20분 만에 사라진 8조 원 바이낸스 해킹 뒤에 숨은 북한 해커의 충격적인 계산서

단 20분 8조 원이 증발한 밤
10월 29일 오후 미국 동부 시간 4시 20분쯤이었어요
세계 최대 가상자산 거래소 바이낸스의 지갑에서 이상 신호가 터졌어요
공격자는 약 64억 달러 규모의 자산을 빼내기 시작했어요
원화로 바꾸면 약 8조 5491억 원에 달하는 금액이에요
가상자산 역사상 가장 큰 탈취 사건으로 기록되고 있어요
더 놀라운 대목은 속도예요
분석업체 TRM Labs에 따르면 대부분의 자금이 약 20분 사이에 빠져나갔다고 해요
XRP Ledger와 이더리움 그리고 비트코인과 트론과 솔라나 등 여러 블록체인이 한꺼번에 뚫렸어요
점심 약속을 기다리는 시간 정도에 8조 원이 움직인 셈이에요
바이낸스는 곧바로 입금과 출금을 멈췄어요
회사는 손실을 전액 자체 자금으로 메우겠다고 밝혔어요
개인 키가 유출됐다는 증거는 찾지 못했다는 설명도 덧붙였어요
국내외 보도를 폭넓게 살펴보니 사건의 윤곽이 꽤 선명하게 잡혔어요

체이널리시스가 꺼내 든 북한 카드
사건 직후 업계의 시선은 한곳으로 쏠렸어요
블록체인 분석업체 체이널리시스가 30일 현지시간에 중간 분석을 내놨어요
핵심은 북한 연계 사이버범죄 조직 트레이더트레이터가 배후일 가능성이 높다는 판단이에요
또 다른 분석업체 TRM Labs도 같은 조직을 지목했어요
TRM Labs는 온체인 정보와 오프체인 정보를 함께 근거로 들었어요
지난해 바이비트 사건과 닮은 특징이 여럿 보인다는 설명이었어요
올해 4월 켈프다오 해킹과도 공통점이 있다고 했어요
체이널리시스 최고경영자도 같은 조직이 유력하다는 견해를 밝혔어요
다만 짚고 넘어갈 부분이 있어요
바이낸스와 수사 당국이 범인을 공식 확인한 것은 아직 아니에요
바이낸스는 법 집행기관과 협력해 조사 중이라는 입장이에요
그래서 지금 단계에서는 단정보다 추정이라는 표현이 정확해요
그렇다고 근거가 가볍다는 뜻은 아니에요
미국 연방수사국이 바이비트 사건을 이 조직의 소행으로 공식 지목한 전례가 있어요
분석업체들은 그때의 수법과 이번 수법을 나란히 놓고 비교했어요
가장 강력한 연결고리는 따로 있었어요
바로 한 달 전 비트겟 사건이에요

89%라는 숫자의 무게
이번 분석에서 가장 눈길을 끈 건 숫자였어요
올해 전 세계 가상자산 해킹 피해액의 약 89%가 북한 소행으로 추정된다고 해요
2021년에는 이 비율이 15% 수준이었어요
5년 사이에 6배 가까이 커진 셈이에요
건당 평균 손실액도 눈에 띄게 달라졌어요
2021년에는 5065만 달러였는데 올해는 1억 8565만 달러로 늘었어요
원화로는 약 676억 원에서 약 2480억 원으로 불어난 규모예요
해킹 한 번에 걸린 판돈이 3배 넘게 커진 거예요
2021년부터 올해 10월 29일까지 전체 해킹 피해액은 223억 4000만 달러예요
이 가운데 북한 연관 피해액은 132억 4000만 달러로 약 59%를 차지해요
원화로 따지면 전체가 약 30조 원이고 북한 연관분이 약 18조 원이에요
숫자만 놓고 보면 이미 하나의 산업처럼 굴러가는 모습이에요
물론 비중이 높아진 데는 이유가 하나 더 있어요
올해 유독 초대형 사건이 몰려 있어서 한 번의 사건이 통계를 크게 흔들어요
바이낸스 한 건만으로도 올해 전체 판이 바뀌었으니까요
그래서 89%는 수치 자체보다 방향성에 주목해서 읽는 게 좋아요
소수의 대형 표적을 노리는 전략이 갈수록 굳어지고 있다는 신호예요

