올해 74억달러로 추산된 북한 연계 가상자산 탈취

북한 연계 해커들이 올해 10월 29일까지 가상자산 74억달러(약 9조9752억원)를 탈취한 것으로 추산됐다. 올해 전 세계 가상자산 해킹 피해액의 85%가 북한 연계 사건으로 분류됐다.

연간 추산과 분류 기준

TRM 랩스(TRM Labs)는 10월 30일 공개한 분석에서 2017년 이후 북한 연계 가상자산 탈취액을 128억달러(약 17조2544억원)로 집계했다. 올해 누적액은 74억달러(약 9조9752억원)다. 집계 기준일은 10월 29일이다.

TRM 랩스는 올해 전 세계 가상자산 해킹 피해액의 85%를 북한 연계 사건으로 분류했다. 집계가 연말 전에 끝난 만큼 올해 전체 확정 피해액은 아니다.

분류 방식도 총액에 영향을 준다. TRM 랩스는 비트겟(Bitget) 공격을 북한 소행으로 확정하지 않았지만 북한 연계 사건 합계에는 포함했다.

바이낸스 사고에서 드러난 공격 경로

바이낸스(Binance)에서 발생한 사고도 올해 피해액을 키웠다. TRM 랩스는 10월 30일 오전 5시 5분(한국시간)부터 약 20분 사이 10개 블록체인에서 약 63억6000만달러(약 8조5733억원)가 바이낸스 지갑 밖으로 이동했다고 추적했다. 바이낸스는 11월 3일 초기 조사에서 사고 영향 규모를 63억4000만달러(약 8조5463억원)로 밝혔다. 집계 범위와 평가 시점이 달라 두 수치를 하나의 확정 피해액으로 합칠 수 없다.

바이낸스는 공격자가 내부 지갑 서명 서비스에 무단 접근해 정상 출금 절차 밖에서 거래를 실행했다고 초기 조사에서 설명했다. 가짜 채용 면접, 악성 소프트웨어 다운로드, 내부 도구와 기기 침해가 공격 과정에 포함됐다.

공격자는 이더리움(ETH)의 EIP-7702 기능을 이용해 핫월렛이 자신이 통제하는 스마트컨트랙트에 실행 권한을 위임하도록 했다. EIP-7702는 외부 계정이 스마트컨트랙트에 일부 실행 권한을 맡길 수 있게 하는 기능이다. 핫월렛은 인터넷에 연결돼 출금 처리 등에 쓰이는 지갑이다. 바이낸스는 지갑 개인키가 유출됐다는 증거는 찾지 못했다고 밝혔다.

이번 사건은 스마트컨트랙트 코드의 취약점을 직접 파고든 공격과는 구분된다. 공격 과정에는 악성 소프트웨어가, 자산 이동에는 공격자 측 스마트컨트랙트가 쓰였다. 본지는 앞서 공격 준비가 자산 탈취보다 최소 36시간 앞서 시작됐다는 TRM 랩스 분석을 보도했다.

TRM 랩스는 2022년 이후 공격 유형을 분류한 북한 연계 사건 100건 가운데 13건이 코드 취약점을 이용했다고 분석했다. 이 13건의 피해액은 북한 연계 전체 탈취액의 약 1%로 집계됐다. 바이낸스 사건을 포함하면 키·서버·서명 시스템 등 인프라를 겨냥한 공격이 탈취액의 88%를 차지했다.

미 연방수사국(FBI)은 바이낸스 사건의 책임 주체로 북한을 지목하고 이번 사이버 활동을 트레이더트레이터(TraderTraitor)라고 불렀다. 김여정(Kim Yo Jong) 노동당 중앙위원회 부장은 11월 2일 성명에서 미국의 판단을 정치적 도발이자 “터무니없는 주장”이라고 부르며 북한의 연관성을 부인했다(성명).

동결액과 고객 잔액 보충은 다르다

TRM 랩스는 10월 30일 오전 9시 30분(한국시간) 기준 바이낸스 사건에서 약 27억달러(약 3조6396억원)가 동결됐다고 집계했다. 같은 기준 시각, 공격자는 발행사가 일방적으로 동결할 수 없는 비트코인(BTC)과 이더리움 약 24억달러(약 3조2352억원)어치를 보유한 상태로 분석됐다.

바이낸스는 11월 3일 동결·차단된 자산을 약 28억5000만달러(약 3조8418억원)로 밝혔다. 이 금액은 TRM 랩스가 제시한 동결액과 기준 시점·집계 범위가 다르다.

BitOK은 약 27억9000만달러(약 3조7609억원)를 동결·소각·압수 자산으로 묶어 집계했다(조사). 동결·차단·압수 수치를 탈취 자산 회수액과 같은 뜻으로 바꿔 쓸 수 없다.

바이낸스는 11월 4일 자체 자금으로 피해 자산의 약 98%를 보충했다고 발표했다. 이는 고객 잔액을 채운 비율이며, 탈취 자산을 되찾은 비율은 아니다.

바이낸스는 6일 오후 1시(한국시간)부터 추가 자산 출금을 보안 점검에 따라 순차 재개하겠다고 공지했다. 공지한 시점은 추가 출금의 순차 재개 시작 시각으로, 전체 서비스의 정상화 시점을 뜻하지 않는다.