세계 최대 가상화폐 거래소 바이낸스에서 64억달러(약 8조5천491억원) 규모 가상자산이 탈취된 가운데, 북한 해킹 조직이 이번 사건의 배후로 지목됐다. 특히 해커들이 불과 20분 만에 막대한 자산을 빼돌린 것으로 알려지면서 북한의 사이버 범죄 역량에 대한 우려가 커지고 있다.
미국 일간 월스트리트저널(WSJ)은 30일(현지시간) 보안 전문가들의 분석을 인용해 바이낸스 해킹 공격의 배후에 북한의 정예 해킹 조직 '트레이더트레이터'가 있는 것으로 추정된다고 보도했다.
사건이 발생한 전날부터 TRM 랩스와 엘립틱 등 블록체인 분석 업체들도 해당 조직을 유력한 공격 주체로 지목했다.
'트레이더트레이터'는 미국 연방수사국(FBI)이 북한의 국가 지원 사이버 범죄 조직을 지칭할 때 사용하는 코드명이다. 이들은 2016∼2017년부터 북한 정찰총국 등 정보기관 산하에서 가상화폐 탈취 활동을 벌여온 것으로 알려졌다.
한국, 미국 등 11개국이 참여하는 다자간 제재 감시팀(MSMT)은 이들이 사회공학적 기법과 고도의 기술적 수법을 동원해 대규모 해킹을 벌여왔다고 지적한 바 있다.
지난해 MSMT 보고서에 따르면 이 조직은 2024년 1월부터 2025년 9월까지 약 26억달러 상당의 가상화폐를 훔치며 북한 정권의 주요 수익창출원으로 자리 잡았다. 이번 바이낸스 해킹으로 누적 탈취 규모는 50억달러를 넘어설 것으로 예상된다.
바이낸스는 피해 자산 가운데 약 28억달러를 빠르게 동결하는 데 성공했지만, 나머지는 동결이 불가능해 회수가 어려울 것으로 전망된다.
특히 해커들이 바이낸스 지갑에서 약 63억달러를 빼내는 데 소요된 시간은 약 20분에 불과했다.
이처럼 짧은 시간에 거액을 탈취할 수 있었던 배경에는 정교한 자금 분산 기술이 있는 것으로 분석된다.
해커들은 공격에 성공한 직후 알고리즘을 이용해 탈취한 가상화폐를 전 세계 여러 블록체인 네트워크로 빠르게 분산시킨다. 자금 이동 속도가 사람이 처리할 수 있는 수준을 뛰어넘어 사실상 추적과 회수가 불가능하다.
블록체인 분석 플랫폼 체인아르고스의 공동창립자 조너선 라이터는 "이들이 전통적인 의미의 최첨단 보안 전문가는 아닐지 몰라도, 시스템의 취약점을 악용하는 데는 극도로 효율적"이라고 설명했다.
엘립틱의 설립자 톰 로빈슨 역시 "어떤 범죄 조직도 따라올 수 없는 규모의 국가 지원 절도"라고 평가했다.
가상화폐 탈취는 국제사회의 경제 제재를 받는 북한에 중요한 외화 확보 수단으로 자리 잡은 것으로 분석된다. 다만 해킹에 성공했더라도 훔친 가상화폐를 실물화폐로 바꾸는 데는 수개월에서 수년이 걸릴 수 있다.
해커들은 추적을 피하기 위해 탈취 자산을 여러 블록체인으로 나눠 이동시킨 뒤 불법 브로커 조직 등을 거쳐 현금화하는 것으로 알려졌다.
WSJ은 미국과 동맹국들이 추적 소프트웨어와 제재 등을 통해 단속을 강화하고 있지만, 북한 해커들은 피싱 이메일이나 개발자를 속이는 수법으로 단 몇 분 만에 수십억 달러를 탈취하고 있다며 양측의 사이버 범죄 대응 역량 격차가 커지고 있다고 진단했다.