바이낸스 630억 달러 해커가 TraderTraitor에 위치를 잡았다, 라자로와 무슨 관계인가?

저자：리드 블록비츠

11월 1일, 미국 연방수사국(FBI)은 10월 29일에 발생한 바이낸스 해킹 사건에서 도난당한 630억 달러를 북한에 귀속시킨 공지를 발표했다. 공지에서는 "TraderTraitor"라는 용어가 사용되었다.

이 이름을 검색하면, Bybit의 150억, Bitget의 30억, 그리고 몇 년 전의 여러 암호화폐 대형 사건들이 이 이름과 관련이 있음을 알 수 있다.

TraderTraitor는 회사도 아니고, 조직도 아니다. 미국 정부가 특정 행동을 지칭하기 위해 붙인 코드명이다.

2022년 4월, FBI, 미국 사이버 보안 및 인프라 보안국(CISA), 미국 재무부는 AA22-108A라는 번호의 공지를 공동 발표했다. 이 용어가 공식적으로 처음 등장한 것이었다. 당시 이 용어는 암호화폐 거래 소프트웨어로 위장한 몇 가지 트로이 목마를 지칭했으며, 예를 들어 DAFOM, TokenAIS, CryptAIS 등이 있었다. 이들은 그럴듯한 인터페이스를 가지고 있으며, 설치되면 개인 키를 훔치기 시작했다.

이 일을 하는 사람들은 업계에서 Lazarus Group, APT38, BlueNoroff, Stardust Chollima로 불리며, 이는 네 개의 팀이 아니다. Lazarus, 즉 라자루스는 총칭이며; APT38(맨디언트), BlueNoroff(카스퍼스키), Stardust Chollima(크라우드스트라이크)는 서로 다른 보안 회사들이 같은 돈을 벌기 위한 라인을 지칭하는 세 가지 이름이다.

2년 후, 이 레이블은 구체적인 행동에 적용되었다. 2024년 12월 23일, FBI, 미국 국방부 사이버 범죄 센터, 일본 경찰청은 DMM 해킹 사건에서 3억 달러의 귀속을 발표하며 "TraderTraitor로 추적된 북한 사이버 행위자"라는 표현을 처음 사용하고, 그들의 세 가지 별명을 나열했다: Jade Sleet(마이크로소프트 명칭), UNC4899(구글 명칭), Slow Pisces(팔로알토 명칭).

현재 정보가 비교적 명확해졌다. TraderTraitor는 Lazarus라는 대그룹 내에서 암호 자산을 전문으로 하는 부서이며, 현재 가장 많은 수익을 올리고 있다. 최소한 2020년부터는 블록체인에만 집중하고 있으며------거래 플랫폼, DeFi, 지갑 서비스 제공업체, 암호화폐 펀드, 그리고 많은 코인을 보유한 개인들을 대상으로 하고 있다.

은행 강도에서 거래 플랫폼 강도로

Lazarus는 포괄적인 이름으로, 그 아래에는 모든 것이 있다. 2014년 소니 픽처스의 하드 드라이브를 삭제한 사건, 2016년 방글라데시 중앙은행에서 돈을 빼낸 사건 등이 있다.

예를 들어 방글라데시 중앙은행 사건에서, 당시의 공격자는 APT38이라고도 불리며 BlueNoroff라고도 불렸다. 2016년 2월, 그들은 SWIFT 지시문(은행 간 송금을 위한 국제 메시지 시스템)을 위조하여 방글라데시 중앙은행의 뉴욕 연방준비은행 계좌에서 10억 달러를 이체하려 했다. 결국 8,100만 달러가 이체되었는데, 이는 한 송금의 철자가 잘못되어 중간 은행에서 차단되었기 때문이다.

은행의 운영 프로세스를 연구하고 인적 검토의 틈을 찾아내며 지시문을 위조하는 기술은 나중에 암호화폐 거래 플랫폼에 그대로 적용되었다.

2020년 전후로 그들은 수법을 업그레이드하기 시작했으며, 목표는 암호화폐 세계였다. 이유는 쉽게 추측할 수 있다. 돈이 많고 규제가 없으며 유동성도 좋기 때문이다.

공격 수단은 몇 가지가 있다.

첫 번째는 가짜 채용이다. 헤드헌터가 LinkedIn에서 당신을 찾아와서 대화를 나눈 후, 마지막에 "입사 전 프로그래밍 테스트" 또는 "내부 도구"의 설치 패키지를 보낸다. 설치하면, 기계는 그들의 것이 된다. Ronin의 6.2억 달러는 이렇게 사라졌다.

두 번째는 공급망이다. 더 이상 속이지 않고 개발자의 도구 체인을 오염시키는 것이다: GitHub의 악성 저장소, npm의 독성 패키지, JumpCloud와 같은 신원 서비스 제공업체. 한 사람이 감염되면, 하위의 여러 회사가 함께 감염된다.

세 번째는 거래를 직접 수정하는 것이다. 일본 DMM 사건에서 그들은 상대방의 로그인 자격 증명을 훔쳐 지갑 회사 Ginco의 내부 통신에 침투한 후, 정상적으로 이체되어야 할 거래를 수정했다. Bybit 사건에서는 그들이 Safe{Wallet}의 한 개발자의 컴퓨터에 침입하여 웹 페이지의 프론트엔드에 스크립트를 삽입했다. 서명하는 사람은 정상 페이지를 보았지만, 서명된 것은 다른 거래였다.

