동결과의 경주: 바이낸스에서 640억 달러를 빼앗은 북한 해커는 어떻게 돈세탁을 했는가?

저자|Dr. Tom Robinson（Elliptic）

편집| 우설 블록체인, 위안보

본 문서의 내용은 어떠한 투자 재무 조언을 구성하지 않으며, 독자는 거주지의 법률 및 규정을 엄격히 준수해야 합니다. 우설 공공 계정에 별표를 추가해 주시기 바랍니다. 그렇지 않으면 푸시 알림을 받지 못할 수 있습니다.

TL;DR：

· 바이낸스에서 약 643억 달러가 도난당했으며, 11개의 블록체인이 관련되어 있습니다. 4일도 채 되지 않아 공격자는 약 12,000개의 지갑을 사용하여 40,000건 이상의 거래를 수행했으며, 그 속도는 자금 세탁이 고도로 자동화되어 있음을 나타냅니다.

· 약 285억 달러가 동결되거나 압수되었으며(약 44%), 나머지 약 324억 달러는 여전히 도난과 관련된 주소에 있으며, 극소수는 현금화되었을 수 있습니다.

· 트론 체인이 자금 세탁의 주요 통로가 되었습니다: 6.846억 TRX가 약 7,700개의 주소로 분할되었고, 최소 7개의 크로스 체인 브리지를 통해 이더리움으로 전송되었습니다.

· 공격자는 크로스 체인 브리지를 통한 이동, DEX 교환, 대출 금고 접근, Coinjoin 혼합 등의 수단을 종합적으로 활용하여 추적 난이도를 크게 증가시켰습니다.

· 2025년 Bybit 사건의 경험을 참고하여, ETH는 먼저 BTC로 교환된 후 OTC 중개인을 통해 수개월 내에 현금화될 것으로 예상됩니다.

일, 사건 회고: 동결과의 경주

10월 29일, 세계 최대 암호화폐 거래소 중 하나인 바이낸스에서 643억 달러의 암호 자산이 도난당했으며, 11개의 서로 다른 블록체인이 관련되어 있습니다. 바이낸스는 공격이 한 엔지니어의 노트북이 해킹되면서 시작되었다고 밝혔습니다.

도난당한 자금 중 346억 달러(54%)는 스테이블코인(예: USDT, USDC)입니다. 스테이블코인 발행자는 동결할 수 있기 때문에, 공격자의 주요 임무는 이를 동결할 수 없는 자산(예: ETH 및 TRX)으로 교환하는 것이었습니다.

이더리움에서: 테더는 도난당한 USDT가 도착한 후 37분 만에 자금을 동결했습니다. 그러나 동결 전에 공격자는 Uniswap과 같은 분산형 거래소(DEX)에서 4.34억 USDT를 ETH로 교환하고, 5,990만 USDT를 Aave 대출 프로토콜에 담보로 제공하여 19,762 ETH를 대출받았습니다.

트론에서: 공격자는 테더가 나머지 자금을 동결하기 전에 SunSwap을 통해 2.34억 USDT를 TRX로 교환했습니다.

서클: 공격자가 자금을 교환하기 전에 8.23억 USDC를 모두 동결했습니다.

결과: 총 285억 달러가 동결되거나 압수되었으며, 약 78.6억 달러의 스테이블코인이 동결되기 전에 성공적으로 전환되었습니다. 같은 반 시간 내에 18,270 BTC가 19개의 주소로 분할되었으며, 현재까지 이동하지 않았습니다.

이, 트론이 주요 통로가 되어 자금이 이더리움으로 전송됨

도난 발생 약 5시간 후, 10월 30일 02:19 UTC, 하나의 분배 지갑이 공격자가 보유한 6.846억 TRX를 수백 개의 새로운 주소로 소액 전송하기 시작했습니다. 최종적으로 자금은 약 7,700개의 주소로 확산되었습니다.

