북한 해커는 코인을 훔친 뒤 돈을 어디로 옮겼나? Bybit에서 바이낸스까지, 한 편으로 이해하는 Lazarus의 자금세탁 경로

SoSoValue Research는 10월 29일 밤 발생한 바이낸스 해킹 사건과 관련해, Chainalysis가 피해 규모를 약 59억 달러로 추정했고 ZachXBT는 북한 연계 Lazarus의 소행일 가능성이 높다고 분석했다고 전했다. 다만 사건은 아직 진행 중이며 관련 수치는 변경될 수 있다.
글은 2025년 2월 Bybit 해킹을 주요 참고 사례로 제시했다. 당시 약 50만 ETH가 도난된 뒤 10~12일 동안 대부분 비트코인으로 전환됐으며, 자금의 약 72%는 THORChain, 약 16%는 eXch, 약 8%는 OKX Web3 지갑을 거쳤다. Bybit CEO가 두 달 후 공개한 수치에 따르면 68.6%는 추적 가능했고 27.6%는 행방이 확인되지 않았으며 3.8%만 동결됐다.
저자는 해커들이 발행사가 동결할 수 있는 USDT·USDC보다 비트코인을 선호하는 이유로 동결 장치가 상대적으로 적고, 유동성과 수용도가 높으며, 장기간 보관할 수 있다는 점을 들었다. 미국 재무부 자료를 인용해 북한은 도난 자산을 지하 OTC 거래상에게 넘겨 법정화폐나 실물 가치로 바꾸는 경로를 활용한다고 설명했다. 제시된 흐름은 도난 ETH를 BTC로 전환한 뒤 분산·믹싱하고, 트론 기반 USDT 등으로 바꿔 OTC 거래상과 거래하는 방식이다.
이 과정에서 거래상은 도난 자산을 출처를 중시하지 않는 구매자에게 넘기고, 구매자가 낸 현지 법화를 해커 측 지정인에게 전달하는 ‘대조 거래’를 활용할 수 있다고 분석했다. 공개 사례로는 중국의 은행 계좌·유니온페이 카드, 애플 기프트카드, 동남아 회색 금융 플랫폼 등이 언급됐다. 다만 믹싱과 중개 과정에는 수수료·할인·동결 위험이 따른다.
글은 표시된 비트코인이 반드시 규제 거래소로 들어갈 필요는 없고, 여러 차례 중개와 혼합을 거치면 추적 결과가 확정 판단에서 위험도 평가로 바뀔 수 있다고 설명했다. 시장 영향과 관련해서는 ETH 매도 압력은 초기 약 10일에 집중될 수 있지만, BTC 전환 이후의 OTC 현금화는 수개월 또는 수년에 걸쳐 분산돼 거래소 호가에 미치는 직접 영향은 제한적일 수 있다고 분석했다.
이번 바이낸스 사건에서는 도난 자산의 상당 부분이 동결 가능한 스테이블코인이며, 직접 동결하기 어려운 ETH는 약 19만5,000개, 약 4억4,000만 달러 규모로 Bybit 사건보다 작다고 전했다. 반면 해커가 Uniswap과 Aave 등을 통해 스테이블코인을 ETH로 바꾸고 있어 최종 ETH 보유량은 늘어날 수 있으며, 향후 THORChain과 Chainflip 등 크로스체인 프로토콜의 거래량 변화가 주요 관찰 지표로 제시됐다.

저자: SoSoValue Research

10월 29일 밤, 바이낸스가 사상 최대 규모로 추정되는 해킹 공격을 당했다. Chainalysis는 탈취 금액을 약 59억 달러로 추정하며, 온체인 탐정 ZachXBT는 북한 Lazarus 소행일 가능성이 높다고 본다.

많은 이들이 궁금해한다. 해커는 이 코인들을 어떻게 처리할까? 시장을 때리며 던질까? 이 질문에 답하려면 가장 좋은 참고 사례는 2025년 2월 같은 조직이 저지른 Bybit 사건이다.

1. Bybit 복기: 50만 ETH, 10일 만에 전부 BTC로

2025년 2월 21일, Bybit에서 약 50만 ETH가 탈취됐다. 당시 가치로 약 14억 달러였으며, 그때까지 사상 최대 규모의 암호화폐 절도 사건이었다.

