북한이 세계 최대 가상화폐 거래소인 바이낸스에서 탈취한 자금을 세탁하는 과정에서, 관련자들이 밈코인을 직접 만들어 가상화폐 지갑 사이의 자금 이동에 이용했다고 블록체인 분석업체 엘립틱이 밝혔습니다. 엘립틱은 9일 공개한 분석 보고서에서 이들이 지난 5일부터 7일 사이 니어(NEAR) 블록체인에서 밈코인을 최소 6종 만들었다고 설명했습니다.
이를 거쳐 이동한 탈취 자산은 가상화폐 니어 약 11만7천 개로, 분석 당시 시세로 약 43만 달러 규모입니다. 밈코인은 인터넷상의 농담이나 동물, 유명인 등을 소재로 만든 가상화폐로, 온라인 관심과 투자 열기에 따라 가격이 움직입니다.
엘립틱은 이번에 발견된 밈코인들이 실질적인 용도 없이, 세탁망 내부의 자금 이동을 위해서만 만들어졌다고 분석했습니다. 수법은 이렇습니다.
먼저 새 밈코인과 니어를 서로 바꿀 수 있는 '거래 풀'을 만들었습니다. 거래 풀은 두 종류의 가상화폐를 모아 놓고 서로 교환할 수 있게 한 곳입니다.
이어 탈취한 니어를 가진 지갑에서 니어를 내고 밈코인을 샀습니다. 같은 세탁망의 다른 지갑에서는 이 밈코인을 팔고 니어를 받아 갔습니다.
이렇게 하면 두 지갑 사이에 직접 돈을 보낸 기록 대신, 각각 거래 풀에서 코인을 사고판 기록만 남습니다. 돈을 받은 지갑은 겉으로 보기에 정상적인 투자 거래로 수익을 얻은 것처럼 보일 수 있다는 설명입니다.
엘립틱은 밈코인 매수에 쓰인 탈취 니어와 거의 같은 양이 이후 수령 지갑들에서 빠져나갔다고 밝혔습니다. 이 가운데 상당 부분은 달러 등에 가치를 연동한 가상화폐로 바뀌었거나, 다른 가상화폐 거래망으로 자산을 옮겨 주는 서비스로 이동한 것으로 나타났습니다.
자금 세탁 목적을 뒷받침하는 특징도 제시됐습니다. 6종의 모든 매도 거래가 세탁망 소속 지갑에서 이뤄졌습니다.
밈코인들은 만들어진 지 몇 시간 안에 집중적으로 거래됐고, 지난 8일 이후에는 거래가 없었습니다. 밈코인 한 종류를 발행하는 비용은 당시 약 90달러에 불과했습니다.
적은 비용으로 새 밈코인을 반복해서 만들어 쓰고 버릴 수 있다는 지적입니다. 엘립틱은 모든 거래가 블록체인에 공개적으로 기록돼 자금 흐름을 계속 따라갈 수 있지만, 중간 단계가 늘어날수록 자금의 연결 관계를 확인하는 데 시간이 더 걸린다고 평가했습니다.
북한 추정 세력이 추적에 걸리는 시간을 늘려, 관련 지갑이 탈취 자금과 연결된 것으로 파악돼 거래가 차단되기 전에 돈을 다른 곳으로 옮기려는 수법이라는 설명입니다. 엘립틱은 거래소와 금융기관에 거래 풀에서 들어온 자금이라는 이유만으로 탈취와 무관하다고 판단하지 말라고 권고했습니다.
특히 새로 만들어진 밈코인을 몇몇 지갑만으로 사고파는 거래를 주의해야 한다고 덧붙였습니다. 이번 바이낸스 해킹은 지난달 29일 약 4시간에 걸쳐 11개 가상화폐 거래망에서 자산이 빠져나간 사건입니다.
엘립틱이 집계한 탈취액은 약 64억3천만 달러로, 가상화폐 탈취 사건으로는 사상 최대 규모입니다. 미국 연방수사국(FBI)은 지난달 31일 북한이 이번 사건에 책임이 있다고 발표했습니다.
FBI는 해당 북한 사이버 활동을 '트레이더트레이터'로 지칭하고, 관련 지갑 주소를 공개해 연계 거래를 차단해 달라고 요청했습니다. 엘립틱의 별도 전체 자금 추적 자료에 따르면, 9일 오후 기준 다른 탈취 자산에서 비트코인으로 바뀐 규모는 약 2억2천500만 달러입니다.
약 28억5천만 달러는 동결되거나 압수됐고, 약 30억 달러는 사건과 연계된 주소에 남아 있습니다. 엘립틱은 실제로 현금화된 규모는 아직 미미할 가능성이 크다고 평가했습니다.
엘립틱은 탈취 자산을 실제로 쓸 수 있는 돈으로 바꾸려면 거래소나 장외 중개업자 등이 필요하며, 이 단계에서 자금을 식별하고 차단할 기회가 있다고 설명했습니다.
