경제 경제단체

TRM랩스 "북한, 바이낸스 해킹 자금세탁에 자체 토큰 동원"

연합뉴스

자체 발행 토큰·디파이 유동성 풀 활용한 자금 이동 포착 27억 달러 동결…공격자 지갑에 주요 자산 24억 달러 잔류

TRM랩스 "북한, 바이낸스 해킹 자금세탁에 자체 토큰 동원"
자체 발행 토큰·디파이 유동성 풀 활용한 자금 이동 포착
27억 달러 동결…공격자 지갑에 주요 자산 24억 달러 잔류

(서울=연합뉴스) 오지은 기자 = 가상화폐 거래소 바이낸스 해킹의 배후로 지목된 북한 연계 해킹 조직이 자체 발행한 토큰과 탈중앙화 금융(DeFi·디파이) 서비스를 이용해 탈취 자금을 세탁하는 수법이 포착됐다.

약 27억 달러(약 3조6천억원) 상당의 자산이 동결된 가운데 공격자 지갑에는 이더리움과 비트코인 등 약 24억 달러(약 3조2천억원) 규모의 주요 자산이 남아 있으며, 트론·솔라나 네트워크를 중심으로 자금 이동이 관측됐다.

4일 미국 보안 업체 TRM 랩스 보고서에 따르면 지난달 29일 바이낸스 지갑에서 10개 블록체인에 걸쳐 약 64억 달러(약 8조8천억원) 규모의 가상화폐가 무단 유출된 이후 동결되지 않은 자금이 새로운 경로를 통해 이동 중이다.

유출 직후 테더, 서클, 리플과 관련 보안 협의체 등의 조치로 약 27억 달러 상당이 동결됐지만 공격자는 여전히 이더리움과 비트코인 등 약 24억 달러 규모의 핵심 자산을 보유하고 있는 것으로 추적됐다.

TRM 랩스 조사팀은 지난달 31일부터 이달 2일 사이 확인된 자금 이동에서 기존과 다른 세 가지 주요 세탁 수법이 포착됐다고 밝혔다.

첫째는 트론 네트워크상에서 자체 토큰을 생성해 유동성 풀(디지털 자산 모음)을 세탁 통로로 활용하는 방식이다.

공격자는 자신이 임의로 추가 발행할 수 있는 토큰을 만든 뒤 대출 프로토콜 영수증 토큰과 묶인 단일 유동성 풀을 생성했다.

이어 분산 지갑을 이용해 해킹 피해 자금으로 해당 풀을 사들여 가치를 채워 넣은 뒤 별도 판매자 지갑으로 무상 발행한 새 토큰을 해당 풀에 매도해 자금을 회수했다.

이는 구매자 지갑과 판매자 지갑 간 직접 거래가 발생하지 않아 단순 지갑 추적망을 교묘히 피해 간 구조다.

둘째는 트론 대출 프로토콜의 영수증 토큰을 매개로 한 세탁이다.

A 지갑이 테더를 대출 풀에 예치해 영수증 토큰을 받은 뒤 이를 B 지갑에 전송하고, B 지갑이 이를 다시 테더(USDT)로 상환받아 외부 브릿지로 전송하는 방식이다.

이 경우 USDT 단일 경로만 추적하는 모니터링 시스템에는 A 지갑과 B 지갑 사이의 연관성이 포착되지 않는다.

셋째는 중간 지갑을 생략한 연속 크로스체인 스왑이다.

하나의 크로스체인 스왑을 거친 자금을 곧바로 두 번째 브릿지의 입금 주소로 직접 송금해 동결이나 이상 거래 알림이 발생하는 중간 지갑 단계를 없앴다.
또한 지갑 내장형 스왑 서비스를 통해 트론에서 이더리움으로 넘어온 자금을 50~80 이더리움 단위로 쪼개 분산 보관하는 자금 분할 수법도 확인됐다.

현재 이더리움과 비트코인에 묶인 주요 잔액은 추가 이동 없이 유지되고 있지만 트론과 솔라나 지갑군을 중심으로 활발한 자금 이동이 관측되고 있다.

TRM 랩스는 온오프체인 정보를 바탕으로 이번 공격의 배후를 북한 정찰총국 연계 해킹 그룹인 '트레이더트레이터(TraderTraitor)'로 지목한 바 있다.