|
이번 수법은 일반 투자자들을 속여 훔친 가상자산을 정상적인 자금으로 바꾸려는 목적이 아니라, 자금 이동 경로를 위장해 불법적으로 취득한 자산이 최종적으로 어디로 흘러갔는지 추적하기 어렵게 만드는 데 초점을 맞췄다. 엘립틱이 확인한 6개 토큰은 FUK, OLCCL, MEILI, MMLI, DABI, SINU다. 이들 토큰은 발행 직후 몇 시간 동안 활발하게 거래됐지만 이후 사실상 방치됐다.
해커들은 바이낸스에서 탈취한 NEAR 토큰을 이용해 탈중앙화거래소(DEX)에서 새로 만든 밈코인을 매수했다. 이 과정에서 거래 상대편에 있는, 기존 해킹 사건과 연결되지 않은 별도의 지갑으로 탈취한 NEAR 토큰을 이동시킬 수 있었다.
이를 통해 자금 이동 경로를 복잡하게 만들고 해킹 사건과의 연관성을 감추려 한 것이다. 현재까지 탈취된 NEAR 가운데 약 4400만달러 상당은 이동하지 않은 상태로 남아 있다.
밈코인에는 전형적인 밈코인 스타일의 로고가 사용됐다. 한 토큰에는 분홍색 리본을 단 원숭이 그림이 들어갔고, 다른 토큰에는 ‘일론 2028 대통령(Elon 2028 President)’이라는 문구와 함께 일론 머스크 테슬라 최고경영자(CEO)의 이미지가 사용됐다. 다만 엘립틱은 머스크 CEO가 해당 토큰과 관련돼 있다는 정황은 전혀 없다고 밝혔다.
엘립틱의 창업자이자 수석과학자인 톰 로빈슨은 이날 블로그 게시글에서 이러한 수법이 효과적인 이유를 설명했다. 그는 “수천 개의 밈코인이 발행되고 거래되지만 대부분 며칠 만에 사라진다”며 “만화 캐릭터 로고를 단 단명 토큰 하나가 더 등장한다고 해서 별다른 관심을 끌지는 않는다”고 말했다. 이어 “새로운 밈코인을 거래한 기록이 있는 지갑은 자금의 출처를 확인하지 않는 한 자금세탁범보다는 투기적 투자자의 지갑처럼 보인다”고 설명했다.
이 같은 자금세탁 수법은 지난해 또 다른 대규모 해킹 사건 이후 처음 확인됐다. 당시 북한 해커로 의심되는 공격자들은 가상자산 거래소 바이비트(Bybit)에서 탈취한 자금 가운데 최소 2400만달러를 밈코인을 통해 세탁했다.
지난 10월29일 발생한 바이낸스 해킹 사건 역시 미국 당국은 북한의 소행으로 지목했다. 미국 당국은 북한 해킹 조직인 트레이더트레이터(TraderTraitor)가 이번 공격을 주도한 것으로 보고 있다.
바이낸스 해킹 이후 탈취 자금이 이동하는 복잡한 경로는 시장의 큰 관심을 끌고 있다. 해커들은 자금의 출처를 감추기 위해 수천 개의 디지털 지갑과 여러 블록체인을 거쳐 탈취 자산을 이동시켰다. 최근 블록체인 분석업체 체이널리시스(Chainalysis)는 탈취 자금의 현금화 과정에서 중국계 자금세탁 네트워크가 수행한 역할에 주목하기도 했다.
이번 사건에서 특히 눈에 띄는 점은 자금세탁 거래가 고도로 자동화됐다는 사실이다. 엘립틱이 지난 11월 7일 발표한 자료에 따르면 해킹 발생 후 일주일도 지나지 않아 자금세탁 과정에서 2만 개가 넘는 지갑이 사용됐고, 최소 6만5000건의 거래가 실행됐다. 이는 평균적으로 약 30초마다 새로운 지갑 하나가 사용되고, 10초마다 거래 한 건이 처리된 셈이다.
이처럼 빠른 속도로 수많은 지갑과 거래를 동원하는 방식은 탈취 자산의 흐름을 추적하고 차단하는 작업을 더욱 어렵게 만든다.
엘립틱에 따르면 현재 약 31억3000만달러의 탈취 자산이 해킹 사건과 연관된 지갑에 남아 있다. 대부분 비트코인과 이더리움으로 보유돼 있다. 해커들이 탈취 자산을 가능한 한 많이 비트코인과 이더리움으로 교환한 것은 이들 자산을 발행자가 동결할 수 없기 때문인 것으로 분석된다.
이를 통해 해커들은 자금세탁을 진행할 수 있는 시간을 훨씬 더 길게 확보할 수 있다.
해커들은 이러한 자산 교환 과정에서 토르체인(THORChain), 프라이버시 캐시(Privacy Cash), 와사비 월렛(Wasabi Wallet) 등 프라이버시 보호에 초점을 맞춘 탈중앙화 네트워크와 서비스를 활용했다.
리처드 텅 바이낸스 공동 최고경영자(CEO)는 이날 생중계 방송에서 탈취된 가상자산 가운데 추가로 28억5000만달러가 동결되거나 이동이 차단됐다고 밝혔다. 이 가운데 상당 부분은 스테이블코인으로 구성돼 있다. 테더(Tether)나 서클인터넷그룹(Circle Internet Group)과 같은 스테이블코인 발행사는 필요할 경우 개입해 해당 토큰이 실제 현금으로 교환되는 것을 차단할 수 있다.
이러한 특성 때문에 비트코인이나 이더리움과 달리 스테이블코인으로 보유된 탈취 자산은 발행사의 협조를 통해 동결할 수 있다. 엘립틱이 집계한 지난 9일 기준 자료에서도 탈취 자산 중 상당 부분이 이미 동결됐거나 해킹 관련 지갑에 남아 있는 것으로 나타났다.
여기서 동결된 자산은 토큰 발행사가 이미 사용을 차단한 자산을 뜻한다. 나머지 자산은 해킹 사건과 연관된 지갑에 보관돼 있으며, 실제 현금화된 금액은 극히 적은 것으로 추정된다. 다만 자산별 금액은 시장가격 변동에 따라 달라질 수 있다.
이번 사건은 해커들이 탈취 자산을 단순히 다른 지갑으로 옮기는 수준을 넘어 밈코인 발행, 탈중앙화거래소 거래, 프라이버시 보호 서비스 등을 복합적으로 활용해 자금 추적을 회피하고 있음을 보여준다.