이번 바이낸스 사건도 포함된다.

공격자는 36시간 전에 준비하여 50개의 EIP-7702 권한을 서명했다. 이는 이더리움의 새로운 기능으로, 지갑이 임시로 프로그램을 "임대"하여 사용할 수 있게 해준다. 이후 바이낸스의 핫 월렛이 스스로 돈을 이체하게 했다; 40분 동안, 10개 네트워크를 넘었다. 보안 회사의 결론은 그들이 바이낸스의 서명 시스템을 이미 파악했을 가능성이 높다는 것이다.

이 조직의 범죄 금액

가장 유명한 12건, 970억 달러.

바이낸스 한 건이 630억 달러. 나머지 11건은 2022년부터 2026년까지 모두 합쳐 344억 달러다.

Bybit 150억 달러는 수정된 프론트엔드에서 발생했으며; Ronin 6.2억 달러는 속아 넘어간 채용에서 발생했으며; Bitget 38.8억 달러는 지갑 시스템에 작성된 위조 출금 지시에서 발생했다.

DMM 30.8억 달러, WazirX 23.5억 달러, Harmony와 Atomic 각각 10억 달러, Alphapo 6억 달러, CoinEx 5.5억 달러, Stake 4.1억 달러, CoinsPaid 3.7억 달러.

이 도표에서 바이낸스, Bybit, DMM 세 건만이 미국 정부에 의해 직접 TraderTraitor로 지목되었다. Ronin, Harmony, Stake, Alphapo, CoinsPaid, Atomic은 FBI에 의해 Lazarus/APT38로 귀속되었으며; WazirX는 미국, 일본, 한국의 2025년 1월 공동 성명에서 지목되었고; CoinEx는 오직 체인 분석 기관의 추정만 있다. Bitget 사건은 여러 기관이 TraderTraitor와 관련이 있다고 의심했지만, 공식적으로 귀속되지 않았다.

TRM 통계에 따르면, 북한은 2017년 이후 100건의 범죄를 저질렀으며, 누적 약 128억 달러; 올해 현재까지 74억 달러; 2026년 전 세계 암호 자산 도난 총액 중 85%가 북한에 기록될 예정이다. 이 표는 그 중 12건에 해당한다.

얼굴을 맞출 수 있는 사람들

미국 정부가 지목하고 사진을 남긴 북한 해커는 한 명이 아니다. 박진혁, 존 창혁, 김일이 2021년 2월의 기소장에 등장했으며; 2024년에는 림종혁이 추가되어 1,000만 달러의 보상이 걸렸다.

FBI가 수배 중인 박진혁

박진혁은 가장 먼저 기소된 인물이다: 2018년 6월, 미국 법무부는 그에 대해 형사 고발을 했으며, 같은 해 9월에 기소장이 공개되었다. 기소장에 따르면, 그가 참여한 공모에는 2014년 소니 픽처스 공격, 2017년 원나크라이, 그리고 2016년 방글라데시 중앙은행에서 8,100만 달러를 이체한 사건이 포함되어 있다. 그는 현재 도주 중이며, 한 번도 법정에 출석한 적이 없다.

바이낸스 해킹 추적

바이낸스는 회사 자금, SAFU 기금 및 선물 보험 기금을 사용하여 약 90%를 보충했으며, 나머지 10%는 유동성이 낮은 토큰이다; 손실은 전부 회사가 부담하며, 사용자에게는 전가되지 않는다.

11월 1일 기준으로 약 27억 달러, 즉 약 42%가 스테이블코인 발행자와 Arbitrum 보안 위원회에 의해 동결되었다. 공격자는 여전히 42만 개의 이더리움과 18,270개의 비트코인을 보유하고 있으며, 이는 약 24억 달러에 해당한다.

자금 세탁 경로는 여전히 일반적인 방식이다: 크로스 체인 브릿지를 통한 체인 변경, THORChain과 같은 서비스로의 교환, 믹서가 여러 사람의 코인을 섞어 분산시키고, 마지막으로 장외 거래로 이어진다.

이번 사건에는 작은 삽화가 있다. THORChain은 최근 이더리움 체인 재구성으로 인해 바이낸스 공격 사건에서 도난당한 자금의 세탁 과정을 지연시켰다. 이번 체인 재구성으로 인해 THORChain은 10개의 ETH를 입금한 사용자에게 잘못된 환불을 반복적으로 진행하였고, 이로 인해 프로토콜이 긴급 중단되어 모든 사용자의 크로스 체인 교환이 일시적으로 중단되었으며, 여기에는 북한 해커 조직과 관련된 자금 세탁 인원도 포함되었다.

지난번 Bitget의 도난 자금은 THORChain을 통과했지만, THORChain은 전혀 동결하지 않았으며, 탈중앙화가 동결할 수 없다고 주장했지만, 지난번 자신이 도난당했을 때는 그렇게 말하지 않았다.
THORChain이 서비스를 복구할 때, 만약 이번 바이낸스 도난 자금이 여전히 THORChain을 통과한다면, 그들은 어떤 변명을 할지 모르겠다.