바이낸스 경영진 나섰지만... 北 해커조직 20분만에 8조원 털었다

WSJ, 블룸버그가 전한 ‘그날밤 해킹’

바이낸스 로고 / 연합뉴스

상황은 급박했다. 세계 최대 가상화폐 거래소 바이낸스의 보안팀이 이상 징후를 포착했을 때 이미 10억달러 이상이 사라진 뒤였다. 경영진과 직원 약 100명이 몇 분 만에 긴급 화상회의에 접속했다. 그러나 화면 속 자금 유출은 멈추지 않았다. 피해액은 30억달러로 불어나더니 20분 뒤 60억달러를 넘어섰다. 임직원들은 계좌에서 돈이 빠져나가는 모습을 공포 속에 지켜볼 수밖에 없었다.

지난 29일(현지 시각) 바이낸스에서 최소 63억달러(약 8조4000억원)가 탈취된 사건의 긴박했던 대응 과정이 드러났다. 월스트리트저널(WSJ)과 블룸버그통신 보도를 종합하면, 거래소가 업계에 긴급 구조 요청을 보내는 동안 해커들은 훔친 코인을 다른 코인으로 바꾸며 동결망을 빠져나갔다. 보안업체들은 북한 해킹조직을 배후로 지목했다.

◇경영진 긴급 소집에도 못 막아…밤새 동결 요청

뉴욕 시각으로 29일 오후 4시 20분쯤 아랍에미리트 아부다비의 바이낸스 보안팀이 대규모 무단 인출을 감지했다. 즉시 고위 경영진에 보고하고 비상 대응팀을 소집했지만, 불어난 피해액을 확인해야 했다.

외부에서도 경보가 울렸다. 블록체인 거래를 감시하는 보안업체들의 자동 경보가 주요 투자자들에게 이상 거래를 알렸다. 오후 4시 32분에는 소셜미디어 X에 “확인되지는 않았지만 바이낸스에서 대규모 해킹이 발생했을 가능성이 있다”는 글이 올라왔다. 6분 뒤 비영리 보안단체 SEAL의 연구원 테일러 모나한이 스테이블코인 발행사 테더에 긴급 연락했다.

스테이블코인은 달러 등에 가치를 연동한 가상화폐다. 테더·서클 같은 발행사는 특정 지갑에 담긴 자사 코인의 이동을 막을 수 있다. 해커가 다른 자산으로 바꾸기 전에 묶어두는 것이 급선무였다. 바이낸스도 TRM랩스·체이널리시스·엘립틱 등과 도난 자금이 들어간 지갑 주소를 추려 발행사들에 동결을 요청했다.

경영진은 밤새 업계 관계자들에게 전화를 돌렸다. 임신 약 7개월 반이었던 이허 공동 최고경영자(CEO)는 아랍에미리트에서 밤을 지새우며 대응했고, 홍콩에 있던 리처드 텅 공동 CEO도 잠을 이루지 못했다. 트럼프 대통령 일가가 참여한 월드리버티파이낸셜도 바이낸스로부터 지갑 목록을 받아 도난 자산 약 2700만달러를 동결했다.

하지만 해커들도 움직였다. 탈취한 스테이블코인 등을 시장 가격보다 비싼 값을 치르면서까지 이더리움으로 바꿨다. 교환 과정에서 손해를 보더라도 동결을 피하려는 의도로 풀이됐다. 비트코인과 이더리움에는 발행사가 일괄적으로 거래를 차단하는 기능이 없다.

해커들은 오후 5시쯤에는 대출 플랫폼 아베에 스테이블코인 6000만달러어치를 담보로 맡기고 약 4460만달러 상당의 이더리움을 빌렸다. 훔친 코인을 직접 팔지 않고 담보로 넣어 다른 코인을 받아간 것이다. 담보가 동결되더라도 이미 옮긴 이더리움까지 같은 방식으로 묶을 수는 없었다.

바이낸스는 그날 밤 약 30억달러가 동결됐다고 발표했다. 그러나 TRM랩스는 해커들이 약 24억달러를 동결하기 어려운 가상자산 형태로 빼돌렸다고 분석했다. 대출 플랫폼들도 의심 계정의 대출을 차단했지만 자금 일부는 빠져나간 뒤였다.

◇과거 범행 자금과 섞이다 남긴 ‘북한의 흔적’

공격의 출발점은 직원의 노트북이었다. 바이낸스는 개발·운영 엔지니어의 노트북이 해킹돼 무단 인출이 가능해졌다고 밝혔다. 해커들은 거래 승인 시스템의 허점을 이용해 여러 블록체인 지갑에서 자산을 빼냈다. 다른 내부 시스템도 침해됐을 가능성을 조사하고 있다.

배후를 추적하는 단서 역시 돈의 흐름에서 나왔다. 가상화폐 지갑에 소유자의 실명이 표시되지는 않지만, 거래 내역은 공개 장부인 블록체인에 남는다. 분석업체들은 도난 자금이 거친 지갑과 거래 방식을 과거 공격 사례와 대조했다.

해커들은 소액을 먼저 보내 지갑이 정상 작동하는지 확인한 뒤 큰돈을 옮겼다. 여러 지갑 사이에서 자금을 반복적으로 돌려 추적도 교란했다. 그런데 지난달 비트겟 해킹으로 탈취한 자금과 이번 바이낸스 자금이 뒤섞이는 정황이 포착됐다. 돈을 숨기려던 움직임이 두 사건을 연결하는 단서를 남긴 것이다.

TRM랩스와 팽골린인텔리전스 등은 자금 흐름과 공격 패턴을 분석해 북한의 국가 지원 해킹조직 ‘트레이더트레이터’를 배후로 지목했다. 지난해 바이비트에서 약 15억달러를 탈취한 사건에서도 미 연방수사국(FBI)이 지목했던 조직이다.

바이낸스가 출금을 중단하자 이용자들 사이에서는 거래소 FTX 붕괴를 떠올리는 반응도 나왔다. 하지만 바이낸스는 자체 자금과 이용자자산보호기금 등으로 손실을 메우겠다고 밝혔다. 도둑맞은 자산을 회사 돈으로 채워 고객에게 손실을 전가하지 않겠다는 뜻이다. 31일에는 탈취된 토큰의 90%를 벌충했으며 11월 1일부터 출금을 재개할 예정이라고 공지했다.

사건 약 일주일 전 “어떤 가상화폐 지갑도 100% 안전하지 않다”고 경고했던 창업자 자오창펑은 이번에는 고객을 안심시켜야 했다. 그는 “모든 이용자 자금이 전액 보상될 것으로 본다. 이용자 자금은 안전하다”고 했다.