Bitcoin에서 3억 800만 달러가 유출된 사건의 배후로 지목된 바 있다. 이번 Bitget 침해는 국가 주도 거래소 강탈 연속 사건의 최신 항목이 된 셈이다. ZachXBT의 추적에 따르면 탈취 자금은 현재 브리지를 거쳐 블록체인 사이를 옮아다니다가 Wasabi 같은 믹서에 도달한다. Wasabi는 다수 사용자의 코인을 뒤섞어 추적 흔적을 지우는 지갑으로, Mimblewimble 처럼 원장 수준에서 프라이버시를 설계하는 방식과는 다른 CoinJoin 방식을 취한다. 3억 8,750만 달러라는 규모는 대다수 중형 토큰의 시가총액 과 비교해도 흔적 없이 처분하기 어려운 크기다. THORChain은 공격자 관련 지갑 동결 요청을 거부한 상태이며, Bitget은 출금이 월요일에 재개될 것이라고 밝혔다. 수사관은 앞으로 몇 주 안에 이들 조직에 관한 추가 데이터를 공개할 계획이다. 시장을 실시간으로 추적하려는 독자는 Bitget에서 현물·선물 가격을 실시간으로 확인할 수 있다.

COINOTAG의 시각에서 보면, 이 사건은 산업 규모의 자금 세탁조차 운영상 지문을 남긴다는 점을 보여준다. 핵심 증거, 즉 수사관 스레드의 별명-거래 매핑과 거래소 스스로 밝힌 승인 시스템 기만 사실은 사회공학적 원인을 가리키며, 대응의 초점은 내부 서명 체계의 재보안과 월요일 출금 재개에 맞춰져 있다. THORChain이 공격자 연계 스왑을 계속 처리하고 브리지가 믹서로의 유입을 계속 공급하는 한, 추적은 자금을 따라 갈 수밖에 없다. 수요 측면은 구조적이다. 중앙은행 디지털화폐 를 시범 도입하는 경제들과 달리 평양은 경질통화를 인쇄할 수 없고, 이것이 국가 주도 거래소 강탈이 반복되는 이유다. 추가 공개는 수주 이내에 이루어질 것으로 보인다.