해커의 처리 속도는 매우 빨랐다:

● 1일차: 먼저 stETH, mETH 등 스테이킹 파생상품을 네이티브 ETH로 바꾼 뒤, 다시 다수의 주소로 분할했다.

● 5일차: 이미 THORChain을 통해 최소 16만 ETH를 크로스체인 이전했다.

● 9일차: 하루에만 6만2,200 ETH를 추가로 이전해, 누적 약 34만3,000 ETH가 이미 빠져나간 상태였다.

● 10~12일차: Arkham이 확인한 결과, 약 50만 ETH 전부가 이더리움에서 네이티브 BTC로 크로스체인된 것으로 나타났다.

어떤 채널을 썼나?

● THORChain(탈중앙화 크로스체인 프로토콜): 약 72%, 36만1,000 ETH

● eXch(KYC 없는 교환 플랫폼): 약 16%, 7만9,700 ETH

● OKX Web3 지갑: 약 8%, 4만 ETH

이 때문에 THORChain은 약 550만 달러의 수수료를 벌어들여 커뮤니티의 강한 비판을 받았다. eXch는 이후 2025년 5월 1일 서비스 종료를 선언했다.

최종적으로 얼마나 회수할 수 있나? 두 달 뒤 Bybit CEO가 공개한 데이터에 따르면 68.6%는 여전히 추적 가능하고, 27.6%는 이미 "사라졌으며", 동결된 것은 3.8%뿐이었다.

결론: 탈취된 ETH는 거의 전부 BTC로 바뀌었고, 실제로 회수된 것은 4% 미만이다.

2. 해커는 왜 반드시 BTC로 바꾸는가?

아무도 동결할 수 없다

USDT, USDC는 발행사가 있어 언제든 주소를 블랙리스트에 올릴 수 있다. 이번 바이낸스 사건에서도 Tether와 Circle은 빠르게 약 24억 달러의 스테이블코인을 동결했다. ETH 자체는 동결할 수 없지만, 이더리움 생태계의 DEX, 대출 프로토콜, 크로스체인 브리지는 모두 차단에 나설 수 있다. 비트코인 체인에는 이런 "관문"이 없다.

유동성이 가장 깊고 수용도가 가장 높다

전 세계 어느 장외 브로커든 BTC는 받는다. MIT Technology Review는 이미 2020년에 해커들이 최종적으로는 결국 비트코인으로 돌아오는 경우가 많다고 지적했다. 수용 범위가 이렇게 넓고 현금화가 이렇게 쉬운 코인이 없기 때문이다.

장기 보관에 적합하다

Lazarus는 국가급 해커 조직으로 돈이 급하지 않다. BTC는 몇 달, 심지어 몇 년이고 보관해 두었다가 사태가 가라앉은 뒤 분할해서 현금화할 수 있다.

3. BTC로 바꾼 뒤 어떻게 현금화하나?

답은 지하 OTC(장외거래) 브로커를 통한 출금이다.

미국 재무부는 북한이 통상 장외 브로커를 통해 탈취한 암호화폐 자산을 전통 화폐로 바꾸며, 이들 브로커는 대부분 중국에 있어 금융기관과 규제 당국의 시선을 피한다고 지적했다.

대략적인 경로:

탈취 ETH → 크로스체인으로 BTC 교환 → 분할, 믹싱 → 흔히 트론(Tron) 체인의 USDT로 교환 → 지하 브로커 → 법정화폐 또는 실물 가치

브로커는 어떻게 "체인을 끊는가"? 바로 "대타 거래(對敲)"다.

브로커 손에는 동시에 암호화폐가 필요하지만 출처는 신경 쓰지 않는 또 다른 매수자들이 있다. 예를 들어 자금을 해외로 빼돌리려는 사람, 온라인 도박·사기 플랫폼, 회색 지대의 국경 간 무역 등이다. 브로커는 해커의 코인을 이들에게 팔고, 이들이 지불한 현지 법정화폐를 해커가 지정한 사람에게 넘긴다. 온체인 추적은 브로커에서 끊기고, 오프체인의 자금은 전혀 무관한 사람에게서 나온다.

