비트겟 이어 바이낸스까지…北 라자루스, 거래소 정조준

비트겟, 바이낸스 등 글로벌 가상자산거래소를 겨냥한 대규모 사이버 공격이 연이어 발생한 가운데 북한의 사이버 공작 부대 ‘트레이더트레이터(TraderTraitor)’가 배후로 지목되고 있다. 북한과 연계된 것으로 추정되는 가상자산 사이버 공격 피해액이 급격히 늘어나면서 글로벌 거래소의 보안 위협이 현실화하고 있다.

역대 최대규모 해킹…北 사이버 공작부대 지목

바이낸스는 지난달 29일(현지시간) 63억6000만달러(8조5351억원)에 달하는 가상자산을 탈취당했다. TRM랩스의 분석에 따르면 이더리움(ETH), 비트코인(BTC), 트론(TRX), 솔라나(SOL) 등 10개 블록체인의 지갑에서 자산이 빠져나갔다. 가상자산업계 역사상 단일 해킹 사건으로는 최대 규모다.

바이낸스는 2일 공지를 통해 지난 1일(한국시간) 오후 3시부터 출금 서비스를 단계적으로 재개했으며, 이날 오전 0시30분까지 약 36억4000만달러(4조8500억원)가 순유출됐다고 밝혔다. 이는 회사의 총관리자산(AUM)인 1710억달러(229조원)의 2.1%에 해당한다. 바이낸스는 해킹에 따른 손실을 이용자 자산 보호 기금(SAFU)과 사내 유보금 등을 통해 부담할 예정이다.

이번 사건은 지난 9월25일 비트겟에서 3억8750만달러(5716억원) 규모의 해킹 사건이 발생한 지 한 달여 만에 일어났다. 두 사건 모두 개인키 유출 정황은 확인되지 않았다. 대신 공격자들이 서명 권한을 확보한 뒤 거래소 내부 출금 승인 절차를 속여 자금을 빼냈다는 공통점이 있다. 또한 두 사건 모두 북한 해커 그룹이 배후로 지목됐다.

비트겟은 공격 주체를 공식적으로 특정하지는 않았지만, IP 주소와 자금 이동 패턴이 라자루스와 일치한다고 봤다. 그레이시 첸 비트겟 최고경영자(CEO)는 해킹 사고가 발생한 직후 자신의 엑스(X·옛 트위터)를 통해 “IP 행동과 온체인 서명을 기반으로, 이번 공격은 북한 연계 해커 그룹이 사용한 기술과 일치한다”고 밝힌 바 있다.

바이낸스 해킹 사건의 경우 미국 연방수사국(FBI)이 배후를 ‘트레이더트레이터’로 공식 특정했다. 트레이더트레이터는 2022년 FBI와 사이버인프라보안국(CISA) 등이 정체를 밝힌 북한의 금융 분야 전문 사이버 공작 부대다. 체이널리시스는 바이낸스에서 탈취된 자금과 비트겟 해킹 사건의 탈취 자금이 혼합된 정황을 확인했다고 밝혔다.

라자루스 산하 조직…가상자산 탈취 전문

다국적제재모니터링팀(MSMT)의 보고서에 따르면 트레이더트레이터는 북한 정찰총국 산하 110호 연구소의 하위 조직 중 하나다. 110호 연구소 산하에는 트레이더트레이터 외에도 크립토코어, 시트린 슬리트, 템프 허밋 등이 있는 것으로 보고서는 분석했다. 일반적으로 알려진 북한의 해킹 조직 ‘라자루스 그룹’은 이들 조직을 아우르는 명칭으로 사용된다.

이 가운데 트레이더트레이터와 크립토코어는 2016~2017년 사이 등장한 조직으로, 가상자산 탈취를 전문으로 하는 사이버 범죄 조직이다.

트레이더트레이터는 지난해 2월 바이비트에서 발생한 15억달러(약 2조원) 규모 해킹 사건의 배후로도 지목됐다. 당시 공격자는 콜드월렛의 서명자를 속이는 피싱 공격으로 15억달러 규모의 이더리움(ETH)을 탈취했다. 2024년 5월 일본 DMM 비트코인에서 발생한 3억800만달러 규모의 자산 탈취 사건 역시 트레이더트레이터의 소행으로 지목됐다.

트레이더트레이터는 이 과정에서 특정 대상을 겨냥해 속이는 ‘스피어피싱’ 방식을 활용했다. 채용 담당자를 사칭해 개발자에게 악성코드를 심고 내부 네트워크 접근 권한을 확보한 뒤 해킹하는 방식이다. DMM 비트코인 사건에서는 콜드월렛 보관 서비스 제공업체 긴코의 직원을, 바이비트 사건에서는 다중서명 지갑 제공업체 세이프의 개발자를 표적으로 삼았다.

바이낸스는 해킹 사고를 인지한 즉시 자금 동결에 나섰지만 공격자들이 한발 앞섰다. 트레이더트레이터는 탈취한 자산 중 테더(USDT)와 USD코인(USDC) 등 스테이블코인을 탈중앙화금융(DeFi)을 활용해 이더리움으로 교환했다. 스테이블코인은 발행사가 자산을 동결할 수 있는 반면, 이더리움은 특정 발행 주체가 없어 임의로 동결하기 어렵다. 공격자들은 자금 동결을 피하기 위해 스테이블코인을 이더리움으로 교환한 것으로 풀이된다.

자금세탁도 자동화…국내 거래소 보안 비상

체이널리시스는 기존에 관찰되지 않았던 자금세탁 방식이 나타나고 있다고 분석했다. 자금의 이동 경로를 감추기 위해 자동화 기술을 활용하고, 여러 주소 사이에서 자금을 반복적으로 순환시키는 방식이다. 체이널리시스는 보고서에서 “짧은 시간 내 수천 건의 거래가 발생했다”며 “탈취 자금을 이동시키고 재분배하는 과정이 프로그램에 의해 자동으로 실행됐음을 시사한다”고 분석했다.

한편 국내 가상자산거래소 역시 바이낸스 해킹 사태에 긴장하고 있다. 업비트와 빗썸 등 국내 가상자산거래소는 바이낸스로의 가상자산 출금에 각별히 유의할 것을 당부했다. 또한 필요할 경우 투자자 보호를 위해 바이낸스로의 가상자산 출금을 제한할 수 있다고 밝혔다.

금융위원회는 이날 긴급 보안 점검회의를 소집하고 가상자산거래소의 전산 시스템 접근 통제 및 관리자 권한 관리 현황을 점검했다. 더불어 △콜드월렛 비중 상향 △입·출고 상시 모니터링 및 추가 대응 인력 확보 △비정상 접근 시도 보고·공유 등 신속하고 긴밀한 대응 체계 운영 △준비금 추가 적립 등 즉시 실행 가능한 추가 보안 강화 조치를 당부했다.

금융위 관계자는 “관계기관 및 업계와 긴밀히 협력해 해킹 등 추가적인 침해 사고를 예방하고 피해 확산을 방지하기 위한 대응 체계를 지속적으로 강화해 나갈 것”이라고 말했다.

• 주식 판 돈 하루 당겨 받는 게, 그렇게 어렵나요
• 금융위, 바이낸스 해킹에 거래소 긴급회의…”콜드월렛 늘려라”
• [르포]’충성 고객’은 이렇게 챙겨라…첫 ‘넾페스타’ 연 네이버
• 미국발 악재에도 2% 반등한 코스피…기관 1.2조원 ‘사자’
• [여의도워치]원전 공론화와 AI 시대 전력 수급 백년대계