바이낸스 해킹 자금 4600만달러 이상 토르체인 거쳐 이동

바이낸스 해킹 자금이 토르체인을 거쳐 이동했고, 거래 처리 과정에서 플랫폼 수수료가 발생했다.

월스트리트저널(WSJ)은 체이널리시스(Chainalysis)의 추적 자료를 인용해 해커들이 10월 29일 바이낸스에서 탈취한 약 64억달러(약 8조7104억원)를 1만개가 넘는 지갑에 분산했고, 해킹 뒤 72시간 동안 4600만달러 이상이 토르체인을 거쳐 20만달러 이상의 거래 수수료가 발생했다고 보도했다.

미 연방수사국(FBI)은 이번 해킹을 북한 연계 조직 ‘트레이더트레이터(TraderTraitor)’의 소행으로 지목했다. 북한은 연루 의혹을 부인하고 있다.

해커들은 추적을 어렵게 하려고 자금을 여러 블록체인으로 옮기고, 서로 다른 가상자산으로 교환했다.

토르체인은 서로 다른 블록체인의 자산을 중앙 거래소를 거치지 않고 교환하는 서비스다. 해커들은 이 경로에서 탈취 자산을 비트코인(BTC) 등으로 바꿨다.

본지는 앞서 바이낸스 탈취 자금이 트론을 거쳐 이동했다는 분석을 전했다. 당시 보도는 토르체인을 포함한 브리지 네 곳을 자금 이동 경로로 지목했고, 이번 보도는 토르체인 경유액과 수수료를 제시했다.

같은 기간 약 400만달러(약 54억4400만원)는 비트코인 지갑 서비스 와사비월렛(Wasabi Wallet)의 거래 혼합 기능을 거쳤다. 여러 이용자의 거래를 묶어 자금의 출처와 이동 경로를 추적하기 어렵게 하는 방식이다. 토르체인 경유액과 와사비월렛 경유액은 같은 자금이 두 경로를 모두 거쳤는지 구분되지 않아 단순 합산할 수 없다.

FBI는 10월 31일 토르체인 노드 운영자를 비롯한 가상자산 서비스 제공업체에 해커 관련 주소의 거래를 차단하라고 촉구했다. 차단 요청 이후에도 토르체인과 와사비월렛을 통한 자금 이동은 이어졌다.

토르체인 개발자들은 탈중앙화 프로토콜의 특성상 개별 지갑이나 거래를 차단하는 기능이 없다고 설명했다. 특정 주소의 거래를 막을 권한이 없다는 입장이다.

반면 닉 칼슨(Nick Carlson) TRM랩스(TRM Labs) 선임 조사관은 토르체인이 상당 부분 중앙집중적으로 운영되면서 불법 거래에서 수익을 얻고 있다고 주장했다. 그는 탈중앙화라는 설명에 의문을 제기했다.

지난해 토르체인 기반 대출 서비스 투자자들은 개발자들이 관리자용 마스터키를 보유하고 있었다며 소송을 제기했다. 개발자들은 의혹을 부인하고 해당 관리 권한은 제거됐다고 설명했다.

토르체인 공동창업자는 네트워크가 111개 노드로 운영되고 있으며 자신은 더 이상 실질적인 운영에 관여하지 않는다고 밝혔다.

북한 연계 해커들은 지난해 바이비트 해킹 때도 토르체인을 통해 약 10억달러(약 1조3610억원)를 이동시켰다. 당시 토르체인 운영자들이 거둔 수수료는 최소 1200만달러(약 163억3200만원)로 집계됐다.

WSJ는 플랫폼 분석 자료를 인용해 와사비월렛 혼합 거래의 99% 이상을 단일 운영자가 처리한다고 보도했다. 혼합 기능을 운영하는 미국인 개발자 크루(Kruw)는 2024년 공개 발언에서 정부 규제보다 개인 금융 프라이버시를 중시한다고 밝혔고, 관련 활동이 법적 위험을 낳을 가능성도 인정했다. 체이널리시스는 크루가 거래 처리로 얻는 수익이 미미한 수준이라고 밝혔다.

테더(Tether)와 서클(Circle) 등 스테이블코인 발행사들은 해킹 관련 지갑을 동결했다. 체이널리시스 집계에서 11월 3일 기준 동결액은 약 28억달러(약 3조8108억원)였다. 이는 묶인 자산 규모로 반환액을 뜻하지 않으며, 추적업체들은 해커들이 여전히 약 30억달러(약 4조830억원)에 가까운 탈취 자산을 통제하고 있다고 추정했다.