비트겟 사건과 이어진 보이지 않는 끈
시간을 한 달쯤 되돌려 볼게요
9월 25일 새벽 한국 시간 기준으로 비트겟에서 이상 출금이 확인됐어요
승인되지 않은 전송으로 약 3억 8750만 달러가 빠져나갔어요
원화로는 5000억 원이 훌쩍 넘는 금액이었어요
비트겟은 곧바로 출금을 잠시 멈추고 추적에 나섰어요
비트겟 최고경영자는 북한이 쓰는 가상사설망과 일치하는 인터넷 주소를 일부 확인했다고 밝혔어요
과거 북한의 공격과 매우 비슷하다는 설명도 나왔어요
엘립틱도 탈취 자금이 과거 북한 소행으로 분류된 사건의 세탁 주소와 이어진다고 평가했어요
체이널리시스는 이 사건에서 약 3억 8700만 달러가 북한과 관련된다고 분석했어요
그리고 이번 바이낸스 사건에서 결정적인 장면이 포착됐어요
바이낸스에서 나온 자금이 비트겟에서 나온 자금과 온체인에서 섞이는 모습이 실시간으로 확인됐어요
체이널리시스는 이 직접적인 연결고리를 북한 추정의 핵심 근거로 꼽았어요
쉽게 말해 서로 다른 두 사건이 같은 주머니로 흘러 들어간 셈이에요
도둑이 두 집에서 훔친 물건을 같은 장물창고에 쌓아 둔 모습과 비슷해요
이 장면 하나가 두 사건을 한 줄로 꿰는 열쇠가 됐어요
저는 이 대목이 이번 분석에서 가장 설득력 있는 부분이라고 느꼈어요
이름표가 없어도 돈의 이동 경로는 거짓말을 잘 하지 못하니까요

해커는 어떻게 문을 열었을까
많은 분이 가장 궁금해하시는 질문이 이거예요
도대체 어떻게 세계 최대 거래소가 뚫렸을까요
체이널리시스 분석에 따르면 공격자는 먼저 작업용 지갑을 준비했어요
이 지갑은 토네이도 캐시를 거쳐 자금을 받은 것으로 파악됐어요
자금 출처를 흐리려는 장치가 처음부터 깔려 있었던 거예요
이후 유효한 서명 승인을 이용해 바이낸스의 핫월렛이 공격자가 심어 둔 코드를 실행하게 만들었어요
그 결과 여러 블록체인에서 정상 서명 거래처럼 보이는 출금이 이어졌어요
겉모습만 보면 평범한 거래처럼 보였다는 뜻이에요
바이낸스 쪽 조사에서는 엔지니어의 노트북이 침해됐을 가능성도 살펴보고 있다고 전해졌어요
일부 보도에서는 무단 출금 거래를 제출할 권한이 그 경로로 넘어갔다고 분석했어요
다만 이 부분은 조사가 진행 중이라 최종 결론은 아니에요
바이낸스는 지갑 개인 키가 유출된 증거는 없다고 밝혔어요
그렇다면 암호 자체가 깨졌다기보다 사람과 운영 절차의 틈이 뚫렸다는 해석이 가능해요
2024년 일본 거래소 사건에서도 비슷한 흐름이 있었어요
당시에는 채용 담당자로 위장한 인물이 접근해 3억 달러 넘는 자산이 털렸어요
기술보다 사람을 노리는 사회공학 기법이 이 조직의 특기로 꼽히는 이유예요