크로스 체인 브리지: 이후 2.5시간 내에 공격자는 6개의 서로 다른 크로스 체인 브리지를 통해 자금을 처음으로 이동시켰습니다(대부분 테스트 금액). 거의 모든 TRX는 최종적으로 이더리움에서 ETH 형태로 지급되었습니다. 현재까지 최소 1.47억 달러가 크로스 체인을 통해 트론에서 이동되었습니다.

이더리움에서: 도착한 ETH는 새로 생성된 주소로 전달된 후 이동이 중단되었습니다. 현재 약 68,700 ETH가 약 850개의 작은 주소에 분포되어 있으며(대부분 10--100 ETH 보유), 9개의 최대 주소가 공격자의 89%의 ETH를 보유하고 있으며, 10월 30일 이후로 이동하지 않았습니다.

삼, 새로운 경로와 가속: 대출 금고와 USDD

10월 31일, 공격자는 새로운 자금 세탁 경로를 추가했습니다:

· 03:36 UTC부터 일부 TRX가 "동결 불가" 스테이블코인인 USDD로 교환되었습니다.

· 05:18 UTC부터 하나의 주소가 1.28억 TRX를 JustLend 대출 금고에 예치하고, 1개의 주소에서 16개의 새로운 주소로 인출했습니다 --- --- 송금과 수신 간에 직접적인 전송 연관이 없습니다.

속도 향상: 분배 지갑은 10월 30일 대부분의 시간 동안 시간당 <1,200만 TRX에서 10월 31일에는 시간당 최대 3,700만 TRX로 증가했습니다. 평양의 밤에도 지속적으로 운영되었으며, 가장 바쁜 시간(10월 31일 08:00 UTC)에는 공격자의 트론 지갑이 1시간 내에 약 1,300건의 거래를 수행했습니다.

10월 31일 저녁, FBI는 이 도난 사건을 TraderTraitor에게 귀속시키고 공격자의 주소를 공개했습니다.

사, 다중 체인 동작: NEAR, SOL, BTC 혼합 및 XRP

11월 1일, 트론 활동이 기본적으로 중단되었고 다른 체인이 활성화되었습니다:

· 07:00 UTC부터: NEAR가 새로운 계좌로 이동되었습니다.

· 08:19 UTC부터: 일부 정지된 ETH가 다시 이동하기 시작했습니다(각 거래 약 10 ETH).

· 09:38 UTC부터: 약 절반의 SOL이 새로운 주소로 이동되었고, 이후 소액이 분리되었습니다.

· 최초의 혼합: 05:55 UTC부터 트론 자금에서 BTC가 WabiSabi 프로토콜(Wasabi 지갑 등에서 사용되는 프로토콜)을 통해 Coinjoin 혼합을 시작했습니다. 그날 늦게 일부 ETH가 BTC로 교환되어 동일하게 혼합되었습니다. 11월 2일 기준으로 약 28 BTC(220만 달러)가 18회의 Coinjoin을 통해 세탁되었습니다.

11월 2일, 2.33억 XRP가 도난 이후 처음으로 이동되었으며, 6개의 새로운 주소로 전송되었습니다. 솔라나에서 공격자는 일부 SOL을 USDC로 교환한 후 다시 교환하고, 트론과 동일한 방식으로 대출 금고를 통해 이동했습니다.

오, 추적 난이도를 증가시키는 여섯 가지 전략

1. 자금을 수천 개의 새로운 주소로 분할: 추적해야 할 거래를 더 많이 생성합니다.

2. 최소 7개의 크로스 체인을 통해 블록체인 간 이동: 예치금과 지급은 서로 다른 체인에서 독립적인 거래입니다.

3. DEX에서 자산 교환: 추적되는 자산이 지속적으로 변화합니다.

4. 대출 금고로 점프: 송금 및 수신 주소 간에 직접적인 전송 연관이 없습니다.

