1113차례 트론 송금…바이낸스 탈취금 자동화 흔적

바이낸스 탈취 자금이 트론(TRX) 지갑 한 곳에서 1,113차례 나뉘어 이동했다. 전송 간격 중앙값은 90초였다.

◇ 반복 송금은 확인됐지만 AI 사용 판단은 별개

엘립틱(Elliptic)은 10월 30일부터 11월 1일까지 공격자 측 주요 트론 지갑을 추적해 이같이 집계했다. 지갑이 거의 비기 전까지 가장 긴 전송 공백은 39분이었고, 송금은 평양의 밤 시간대에도 이어졌다.

엘립틱은 이 패턴이 사람이 일일이 송금하기보다 소프트웨어 자동화로 처리됐을 가능성을 보여준다고 분석했다. 전송액 대부분은 소수점 여섯 자리까지 불규칙했고, 받은 지갑은 대체로 약 2분 안에 자금을 다시 보냈다.

이더리움(ETH) 네트워크에서는 탈취한 체인링크(LINK)가 89차례, 페페(PEPE)가 94차례로 나뉘어 각각 약 36초 간격으로 매도됐다. 매도에 쓰인 새 지갑에는 거래 수수료용 이더리움 0.5개가 반복 입금됐다.

엘립틱은 온체인 기록만으로 자동화가 기존 스크립트인지 AI 에이전트인지 구분할 수 없다고 밝혔다. 소액 시험 거래나 공격자 소유 지갑 사이의 둥근 금액 이체 등 일부 단계에서는 사람의 판단이 개입한 흔적도 관찰했다고 덧붙였다.

같은 지갑에서 브리지 거래가 잇달아 실패한 양상은 실패 원인을 고치지 않은 채 재시도한 스크립트에 더 가까웠다고 엘립틱은 분석했다. 브리지는 서로 다른 블록체인 사이에서 자산을 옮기는 기능이다.

◇ 북한 지목과 피해 복구는 별도 지표

바이낸스는 사고 발생 시각을 10월 30일 오전 5시 5분(한국시간)께로 공지했다. 엘립틱은 공격자가 수시간에 걸쳐 11개 블록체인의 핫월렛에서 자산을 빼냈다고 추적했다.

엘립틱은 탈취된 가상자산을 64억3000만달러(약 8조6400억원)로 집계했다. 바이낸스의 초기 추산은 약 63억달러(약 8조4650억원)였으며, 두 집계의 세부 기준 차이는 공개되지 않았다.

미 연방수사국(FBI)은 10월 31일 바이낸스 탈취 배후로 북한을 지목하고 해당 활동을 ‘TraderTraitor’라고 불렀다.

FBI는 미국 비밀경호국(USSS)·국세청 범죄수사국(IRS-CI)과 함께 탈취 자산이 주로 이더리움으로 전환되는 흐름을 관찰했다고 밝혔다. 가상자산 사업자와 탈중앙화금융(DeFi) 서비스, 노드 운영자 등에는 관련 주소와 연결되거나 해당 주소에서 파생된 거래를 차단해 달라고 요청했다.

마이크로소프트($MSFT)는 10월 29일 공개한 분석에서 북한 관련 위협 행위자 8곳 가운데 3곳을 AI 활용 ‘운영화’ 단계로 평가했다. 이 평가는 위협 행위자의 일상적인 AI 활용 수준을 분류한 것이며, 이번 탈취에 AI가 쓰였다는 증거를 뜻하지 않는다.

바이낸스는 초기 조사에서 개발·운영 엔지니어의 노트북이 침해됐을 가능성을 제시했다. 후속 공지에서는 추가 침해 지점을 발견했다고 밝혔지만, 당시까지 지갑 개인키가 유출됐다는 증거는 찾지 못했다고 설명했다.

엘립틱은 11월 1일 오후 2시 50분(한국시간) 기준 28억5000만달러(약 3조8290억원)가 온체인에서 동결 또는 압수된 것으로 집계했다. 이는 엘립틱이 추산한 탈취액의 44%에 해당한다.

엘립틱에 따르면 동결·압수액의 94%는 스테이블코인이었고, 대부분 이더리움과 트론에서 동결됐다. 이 집계는 온체인에서 확인한 동결·압수액을 가리킨다.

바이낸스는 11월 1일 공지에서 피해 영향을 받은 자산의 약 95%를 회사 자금 등으로 보충했다고 밝혔다. 남은 5%는 유동성이 낮아 확보에 시간이 더 걸린다고 설명했으며, 출금은 보안 점검에 맞춰 단계적으로 재개한다고 공지했다. 보충률은 공격자 지갑에서 탈취 자금을 되찾은 비율과 다르다.