동결 시간과의 아슬아슬한 경주
탈취 이후의 싸움은 더 치열했어요
공격자 입장에서는 시간이 곧 생명이었어요
테더와 USD코인 같은 스테이블코인은 발행사가 동결할 수 있기 때문이에요
그래서 공격자는 동결 가능한 자산부터 서둘러 바꾸려 했어요
약 5억 달러어치 스테이블코인을 별도 지갑으로 옮겼어요
그중 3억 2500만 달러어치를 약 20분 만에 2억 8500만 달러 상당의 이더리움으로 교환했어요
다른 지갑에서는 테더 6000만 개를 담보로 이더리움 약 1만 9760개를 빌렸어요
비트코인과 이더리움은 발행 주체가 없어서 동결이 사실상 어렵다는 점을 노린 거예요
반대편에서도 분주하게 움직였어요
동결 조치는 사건 발생 약 1시간 뒤인 오후 5시 14분쯤 시작됐어요
체이널리시스는 수사기관과 스테이블코인 발행사와 업계 관계자들과 단서를 공유했어요
테더와 서클과 월드리버티파이낸셜 등이 나서 약 28억 달러를 빠르게 묶었어요
바이낸스는 동결 규모를 약 30억 달러로 집계했어요
피해액의 절반 가까이를 붙잡은 셈이에요
반대로 말하면 나머지 절반 가까이는 이미 손이 닿지 않는 곳으로 넘어갔다는 뜻이에요
이번 사건은 속도전에서 공격자가 먼저 앞서 나간 사례로 남을 것 같아요
한 시간이라는 틈이 수십억 달러의 차이를 만들었어요

수천 건 거래 뒤에 숨은 자동화 세탁
탈취보다 더 까다로운 단계가 바로 세탁이에요
체이널리시스는 이번 자금 흐름이 전례 없는 패턴이라고 평가했어요
탈취 자금은 짧은 시간에 수천 건의 거래를 거쳐 여러 지갑 사이를 오갔어요
자금을 앞으로 보내기만 하는 게 아니라 이미 거쳤던 주소로 되돌려 보내기도 했어요
빙글빙글 돌려서 추적하는 사람의 눈을 어지럽히는 방식이에요
사람이 손으로 하기에는 너무 빠르고 너무 많은 거래예요
그래서 분석업체는 자동화된 프로그램이 쓰였을 가능성이 높다고 봤어요
이후에도 며칠 동안 자금 이동이 이어질 것으로 내다봤어요
CNBC 인터뷰에서 체이널리시스 최고경영자는 중국의 자금세탁 조직 이야기를 꺼냈어요
해커들이 가상자산을 현금으로 바꾸는 과정에서 이런 전문 조직을 점점 많이 쓴다는 설명이에요
그래서 북한 주소만 쫓는 게 아니라 전문 세탁 네트워크도 함께 쫓아야 한다고 했어요
실제 현금화에는 수개월에서 수년이 걸린다는 분석도 있어요
자금은 여러 블록체인으로 흩어졌다가 불법 중개망을 거쳐 현금으로 바뀐다고 해요
결국 추적은 단거리 달리기가 아니라 마라톤이에요
수사기관과 분석업체와 거래소가 오래 호흡을 맞춰야 하는 싸움이에요

트레이더트레이터 얼굴 없는 정예 부대
이 조직은 어떤 곳일까요
트레이더트레이터는 북한 정권의 자금 조달을 목적으로 움직이는 사이버범죄 조직이에요
거래소와 탈중앙화금융 프로토콜과 개별 투자자까지 가리지 않고 노려 왔어요
미국에서는 라자루스 그룹이라는 더 큰 해킹 조직의 일부로 보는 시각이 있어요
북한 정찰총국 산하 조직이라는 미국 당국의 발표도 과거에 있었어요
최근 몇 년간 굵직한 사건에는 거의 빠지지 않고 이름이 올랐어요
2024년 일본 거래소 사건과 지난해 바이비트 사건 그리고 이번 비트겟과 바이낸스 사건이 대표적이에요
바이비트에서는 15억 달러가 사라져 당시 최대 기록을 세웠어요
올해 들어서는 그 기록을 훌쩍 뛰어넘었어요
엘립틱 설립자는 어떤 범죄 조직도 근처에 오지 못할 규모의 국가 지원 절도라고 평가했어요
그는 이 수익이 북한의 무기 프로그램 자금으로 쓰인다는 취지로 말했어요
흥미로운 일화도 있어요
지난해 12월 북한 개발자의 장비가 악성코드에 감염되면서 내부 인프라가 드러난 사례가 보도됐어요
정예 부대라고 해도 운영 보안에서 실수가 나온다는 걸 보여 준 장면이에요
완벽한 조직은 없다는 점이 수사 입장에서는 희망이 되는 대목이에요

