엘립틱 보고서 공개
6종 발행해 43만 달러 이동
투자 차익 낸 것처럼 위장
지갑 2만 개로 쪼개 세탁

바이낸스 로고. 로이터연합뉴스

북한 해커들이 바이낸스에서 훔친 가상자산을 세탁하려고 아무도 사지 않는 밈코인을 직접 만들어 사용하고 폐기한 것으로 확인됐다.

10일 블록체인 분석업체 엘립틱이 9일(현지시간) 공개한 보고서에 따르면 북한 연계 자금세탁 조직은 지난 5~7일 니어(NEAR) 블록체인에서 밈코인 6종을 새로 발행했다. 이 코인들을 거쳐 간 탈취 자금은 약 11만 7000니어, 43만 달러(약 5억 8000만 원) 규모다.

해커들은 새 코인과 니어를 맞바꿀 수 있는 거래 풀을 탈중앙화거래소(DEX)에 열었다. 탈취 자금이 든 지갑이 이 풀에서 밈코인을 사면, 거래 이력이 없는 다른 지갑이 밈코인을 되팔아 니어를 빼 갔다. 훔친 돈이 지갑끼리 곧바로 오간 기록이 남지 않아 돈을 빼 간 쪽은 밈코인으로 차익을 낸 투자자처럼 보인다.

엘립틱 톰 로빈슨 공동창업자는 보고서에서 “북한 자금세탁범들은 아무도 사려 하지 않는 토큰을 만들어 훔친 자금의 이동을 위장하는 다른 쓰임새를 찾아냈다”고 밝혔다.

코인들은 발행 몇 시간 만에 탈취 자금으로 집중 거래된 뒤 버려졌다. 6종 모두 지난 8일 이후 거래가 끊겼고, 4종은 발행자가 거래 풀에 남은 자금까지 회수했다. 사고판 쪽도 세탁 조직 지갑뿐이었다.

발행 지갑 6곳 중 5곳은 직전 코인을 팔던 지갑에서 발행 2~13분 전 자금을 받았다. 코인 하나를 만드는 데 드는 비용은 약 90달러에 그쳤다. 엘립틱은 이 수법이 자금을 감추기보다 추적 시간을 늘리는 데 목적이 있다고 분석했다.

북한은 작년 2월 바이비트 해킹 때도 트론 블록체인에서 가치 없는 토큰을 만들어 최소 2400만 달러(약 323억 원)를 옮겼다.

해커들은 밈코인 외에도 범행 이후 지갑 2만여 개와 블록체인 16개를 오가며 6만 5000건 넘는 거래를 벌였다. 탈취한 다른 자산을 비트코인으로 바꾼 물량은 약 3000BTC(2억 2500만 달러)에 이르고, 일부는 자금 출처를 섞는 믹서 ‘토네이도캐시’에도 들어갔다.

엘립틱은 해커들이 남은 이더리움도 비트코인으로 잘게 바꾼 뒤 수개월에 걸쳐 장외(OTC) 중개업자를 통해 현금화할 것으로 내다봤다. 바이비트 탈취 자금도 중국계로 추정되는 장외 거래 서비스에서 현금화됐다.

한편 지난달 29일 바이낸스에서 빠져나간 가상자산은 64억 3000만 달러(약 8조 6000억 원)로 집계됐다. 미국 연방수사국(FBI)은 북한 해킹조직 ‘트레이더트레이터’를 범인으로 지목했다.

바이낸스에 따르면 해커들은 채용 담당자를 사칭해 엔지니어에게 가짜 면접 과제 파일을 내려받게 하는 등 지난 6월부터 내부망에 침투했다.

탈취액 가운데 28억 5000만 달러는 동결·압수됐고, 약 30억 달러는 아직 해킹 연계 주소에 남아 있다. 동결 비율은 44%로, 바이비트 해킹 당시(약 3%)보다 높다.

박동해 기자 eastsea@busan.com