바이비트 탈취 ETH 50만개, 10~12일 만에 BTC로 전환

북한 연계 해킹 조직은 2025년 바이비트에서 탈취한 이더리움(ETH) 약 50만개를 10~12일 만에 비트코인(BTC)으로 모두 바꿨다.

미국 연방수사국(FBI)은 2025년 2월 26일 바이비트 자산 탈취의 책임이 북한에 있다고 밝혔다. 소소밸류 리서치(SoSoValue Research)는 30일 공개한 ‘바이비트에서 바이낸스까지 라자루스 자금세탁 경로’ 분석에서 당시 자금 흐름을 시간대별로 정리했다.

분석에 따르면 탈취 첫날에는 스테이킹 파생자산을 이더리움으로 바꾸고 자금을 여러 주소로 나눴다. 여러 주소로 분산하는 과정은 이후 자산 이동을 추적하기 어렵게 만드는 데 쓰였다.

탈취 5일째에는 토르체인을 통해 최소 16만 ETH가 이동했다. 9일째에는 하루 동안 6만2200 ETH가 더 옮겨져 누적 이동량이 약 34만3000 ETH에 이르렀다.

아캄(Arkham)은 전환 경로별로 토르체인 약 36만1000 ETH(72%), eXch 약 7만9700 ETH(16%), OKX Web3 지갑 약 4만 ETH(8%)를 집계했다. 세 경로는 교차체인 프로토콜, 무KYC 교환 플랫폼, 웹3 지갑으로 각각 성격이 다르다.

토르체인은 당시 거래에서 약 550만달러(약 74억원)의 수수료를 얻어 커뮤니티의 비판을 받았다. eXch는 2025년 5월 1일 서비스를 종료한다고 발표했다.

토르체인은 서로 다른 블록체인 사이에서 자산을 교환하는 데 쓰이는 프로토콜이다. 탈취 자산은 여러 주소로 나뉜 뒤 다른 블록체인의 비트코인으로 바뀌었다.

소소밸류 리서치는 비트코인에 스테이블코인 발행사처럼 특정 주소의 자산을 동결할 수 있는 중앙 발행자가 없다는 점을 전환 이유로 들었다. 테더(USDT)와 유에스디코인(USDC)은 발행사가 주소를 차단할 수 있어 동결 방식이 비트코인과 다르다.

해당 분석은 북한 연계 자금의 현금화 경로로 비트코인을 여러 주소로 나누고 혼합한 뒤, 트론 네트워크 기반 테더로 바꿔 지하 장외거래 중개인에게 넘기는 방식을 설명했다. 이는 이번 바이낸스 사고 자금의 이동이 같은 경로를 따랐다는 뜻은 아니다.

장외거래는 거래소의 공개 주문장을 통하지 않고 당사자 사이에서 자산과 대금을 정산하는 방식이다. 분석은 중개인이 탈취 자산을 다른 구매자에게 넘기고 별도 거래에서 받은 현지 통화를 해커가 지정한 사람에게 전달하는 식으로 온체인과 법정화폐 흐름이 갈릴 수 있다고 설명했다.

다국적 제재감시팀(MSMT)은 보고서에서 북한 연계 사이버 부대가 탈취 가상자산을 현금화하는 과정에 중국 금융체계를 이용한 사례를 소개했다. 보고서에는 은련카드와 상업은행 등이 언급됐다.

바이비트 최고경영자가 사고 약 두 달 뒤인 2025년 4월 공개한 집계에서 탈취 자금의 68.6%는 추적 가능했고, 27.6%는 추적이 어려운 상태였으며, 3.8%가 동결됐다. 추적 가능 비율과 동결 비율은 서로 다른 지표다.

자금 이동 기록을 따라갈 수 있다는 사실이 자산 동결이나 회수를 뜻하지는 않는다. 본지는 앞서 바이비트가 북한을 상대로 소송을 내고 자산 동결 명령을 확보한 과정을 보도했다.

소소밸류 리서치는 체이널리시스가 바이낸스 사고 피해액을 약 59억달러로 추산했고, 테더와 서클이 스테이블코인 약 24억달러를 동결했다고 전했다. 바이낸스는 직원의 노트북이 침해돼 무단 출금 거래가 제출됐을 가능성을 조사하고 있다.

바이낸스 사고의 배후가 라자루스 그룹이라는 판단은 공식적으로 확인되지 않았다. 본지는 라자루스 배후 가능성이 제기된 바이낸스 해킹 정황을 앞서 보도했다. 바이낸스는 수사기관과 블록체인 분석업체에 협력해 자금을 추적하고 가해자 신원을 확인한 뒤 기술 보고서를 공개할 예정이라고 밝혔다.