법정화폐는 최종적으로 어디로 가나? 공개된 사례는 다음과 같다:

● 은행 계좌, 은련(UnionPay) 카드. 다자 제재 감독 그룹(MSMT) 보고서에 따르면 북한 사이버 부대는 은련 신용카드와 상업은행 등 중국 금융 시스템을 이용해 탈취한 암호화폐 자산을 현금화한 적이 있다.

● 기프트카드. 미국 법무부가 2020년 기소한 중국 국적자 2명은 북한의 코인을 위안화나 애플 기프트카드로 바꿔 현금화한 혐의를 받았다.

● 동남아시아의 회색 금융 플랫폼, 예를 들어 캄보디아의 Huione(汇旺) 그룹.

● 관련 지역은 중국, 러시아, 아르헨티나, 캄보디아, 베트남, 아랍에미리트 등이다.

4. "태깅된 BTC는 거래소에 못 들어가는 것 아닌가?"

가장 흔한 의문이다. 답은 세 가지다:

더러운 코인은 애초에 규제 준수 거래소에 들어갈 필요가 없다. 이들은 회색 경제의 매수자에게 팔리며, 이 매수자들은 코인을 계속 유통·결제에 쓰기 때문에 바이낸스나 코인베이스에 입금하지 않는다.
태깅은 영구적인 "흑백" 라벨이 아니라 위험 점수다. 여러 단계의 중계와 믹싱, 다른 자금과의 혼합을 거치면 추적은 "확정"에서 "확률"로 바뀐다. Bybit 사건에서 27.6%의 자금이 "사라진" 이유가 이것이다.
브로커는 높은 수수료로 위험을 상쇄한다. 브로커는 더러운 돈임을 알기에 정상 수준보다 훨씬 높은 수수료를 받는다. 지갑, 은행카드, 페이퍼컴퍼니는 쓰고 나면 바로 교체하며, 제재와 동결 위험을 모두 가격에 반영한다.

물론 이 경로에도 대가가 있다. 믹싱 수수료, 크로스체인 수수료, 브로커 할인, 동결되는 부분 등 손실이 상당할 수 있다. 하지만 제재를 받고 사실상 다른 외화 수입원이 거의 없는 국가에게는 절반을 되찾는 것만으로도 막대한 이득이다. MSMT 보고서는 북한이 2024년 1월부터 2025년 9월 사이 약 28억4,000만 달러의 암호화폐 자산을 탈취한 것으로 추정한다.

5. 시장에는 무슨 의미인가?

● ETH 매도 압력은 전기에 집중된다. 해커가 ETH를 BTC로 바꾸는 과정은 실제 온체인 매도다. Bybit 사건은 약 10일이 걸렸으니 참고가 될 수 있다.

● BTC 매도 압력은 작고 분산돼 있다. BTC로 바꾼 뒤의 출금은 주로 장외 대타 거래로 이뤄져 수개월에서 수년간 이어질 수 있고, 대부분 거래소 호가창을 거치지 않아 가격에 대한 직접적 충격이 매우 작다.

● 해커는 급락의 주원인이 아니다. Bybit 피해 당일 ETH는 약 8% 하락했고, 이후의 급락은 주로 관세 등 거시 요인과 레버리지 청산에서 비롯됐다.

이번 바이낸스 사건은 무엇이 다른가? 탈취 자산 가운데 대부분이 스테이블코인이며 이미 상당 부분 동결됐다. 직접 동결할 수 없는 ETH는 약 19만5,000개, 가치 약 4억4,000만 달러로 Bybit 사건보다 규모가 작다. 또한 해커는 현재 Uniswap, Aave 등 프로토콜을 이용해 스테이블코인을 ETH로 바꾸고 있어 최종 보유 ETH는 늘어날 수 있다.

앞으로 주목할 것: THORChain, Chainflip 등 크로스체인 프로토콜의 트래픽 변화다. 해커가 ETH를 BTC로 바꾸는 속도를 보여주는 직접적인 신호다.

본 글은 정보 제공을 목적으로 한 글로 투자 조언이 아니다. 바이낸스 사건은 여전히 진행 중이며 관련 데이터는 업데이트될 수 있다.