5년 18조 원 외화벌이의 정체
북한은 왜 이렇게까지 가상자산에 매달릴까요
국제 제재가 촘촘해지면서 전통적인 외화벌이 통로가 막혔기 때문이라는 분석이 많아요
유엔 안보리 전문가 패널은 2017년부터 2023년까지 북한 소행으로 추정되는 가상자산 기업 공격을 58건 집계했어요
피해액은 약 30억 달러였어요
패널은 해킹 자금이 북한 외화 수입의 절반을 차지한다고 추정했어요
무기 개발 비용의 40% 안팎을 여기서 충당한다는 추산도 나왔어요
다국적 제재 감시 기구 보고서에 따르면 2024년 1월부터 2025년 9월까지 약 26억 달러가 탈취됐어요
이번 바이낸스 사건이 더해지면 누적 규모는 50억 달러를 넘을 것으로 전망돼요
2025년 한 해만 보아도 북한 연관 탈취액은 약 20억 달러로 추정됐어요
국내 거래소 업비트에서 약 3000만 달러가 털린 사건도 포함돼 있어요
돈의 크기를 실감하기 위해 한 가지를 떠올려 봤어요
이번 사건 피해액이 북한 국민총소득의 약 5분의 1에 해당한다는 추정이 있어요
한 번의 해킹이 나라 경제의 상당 부분과 맞먹는다는 얘기예요
이쯤 되면 해킹은 범죄를 넘어 국가 전략의 일부라는 평가가 나올 만해요
그래서 일부에서는 가상자산 탈취를 사실상 기간산업이라고 부르기도 해요

시장과 거래소가 흔들린 이틀
사건의 파장은 해킹 현장 밖으로 빠르게 번졌어요
비트코인 가격은 한때 6주 만의 최저치인 7만 6368 달러까지 밀렸다고 전해졌어요
대형 거래소 해킹이 투자 심리를 얼어붙게 만든 거예요
바이낸스는 동결 자산을 제외하고도 63억 4000만 달러 이상의 회사 자금을 마련해 뒀다고 밝혔어요
이 가운데 약 50억 달러는 이미 해당 토큰 형태로 보유 중이었어요
나머지는 시장과 장외 거래로 사들이는 중이라고 알렸어요
출금은 48시간 안에 재개할 예정이라는 계획도 나왔어요
11월 2일에는 준비금 증명을 공개하겠다는 소식도 전해졌어요
미국 코인베이스는 개인 키를 오프라인으로 보관하는 체계를 조정했어요
코인베이스는 이 조치가 순전히 예방 차원이라고 설명했어요
국내 거래소들도 발 빠르게 움직였어요
업비트와 빗썸과 코인원은 바이낸스와 관련해 출금 주의를 안내했어요
필요하면 출금 제한도 하겠다고 예고했어요
업비트는 자산 동결 요청에도 협조하고 있다고 전해졌어요
미국 대통령은 북한 소행인지는 모르겠다면서도 살펴보겠다는 취지로 언급했다고 보도됐어요
업계가 이렇게 한꺼번에 방어 태세로 돌아선 건 이례적인 장면이었어요

한국 투자자를 위한 체크리스트
이쯤에서 현실적인 이야기를 해 볼게요
뉴스를 보고 불안해지는 건 자연스러운 반응이에요
다만 겁먹기 전에 확인해 볼 것들이 있어요
내가 쓰는 거래소의 공지를 가장 먼저 살펴보세요
출금 가능 여부와 보상 정책이 공지에 담기는 경우가 많아요
거래소가 준비금 증명을 공개하는지도 눈여겨보세요
공개 주기와 방식이 믿을 만한지가 판단 기준이 돼요
한 곳에 모든 자산을 두기보다 나눠 두는 습관이 도움이 돼요
이중 인증은 되도록 앱 방식이나 보안키 방식으로 설정하는 게 좋아요
문자 인증은 상대적으로 약하다는 의견이 많아요
이럴 때 가장 흔하게 등장하는 게 피싱이에요
거래소를 사칭한 문자나 링크는 일단 의심해 보세요
보상해 준다는 안내 메시지에 개인정보를 넣는 건 특히 위험해요
개인 지갑에 옮기는 방법도 있지만 보관 책임이 온전히 내게 돌아온다는 점을 기억하세요

