체이널리시스 "64억달러 바이낸스 해킹, 북한 연계 조직 소행"

북한 연계 조직 ‘트레이더트레이터’ 소행 판단
비트겟 해킹 자금과 온체인 연계

블록체인 분석업체 체이널리시스(Chainalysis)는 31일 약 64억달러 규모의 바이낸스 해킹 사건을 북한 연계 사이버범죄 조직 ‘트레이더트레이터(TraderTraitor)’의 소행으로 판단했다고 밝혔다. 바이낸스에서 탈취된 자금과 지난달 비트겟(Bitget) 해킹 사건의 탈취 자금이 온체인상에서 혼합된 정황이 핵심 근거로 제시됐다.

체이널리시스에 따르면 공격은 29일 오후 4시20분께(현지시간) 시작됐다. 공격자는 이더리움 네트워크에서 토네이도 캐시(Tornado Cash)를 통해 자금을 공급받은 작업용 지갑을 사용했고, 유효한 서명 승인을 이용해 바이낸스 핫월렛이 공격자가 배포한 코드를 실행하도록 했다. 이후 여러 블록체인에서 공격자 통제 주소로 총 약 64억달러 상당의 자산이 빠져나갔다.

공격자는 탈취 자산 가운데 발행사가 동결할 수 있는 테더(USDT), USD코인(USDC) 등 스테이블코인을 빠르게 다른 자산으로 전환했다. 약 5억달러의 스테이블코인이 별도 지갑으로 이동했으며, 이 가운데 3억2500만달러는 약 20분 동안 2억8500만달러 상당의 이더리움(ETH)으로 교환됐다. 나머지 1억7500만달러도 이후 중간 지갑으로 이동했다.

자금 동결은 사건 발생 약 1시간 뒤인 오후 5시14분께부터 시작됐다. 체이널리시스는 법 집행기관과 스테이블코인 발행사, 업계 관계자들과 탈취 자금 흐름을 추적하고 관련 단서를 공유했으며, 발표 당시 약 28억달러 상당의 자금이 동결된 것으로 파악했다.

북한 연계 판단의 핵심은 비트겟 해킹과의 직접적인 온체인 연결이다. 체이널리시스는 바이낸스 탈취 자금과 앞서 북한 관련 공격자의 소행으로 지목된 비트겟 해킹 자금이 혼합되는 정황을 실시간으로 확인했다. 두 사건 사이의 자금 연결고리가 이번 공격 역시 트레이더트레이터의 소행이라는 판단을 뒷받침한다는 설명이다.

자동화된 자금 세탁 정황도 포착됐다. 짧은 시간 동안 수천 건의 거래가 발생했고, 여러 지갑 사이에서 자금이 반복 이동하거나 기존에 사용된 지갑으로 다시 전송되는 패턴이 나타났다.

특히 다수 지갑이 정확히 1TRX를 받은 뒤 추가 자금을 수신하고 이를 다른 지갑으로 보내는 동일한 흐름이 반복됐다. 체이널리시스는 자금 이동 경로를 복잡하게 만들기 위해 자동화 프로그램을 활용했을 가능성이 있다고 분석했다.

체이널리시스는 바이낸스와 가상자산 업계와 협력해 탈취 자금 추적과 추가 자금 세탁 차단, 피해 확산 방지를 위한 지원을 이어갈 계획이다.