ZachXBT, 바이비트 해킹 자금 1200만달러 추적…44만2000 USDT 동결 밝혀

바이비트에서 탈취된 약 15억달러(약 2조원) 상당의 자금 가운데 1200만달러(약 160억원) 이상이 분포한 주소 집단이 추적됐다. ZachXBT는 사적 대화에서 들은 자금 이동 계획을 블록체인 거래 기록과 대조해 단서를 찾았다고 밝혔다.

ZachXBT는 2025년 3월 6일 새 이더리움 주소에 34만9700 USDC를 보내 ‘Jimmy Green’이라는 별칭의 중개인과 거래했다. 조사 원금으로 투입한 자금이며, 거래마다 약 5% 손실을 감수했다고 설명했다. 조사 내용은 2026년 10월 5일 공개됐다.

그는 중개인과 나눈 대화에서 들은 자금 이동 계획을 이후 거래 기록과 맞춰 봤다. 이 과정에서 바이비트 해킹과 관련된 1200만달러 이상이 분포한 주소 집단을 파악했다고 밝혔다. 다만 주소와 거래 흐름만으로 지갑을 통제한 사람이나 거래 목적까지 증명할 수는 없다.

미국 연방수사국(FBI)은 2025년 2월 바이비트에서 약 15억달러 상당의 가상자산을 훔친 주체가 북한이라고 발표했다. FBI는 해당 활동을 ‘TraderTraitor’로 지칭하고, 탈취 자산이 비트코인(BTC)과 다른 가상자산으로 바뀐 뒤 수천 개 주소로 분산되고 있다고 경고했다.

ZachXBT는 ‘Jimmy Green’이 솔라나(SOL)로 자금을 옮길 계획을 미리 언급했고, 다음 날 실제 이동이 관찰됐다고 주장했다. 또 중개인 네트워크가 여러 북한 연계 해킹 사건에서 10억달러(약 1조3350억원) 이상을 세탁했다고 판단했다. 이 규모와 중개인의 역할은 ZachXBT의 주장으로, 공개된 미국 정부 문서에서 독립적으로 확인된 총액은 아니다.

추적과 동결, 자금 회수는 서로 다른 단계다. ZachXBT는 테더(USDT)가 자신이 확인한 주소 집단과 관련해 44만2000 USDT(약 5억9000만원)를 동결했다고 밝혔다. 추적액 전체가 동결된 것은 아니며, 동결이 자산 몰수나 바이비트 또는 피해자에 대한 반환을 뜻하지도 않는다.

USDT처럼 발행사가 있는 토큰은 발행사가 특정 주소의 전송을 제한할 수 있다. 반면 발행사가 없는 비트코인에는 같은 방식의 동결 기능이 없다. 자금이 다른 지갑이나 중개 플랫폼으로 옮겨가면 거래 연결을 다시 확인하고 자산을 법적으로 통제할 수 있는지도 따져야 한다.

미 재무부 금융범죄단속네트워크(FinCEN)는 2025년 5월 캄보디아 후이원 그룹(Huione Group)이 2021년 8월부터 2025년 1월까지 불법 수익 최소 40억달러(약 5조3400억원)를 세탁했다고 발표했다. 이 가운데 북한 사이버 해킹에서 나온 가상자산은 최소 3700만달러(약 494억원)였다. 40억달러는 여러 범죄 유형의 불법 수익 합계이고, 3700만달러는 그중 북한 연계 해킹 자금이다.

미 법무부는 2026년 6월 후이원 그룹 계열사가 사용한 클라우드 계정을 압수했다고 발표했다. 해당 계정은 후이원 개런티(Huione Guarantee)의 운영 기반으로 사용됐다. 미 재무부는 같은 해 9월 신비 개런티(Xinbi Guarantee)를 제재하며, 이 플랫폼이 2022년 무렵 출범한 뒤 디지털 자산과 법정화폐 거래를 합쳐 240억달러(약 32조400억원) 이상 처리했다고 밝혔다.

미 재무부는 후이원에 대한 조치 뒤 일부 범죄 조직이 신비로 활동을 옮겼다고 설명했다. 후이원 그룹과 신비 개런티를 겨냥한 정부 조치는 ZachXBT가 밝힌 USDT 동결과 별개다. 공개 자료는 세 사건의 주소나 관계자가 같다고 확인하지 않는다.

이번 조사는 중개망과 사적 대화가 자금 이동의 단서가 될 수 있음을 보여준다. 그러나 주소 집단을 찾아내거나 일부 토큰을 동결하는 것만으로 피해 자금 회수가 끝나는 것은 아니다.