"바이낸스 해킹 北 조직, 자체 토큰 만들어 탈취 자금 세탁"

가상화폐 거래소 바이낸스를 공격한 북한 연계 해킹 조직이 자체 발행한 토큰과 탈중앙화 금융(DeFi·디파이) 서비스를 이용해 탈취 자금을 세탁하는 정황이 포착됐다.

4일 연합뉴스에 따르면 미국 보안업체 TRM 랩스는 지난달 31일부터 이달 2일까지 자금 흐름을 분석한 결과, 자체 발행 토큰과 유동성 풀(디지털 자산 모음)을 활용하거나 대출 프로토콜의 영수증 토큰, 크로스체인 스왑 등을 이용한 세 가지 자금 세탁 수법이 확인됐다.

ⓒ 로이터/연합뉴스

앞서 지난달 29일 바이낸스 지갑에서 10개 블록체인에 걸쳐 약 64억달러(약 8조8000억원)의 가상화폐가 무단 유출됐다.

사고 직후 테더와 서클, 리플 등의 조치로 약 27억달러(약 3조6000억원)가 동결됐다. 그러나 공격자는 이더리움과 비트코인 등 약 24억달러(약 3조2000억원)의 주요 자산을 여전히 보유하고 있는 것으로 추적됐다.

TRM 랩스가 확인한 자금 세탁 수법은 크게 세 가지다.

첫 번째는 트론 네트워크에서 자체 토큰을 발행하고 유동성 풀을 활용해 자금을 회수하는 방식이다. 탈취 자금으로 유동성 풀의 가치를 높인 뒤 별도 지갑에서 토큰을 매도해 지갑 간 직접 거래 없이 자금을 이동시켰다.

두 번째는 대출 프로토콜의 영수증 토큰을 이용한 방식이다. 한 지갑에서 테더(USDT)를 예치해 받은 토큰을 다른 지갑으로 옮긴 뒤 다시 테더로 환급받아 거래 추적을 어렵게 했다.

세 번째는 서로 다른 블록체인 간 자산을 교환하는 크로스체인 스왑을 연속으로 이용하는 방식이다. 중간 지갑을 생략해 자금 추적을 피하려 한 것으로 분석됐다. 일부 자금은 50~80이더리움 단위로 쪼개 여러 지갑에 분산 보관됐다.

현재 이더리움과 비트코인에 남은 주요 자산은 추가 이동 없이 유지되고 있지만 트론과 솔라나 네트워크에서는 자금 이동이 이어지고 있다.

TRM 랩스는 이번 공격의 배후로 북한 정찰총국 연계 해킹 조직인 '트레이더트레이터(TraderTraitor)'를 지목한 바 있다.