5. Coinjoin으로 BTC 혼합: 여러 사용자의 코인을 합쳐 입력과 출력 간의 가시적 연관을 끊습니다.

6. 분할의 추가 이점: 소액으로 교환 가능하거나 가격에 영향을 주지 않고 크로스 체인; 수신 자금을 필터링하는 거래소에 덜 눈에 띄게; 공격자가 선택한 속도로 자금을 세탁할 수 있습니다.

육, 자금 세탁은 자동화되어 있는가?

자금 세탁 속도가 빠르다는 것은 "AI 에이전트가 자금을 이동시키고 있다"는 추측을 불러일으켰습니다. 그러나 증거는 일반적인 자동화를 나타냅니다: 고정된 시간, 설정된 금액, 맹목적인 재시도, 그리고 몇 시간 간격으로 새로운 전략을 단계적으로 도입하는 방식입니다. 인간의 작업 패턴과 유사한 일시 중지가 있기도 합니다.

트론에서 도난당한 자금은 약 32,000건의 거래를 통해 이동되었으며, 피크 시에는 시간당 약 1,300건(3초마다 1건)의 거래가 발생했습니다. 자금 세탁은 분명히 자동화되어 있지만, 현재 AI 에이전트가 결정을 내리는 증거는 발견되지 않았습니다.

칠, 자금은 지금 어디에 있는가? 현금화되었는가?

도난당한 643억 달러 중 285억 달러가 동결되었고, 약 324억 달러는 도난과 관련된 주소에 남아 있습니다. 대부분은 아직 세탁되지 않았으며(BTC 및 9개의 최대 주소의 ETH), 이 자금은 극히 가능성이 높게 북한이 보유하고 있습니다.

약 1,600만 달러가 2026년 9월 Bitget 취약점 수익(역시 TraderTraitor의 소행으로 여겨짐)을 보유한 주소로 전송되었습니다.

현금화에 관해서는: 극소수만 현금화되었을 가능성이 있습니다. 사용 가능한 돈으로 변환하려면 공격자는 거래 상대방(예: 중앙화 거래소 또는 OTC 중개인)을 통해야 하며, 그곳이 자금이 식별되고 차단될 수 있는 장소입니다.

팔, 다음에는 무엇이 일어날 것인가?

2025년 2월 Bybit 해킹 사건을 참고하면: 북한은 10일 내에 도난당한 49.9만 ETH를 모두 세탁했으며(주로 BTC로 교환됨), 현금화에는 수개월이 걸렸습니다. Elliptic은 Bybit 자금이 결국 트론에서 USDT로 전환되었고, 의심되는 OTC 거래 서비스를 통해 현금화되었다고 발견했습니다.

바이낸스 사건의 자금 세탁은 현재 느리게 진행되고 있습니다. 그 이유는 ETH와 BTC가 동결될 수 없고, 급하게 움직일 필요가 없기 때문입니다. 금액은 Bybit의 두 배 이상이며, 빠른 이동은 교환에서 큰 손실을 의미합니다. FBI는 공격자의 주소를 공개하였고, 모든 서비스 기관이 모니터링하고 있습니다.

예상되는 바: ETH는 여러 소액 거래를 통해 BTC로 교환된 후, 수개월 내에 OTC 중개인을 통해 현금화될 것입니다.

추가 동결은 더 어려워질 것입니다. 44%의 도난 자금을 동결할 수 있었던 것은 드문 일입니다(Bybit 사건에서는 약 3%에 불과함). 나머지 최상의 동결 기회는 운송 중 잠시 포착된 스테이블코인과 현금화 지점의 중앙화 서비스입니다.

아홉, 주요 용어 설명

원문 출처: Elliptic Insights, 저자 Dr. Tom Robinson. 본 문서는 번역 정리된 것으로, 정보 공유를 위한 것이며, 어떠한 투자 조언도 구성하지 않습니다.