제 눈에 비친 이번 사건의 진짜 쟁점
이제 제 의견을 말씀드려 볼게요
가장 크게 와닿은 건 보안의 약한 고리가 사람 쪽으로 옮겨 갔다는 점이에요
암호 기술이 무너진 게 아니라 운영 절차와 접근 권한이 노려졌다는 인상을 받았어요
아무리 두꺼운 금고도 열쇠를 다루는 사람이 속으면 소용이 없어요
두 번째로는 중앙화의 양면성이 눈에 들어왔어요
스테이블코인 발행사가 동결에 나서 28억 달러를 지켜 낸 건 분명 중앙화의 효용이에요
반대로 거래소 한 곳에 자산이 몰려 있어서 한 번에 털렸다는 건 중앙화의 약점이에요
같은 구조가 방패도 되고 표적도 된 셈이에요
세 번째 관점은 대응 속도예요
공격은 20분 만에 끝났는데 동결은 한 시간 뒤에 시작됐어요
이 시차를 줄이는 게 앞으로 업계가 풀어야 할 핵심 과제라고 생각해요
이상 출금을 자동으로 감지해 즉시 멈추는 장치가 더 정교해져야 해요
또 하나 아쉬운 건 정보 공유의 타이밍이에요
분석업체와 발행사와 거래소가 평소에 더 촘촘하게 연결돼 있었다면 결과가 달랐을지도 몰라요
물론 이건 어디까지나 제 해석이고 조사 결과에 따라 달라질 수 있어요
북한 소행이라는 판단도 확정이 아니라 높은 가능성이라는 걸 잊지 않으려고 해요
성급한 단정은 오히려 진짜 원인을 가릴 수 있으니까요
그럼에도 흐름이 한 방향을 가리키는 건 부인하기 어려워요

다음 장면을 가를 변수들
앞으로 며칠이 정말 중요해요
탈취 자금이 어디로 얼마나 더 움직이는지가 첫 번째 관전 포인트예요
이미 체이널리시스는 추가 이동이 이어질 것으로 예상했어요
동결이 더 늘어날지도 지켜봐야 해요
현금화 통로로 지목되는 세탁 네트워크가 제재 대상이 될 가능성도 있어요
각국 당국이 국제 공조를 어느 수준까지 끌어올릴지도 변수예요
한국은 북한과 가장 가까운 시장이라 대응 방식이 더 주목받아요
바이낸스가 약속한 보상과 출금 재개가 계획대로 진행되는지도 시험대예요
준비금 증명의 내용이 시장의 불안을 얼마나 가라앉힐지도 궁금해요
조사가 진행되면서 침투 경로가 구체적으로 밝혀질 수도 있어요
그 결과에 따라 업계 보안 기준이 한 단계 올라갈 가능성이 있어요
반대로 신뢰가 흔들리면 이용자들이 거래소를 갈아타는 흐름이 나타날 수도 있어요
규제 쪽에서는 커스터디와 보안 의무를 강화하자는 목소리가 커질 거예요
기관 투자자들이 이런 반복적인 실패를 눈감아 주지 않을 것이라는 업계 인사의 경고도 나왔어요
시장이 성숙하려면 이런 사건을 교훈으로 삼는 속도가 중요해요

끝으로 남기고 싶은 이야기
사건을 하나씩 따라가 보니 숫자보다 흐름이 더 오래 남았어요
8조 원이라는 금액은 놀랍지만 진짜 메시지는 반복성에 있어요
한 달 사이에 두 번 이어진 대형 사건이 같은 끈으로 묶여 있었으니까요
북한 해킹이 일회성 사고가 아니라 지속적인 구조라는 점이 가장 무겁게 다가와요
그렇다고 모든 걸 포기해야 한다는 뜻은 아니에요
동결 성공이라는 작은 승리도 분명 있었어요
분석업체와 발행사와 거래소가 손을 맞잡으면 막을 수 있는 부분이 있다는 증거예요
이용자 한 분 한 분의 기본 보안 습관도 생각보다 큰 방패가 돼요
뉴스를 볼 때는 추정과 확정을 구분하는 눈도 필요해요