‘머스크 얼굴’ 밈코인 찍어냈다…8조 턴 北해커의 기막힌 돈세탁
북한의 해커 조직이 바이낸스 블록체인 지갑에서 대규모 자신을 빼돌린 것으로 전해진다. 로이터=연합뉴스
세계 최대 가상자산 거래소 바이낸스를 해킹해 8조원대 가상자산을 탈취한 북한 해커들이 자금 추적을 피하기 위해 일회용 밈코인까지 동원한 것으로 나타났다.
가치가 거의 없는 밈코인을 직접 발행한 뒤 거래 기록을 복잡하게 만들어 탈취 자금의 출처를 감추려 한 것이다.
글로벌 블록체인 분석업체 엘립틱은 9일(현지시간) 보고서를 통해 해커들이 해킹 직후 니어(NEAR) 블록체인 네트워크에서 밈코인 6종을 새로 발행해 자금 세탁에 활용했다고 밝혔다.
FUK, OLCCL, MEILI, MMLI, DABI, SINU 등으로, 확인된 세탁 규모는 약 43만달러(약 5억8000만원)다.
해커들은 바이낸스에서 탈취한 NEAR 토큰으로 탈중앙화거래소(DEX)에서 새로 만든 밈코인을 매수했다. 이후 별도의 거래 기록이 없는 지갑이 이 밈코인을 다시 사들이는 방식으로 자금을 옮겼다.
거래 내역만 보면 해당 지갑의 소유자가 불법 자금을 받은 해커가 아니라 밈코인 투자로 수익을 얻은 일반 투자자인 것처럼 보이게 하는 수법이다.
밈코인에는 분홍색 리본을 단 원숭이나 일론 머스크 테슬라 최고경영자(CEO)의 이미지와 ‘Elon 2028 President’라는 문구가 사용됐다.
다만 엘립틱은 머스크 CEO가 해당 코인과 관련돼 있다는 정황은 없다고 밝혔다. 발행된 코인들은 몇 시간 동안 거래된 뒤 사실상 방치됐다.
톰 로빈슨 엘립틱 창업자 겸 수석과학자는 “하루에도 수천 개의 밈코인이 발행되고 대부분 며칠 만에 사라진다”며 “단명하는 코인이 하나 더 등장해도 별다른 관심을 끌지 않는다”고 설명했다.
밈코인 거래 기록이 있는 지갑은 자금 출처를 따로 확인하지 않는 한 자금세탁범보다 투기적 투자자의 지갑처럼 보인다는 것이다.
이 같은 수법은 지난해 북한 해커들의 소행으로 지목된 가상자산 거래소 바이비트 해킹 때도 사용됐다. 당시 해커들은 탈취 자금 가운데 최소 2400만 달러를 밈코인을 통해 세탁한 것으로 분석됐다.
바이낸스 해킹 사건에서도 자금 세탁은 빠르고 대규모로 이뤄졌다. 엘립틱에 따르면 해킹 발생 후 일주일도 지나지 않아 2만개가 넘는 지갑이 동원됐고, 6만5000건 이상의 거래가 실행됐다.
평균적으로 약 30초마다 새 지갑 하나가 사용되고 10초마다 거래 한 건이 이뤄진 셈이다. 해커들은 토르체인(THORChain)과 프라이버시 캐시(Privacy Cash), 와사비 월렛(Wasabi Wallet) 등 자금 추적을 어렵게 하는 서비스도 활용했다.
엘립틱은 탈취 자산 가운데 약 31억3000만 달러가 해킹 관련 지갑에 남아 있다고 밝혔다. 바이낸스의 리처드 텅 공동 CEO는 탈취 자산 중 추가로 28억5000만 달러가 동결되거나 이동이 차단됐다고 설명했다.
테더와 서클 등 스테이블코인 발행사는 필요할 경우 해당 토큰의 사용을 차단할 수 있지만, 비트코인과 이더리움은 발행 주체가 임의로 동결할 수 없다.
미국 당국은 이번 바이낸스 해킹을 북한 해킹 조직 트레이더트레이터(TraderTraitor)의 소행으로 지목했다. 검찰은 해커들이 탈취 자금을 비트코인과 이더리움 등으로 바꾸고 수많은 지갑과 블록체인을 거쳐 이동시키는 과정도 추적하고 있다.
고성표([email protected])