세계 최대 가상자산 거래소 바이낸스에서 약 8조4천억원 상당의 가상자산이 탈취되는 초대형 해킹 사건이 발생했다. 피해 자산 대부분이 빠져나가는 데 걸린 시간은 약 20분이었다. 미국 블록체인 분석업체들은 북한과 연계된 해킹조직을 배후로 지목했지만, 수사기관의 최종 판단은 아직 나오지 않았다.

31일 로이터통신과 미국 블록체인 분석업체 TRM랩스 등에 따르면 해커들은 지난 29일 미국 동부시간 오후 4시 5분부터 바이낸스가 관리하는 여러 블록체인 지갑을 공격해 약 63억6천만달러 상당의 가상자산을 외부로 이동시켰다.

이번 사건은 확인된 가상자산 탈취 사건 가운데 역대 최대 규모로 평가된다. 지난해 2월 발생한 바이비트 해킹 사건의 피해액 약 15억달러보다 4배 이상 많다.

공격은 여러 블록체인에서 짧은 시간에 집중적으로 이뤄졌다. 해커들은 공격을 시작한 지 4분 만에 리플(XRP) 약 2억3346만개를 자신들이 통제하는 지갑으로 옮겼다. 이후 솔라나와 옵티미즘 등 다른 블록체인에서도 자산이 빠져나갔다.

오후 4시 20분에는 비트코인 1만8270개가 이동했고, 약 2분 뒤에는 테더(USDT) 6억1270만개와 트론(TRX) 4640만개도 탈취됐다.

서로 다른 블록체인에 보관된 자산이 거의 동시에 이동했다는 점에서 해커들이 사전에 공격 절차를 준비한 것으로 분석됐다.

TRM랩스는 해커들이 범행 최소 36시간 전부터 준비 작업을 진행한 정황을 포착했다. 공격에 사용된 프로그램을 여러 지갑에서 시험한 뒤 실제 자산 탈취에 활용했다는 설명이다.

일부 공격에서는 인터넷에 연결된 거래소 지갑인 핫월렛의 거래 승인 기능이 악용된 정황도 제시됐다. 해커들은 사전에 준비한 명령을 통해 대규모 자산을 자신들의 지갑으로 이동시킨 것으로 분석됐다.

공격 이후에는 탈취 자산의 추적과 동결을 피하기 위한 움직임이 이어졌다.

해커들은 자산을 여러 지갑으로 분산하고 서로 다른 블록체인 사이에서 이동시키는 방식을 활용했다. 특히 발행사가 거래를 차단할 수 있는 스테이블코인을 비트코인과 이더리움 등으로 바꾸는 데 집중했다.

스테이블코인은 달러 등 법정화폐의 가치에 연동되도록 설계된 가상자산이다. 일부 스테이블코인은 발행사가 특정 지갑의 자산 이동을 제한할 수 있지만, 비트코인은 같은 방식의 중앙 발행사 동결 조치가 어렵다.

이에 따라 해커들이 탈취 자산을 신속하게 교환한 것은 동결 가능성을 낮추기 위한 행동으로 해석된다.

보안업체들은 공격 과정에서 과거 북한 연계 해킹 사건과 유사한 자금 이동 방식과 기술적 특징을 발견했다고 밝혔다.

TRM랩스는 블록체인 거래기록과 외부 정보를 종합한 결과 북한의 정예 해킹조직으로 알려진 트레이더트레이터가 이번 공격에 관여했을 가능성이 매우 높다고 판단했다.

트레이더트레이터는 지난해 2월 발생한 바이비트 해킹 사건의 배후로도 지목된 조직이다. 당시 미국 연방수사국(FBI)은 북한 해킹조직이 약 15억달러 상당의 가상자산을 탈취했다고 발표했다.

블록체인 분석업체 체이널리시스와 엘립틱도 이번 사건에서 북한 연계 해킹조직의 활동과 유사한 특징을 확인했다.

다만 민간 보안업체의 분석과 수사기관의 공식 결론은 구분해야 한다. 현재까지 바이낸스와 미국 수사당국이 이번 공격의 배후를 북한으로 최종 확정했다는 발표는 나오지 않았다.

도널드 트럼프 미국 대통령도 북한의 소행인지 묻는 질문에 아직 알지 못하며 관련 사안을 살펴보고 있다는 취지로 답했다.

사건 직후 가상자산 업계는 탈취 자산을 동결하기 위한 대응에 나섰다.

테더와 서클 등 스테이블코인 발행사들은 관련 자산의 이동을 제한하는 조치를 취했다. 트럼프 대통령 가족이 참여한 월드리버티파이낸셜도 일부 자산 동결에 나선 것으로 전해졌다.

바이낸스는 블록체인 관련 업체들과 협력해 약 30억달러 상당의 피해 자산을 동결했다고 밝혔다. 이는 최초 탈취 규모의 절반에 가까운 금액이다.

그러나 동결된 자산이 모두 거래소로 반환된 것은 아니다. 특정 지갑에서 자금 이동을 막는 조치와 실제 자산을 회수하는 절차는 별개다.

TRM랩스는 동결 조치 이후에도 해커들이 약 24억달러 상당의 비트코인과 이더리움을 통제하고 있는 것으로 분석했다.

특히 비트코인은 거래기록이 공개돼 이동 경로를 추적할 수 있지만, 자산을 보유한 지갑의 개인키를 확보하지 못하면 강제로 회수하기 어렵다는 문제가 있다.

바이낸스는 이번 사고로 고객 자금에 손실이 발생하지 않도록 대응하겠다는 입장을 밝혔다. 회사는 이용자자산보호기금인 SAFU와 자체 자금을 활용해 피해를 보전할 방침이다.

리처드 텅 바이낸스 공동 최고경영자도 고객 자금의 안전을 강조했다. 다만 거래소가 약속한 손실 보전이 실제로 어떻게 이뤄지는지와 피해 자산의 최종 회수 규모는 추가 확인이 필요하다.

바이낸스는 사고 직후 일부 입출금 서비스를 중단하고 보안 점검에 착수했다. 수사기관과 협력해 공격 경로와 자금 이동 과정을 조사하고 있다.

이번 사건은 가상자산 거래소의 보안체계뿐 아니라 대규모 탈취 자산을 실제로 회수할 수 있는지에 대한 문제도 드러냈다.

블록체인 거래기록을 통해 자금의 이동 경로를 확인하더라도 해커가 여러 네트워크와 지갑을 이용해 자산을 분산하면 회수 과정은 복잡해진다. 탈취 자산이 동결이 어려운 형태로 전환될 경우 대응 수단도 제한된다.

가상자산 시장도 영향을 받았다. 대규모 해킹 소식이 전해진 뒤 비트코인 등 주요 가상자산 가격이 하락했고, 거래소의 보안과 자산 보관 방식에 대한 우려가 커졌다.

세계 최대 거래소에서 짧은 시간에 막대한 자산이 유출됐다는 사실은 거래 승인 절차와 내부 보안 통제의 적정성을 점검해야 할 사안으로 남았다.

앞으로의 핵심 쟁점은 공격자가 거래소의 자산 이동 권한에 어떻게 접근했는지, 동결되지 않은 자산을 얼마나 회수할 수 있는지, 그리고 북한 해킹조직의 관여 여부를 수사기관이 어떤 증거로 규명할지에 있다.

주민지 기자