세계 최대 가상자산 거래소 바이낸스에서 사상 최대 규모인 64억달러(약 8조8000억원)를 훔친 북한 해킹 조직이 탈취한 솔라나 1300억원어치를 모두 비트코인으로 바꾼 것으로 나타났다고 매일경제가 6일 인터넷판으로 보도했다. 매체에 따르면 북한은 세탁 중인 자금의 통제권을 중국계 전문 자금세탁 조직에 이미 넘겼다. 북한 정찰총국 산하 해킹 조직이 훔친 가상자산이 중국 암시장의 자금세탁망을 타고 빠르게 현금화되고 있는 셈이다. 매체는 이를 두고 북한의 사이버 범죄와 중국 암시장 자본이 결탁한 '북·중 어둠의 금융 카르텔'이 국제 제재망을 비웃듯 가동되고 있다고 전했다.

매일경제는 글로벌 가상자산 분석업체 일립틱(Elliptic)을 인용해 북한 해커들이 바이낸스에서 훔친 9400만달러(약 1300억원) 상당의 솔라나 전량을 비트코인으로 바꿨다고 전했다. 북한의 초기 범죄 지갑에 남은 솔라나는 430개(약 6000만원)뿐이다.

일립틱에 따르면 북한은 훔친 솔라나를 잘게 쪼개 여러 코인 거래망을 거치게 한 뒤 비트코인 약 900개(약 1000억원)로 모두 바꿨다. 테더 같은 달러 연동 코인은 발행사가 계좌를 묶을 수 있다. 반면 비트코인은 운영 주체가 없어 강제로 동결하기 어렵다. 북한이 이 허점을 노린 것이다.

일립틱은 북한과 중국 암시장 조직의 공조에 주목했다. 일립틱은 "미국 당국이 동결한 44%를 뺀 나머지 자금 중, 지갑에 가만히 묶여 있는 비트코인 1만 8270개는 북한이 직접 쥐고 있을 가능성이 크다"면서도 "실시간으로 쪼개지고 섞이며 움직이는 돈은 이미 '중국계 전문 자금세탁 네트워크'로 넘어갔을 것"이라고 분석했다.

중국계 자금세탁 조직은 거래소 장부를 거치지 않고 거액의 가상자산을 현금으로 몰래 바꿔주는 장외거래(OTC) 브로커다. 북한은 지난해 바이비트 거래소를 털었을 때도 이들 조직을 거쳐 현금화했다. 일립틱은 "이번에는 전보다 더 빠른 속도로 탈취 직후 신속하게 중국계 전문 세탁상들에게 실행권을 넘겨 실시간 환전에 나섰다"고 설명했다.

세탁 과정에서 사설 자금세탁 플랫폼이 문을 닫는 일도 벌어졌다. 북한 해커는 코인을 무작위로 섞어 출처를 감추는 사설 서비스인 '프라이버시 캐시'에 120만달러(약 16억원) 상당의 코인을 밀어 넣었다. 북한의 장물이 들어온 사실이 확인되자 플랫폼 운영진은 4일 밤 신규 입금 기능을 중단했다. 미국 정부의 제재 대상에 올라 서비스가 퇴출당할 것을 우려한 조치다.

바이낸스 해킹은 미국 동부시간으로 지난달 29일 오후 발생했다. 블록체인 분석업체 체이널리시스에 따르면 이날 오후 4시20분께부터 여러 블록체인에서 바이낸스의 핫월렛(인터넷에 연결된 지갑) 자금이 빠져나가기 시작했다. 탈취는 약 20분 만에 이뤄졌다.

빠져나간 자산은 이더리움 계열 약 38억달러, 비트코인 1만8270개(약 15억달러), 트론 계열 약 6억2800만달러, 리플(XRP) 약 2억9600만달러, 솔라나 약 9600만달러 등이다. 지난해 2월 북한이 바이비트에서 훔친 15억달러를 넘어 가상자산 역사상 최대 규모의 탈취다.

바이낸스는 처음에 한 소프트웨어 엔지니어의 노트북이 해킹돼 무단 인출이 이뤄졌다고 설명했다. 체이널리시스는 공격자가 유효한 서명 권한을 이용해 바이낸스의 핫월렛이 공격자가 심어둔 코드를 실행하도록 만든 뒤 자산을 빼낸 것으로 분석했다.

해커들은 탈취 직후부터 자금 세탁에 나섰다. 체이널리시스에 따르면 해커들은 먼저 스테이블코인 5억달러어치를 거래용 지갑으로 옮겼다. 이 가운데 3억2500만달러어치를 약 20분 동안 2억8500만달러어치의 이더리움으로 바꿨다. 발행사가 동결할 수 있는 스테이블코인을 서둘러 처분한 것이다. 해커들은 이후 수천 건의 거래를 일으키며 자금을 여러 주소로 돌렸다. 체이널리시스는 거래가 자동화된 패턴을 보였다고 분석했다. 일립틱도 탈취 자금이 수천 개의 지갑을 거쳤다며 자동화된 세탁의 흔적이 있다고 밝혔다.

배후로는 곧바로 북한이 지목됐다. 체이널리시스는 사건 다음 날인 지난달 30일 북한 해킹 조직 '트레이더트레이터(TraderTraitor)'의 소행으로 판단했다. 바이낸스에서 빠져나간 자금이 지난 9월 가상자산 거래소 비트겟에서 탈취된 자금과 블록체인상에서 섞인 점이 근거가 됐다. 미국 연방수사국(FBI)도 지난달 31일 경보를 내고 트레이더트레이터를 범인으로 지목했다. FBI는 관련 지갑 주소를 공개하고 가상자산 업체들에 이 주소와 연관된 거래를 차단해 달라고 요청했다.

북한은 관여를 부인했다. 북한은 3일 조선중앙통신을 통해 공개한 김여정 담화에서 미국이 또다시 북한을 해킹 사건과 엮는 도발을 했다며 FBI의 발표를 반박했다. 북한은 2025년 바이비트 해킹에 대한 FBI의 판단도 부인했다.

탈취 자금 일부는 동결됐다. 달러 연동 코인 발행사인 테더는 사건 당일 오후 5시1분 관련 지갑을 동결했다. 서클도 3분 뒤 동결에 나섰다. 체이널리시스는 3일 오전 기준 약 28억달러가 동결됐다고 밝혔다.

바이낸스는 이용자 피해를 모두 떠안기로 했다. 바이낸스는 지난달 30일 "이용자가 아니라 바이낸스가 탈취 자금의 재정적 영향을 흡수하겠다"고 발표했다. 바이낸스는 다음날인 31일 손실액의 90%를 보전했다고 밝혔다. 나머지 10%는 거래량이 적은 토큰이라고 설명했다. 바이낸스는 피해 보전에 이용자 보호 기금(SAFU)과 선물 보험기금, 비트코인 준비금, 회사 자금을 동원했다. 바이낸스는 이달 1일부터 이더리움과 테더, USDC 등 주요 자산의 출금을 다시 허용했다. 바이낸스는 고객 자산을 충분히 보유하고 있음을 보여주는 준비금 증명 자료도 공개하겠다고 밝혔다.