작성자: BlockBeats
11월 1일, 미국 연방수사국(FBI)은 10월 29일 바이낸스에서 도난당한 63억 달러가 북한 소행이라고 밝히는 공지를 내놓았다. 공지에는 한 단어가 등장했다. TraderTraitor.
이 이름을 검색해 보면 Bybit의 15억 달러, Bitget의 3억 달러, 그리고 지난 몇 년간의 암호화폐 대형 사건들이 모두 이 이름과 연결되어 있음을 알 수 있다.
TraderTraitor는 한 회사도 아니고, 조직도 위의 한 칸도 아니다. 미국 정부가 일련의 행위에 붙인 코드명이다.
2022년 4월, FBI, 미국 사이버보안 및 인프라 보안국(CISA), 미국 재무부는 공동으로 번호 AA22-108A 공지를 발표했다. 이 단어가 처음 공식적으로 등장한 때였다. 당시 그것은 코인 투자 소프트웨어로 위장한 몇 가지 트로이 목마를 가리켰다. 예컨대 DAFOM, TokenAIS, CryptAIS 같은 것들로, 인터페이스가 그럴듯하게 만들어졌고 설치하면 곧바로 개인키를 훔치기 시작했다.
이 일을 하는 주체를 업계에서는 줄곧 Lazarus Group, APT38, BlueNoroff, Stardust Chollima라고 불러왔는데, 이는 네 개의 팀이 아니다. Lazarus, 즉 라자루스는 총칭이고, APT38(Mandiant), BlueNoroff(카스페르스키), Stardust Chollima(CrowdStrike)는 서로 다른 보안 회사가 같은 자금 탈취 라인에 붙인 세 개의 이름이다.
2년 후, 이 라벨은 구체적인 행위에 적용됐다. 2024년 12월 23일 FBI, 미국 국방부 사이버범죄센터, 일본 경찰청은 DMM 3억 달러 도난 사건의 귀속을 공동 발표하며 처음으로 "TraderTraitor로 추적되는 북한 사이버 행위자"라는 표현을 사용하고, 세 가지 별칭을 나열했다. Jade Sleet(마이크로소프트 명칭), UNC4899(구글 명칭), Slow Pisces(Palo Alto 명칭)다.
이제 정보는 비교적 명확해졌다. TraderTraitor는 Lazarus라는 거대 조직 안에서 암호화폐 자산만 전문으로 다루는 조직이며, 지금 가장 돈이 되는 조직이기도 하다. 최소 2020년부터 블록체인만 노려왔다. 거래 플랫폼, DeFi, 지갑 서비스 제공업체, 암호화폐 펀드, 그리고 다량의 코인을 쥐고 있는 개인까지.
은행 털기에서 거래 플랫폼 털기로
Lazarus는 우산 같은 이름으로, 그 아래에는 온갖 것이 다 있다. 2014년 소니 픽처스의 하드디스크를 삭제했고, 2016년 방글라데시 중앙은행에서 자금을 빼돌렸다.
예컨대 방글라데시 중앙은행 건에서 당시 실행 주체는 APT38, 또는 BlueNoroff라 불렸다. 2016년 2월 그들은 SWIFT 지시문(은행 간 송금에 쓰이는 국제 전문 체계)을 위조해 방글라데시 중앙은행의 뉴욕 연준 계좌에서 10억 달러를 빼내려 했다. 최종적으로는 8,100만 달러가 성공했는데, 한 송금의 철자 오류 때문에 중개 은행에서 막혔기 때문이다.
은행의 업무 절차를 연구하고, 수동 검토의 틈을 찾아내고, 지시문을 위조하던 그 기술은 나중에 암호화폐 거래 플랫폼에 그대로 옮겨졌다.
2020년 전후였다. 그들은 수법을 업그레이드하기 시작했고 목표는 코인 업계였다. 이유도 짐작하기 쉽다. 돈이 많고 규제가 없으며 유동성도 괜찮기 때문이다.
수법은 몇 가지다.
첫째는 가짜 채용이다. 헤드헌터가 LinkedIn에서 접근해 이야기가 잘 오가다가, 마지막에 "입사 전 코딩 테스트" 또는 "내부 도구" 설치 패키지를 보내온다. 설치하면 기기는 그들의 것이 된다. Ronin의 6억 2,000만 달러가 이렇게 사라졌다.
둘째는 공급망이다. 사람을 속이는 대신 개발자의 툴체인을 오염시키는 쪽으로 바꿨다. GitHub의 악성 리포지토리, npm의 오염된 패키지, JumpCloud 같은 아이덴티티 서비스 업체 등이다. 한 사람이 당하면 하위의 여러 회사가 연달아 당한다.
셋째는 거래를 직접 바꾸는 것이다. 일본 DMM 사건에서 그들이 훔친 것은 상대의 로그인 자격 증명이었고, 지갑 회사 Ginco의 내부 커뮤니케이션에 잠입한 뒤 정상이어야 할 송금 한 건을 바꿔치기했다. Bybit 사건에서는 Safe{Wallet} 개발자 한 명의 컴퓨터를 해킹해 웹 프런트엔드에 스크립트를 삽입했고, 서명하는 사람이 보는 화면은 정상이지만 실제로 서명되는 것은 다른 거래였다.
바이낸스 이번 건도 포함된다.
공격자는 36시간 전부터 준비해 50건의 EIP-7702 승인을 서명해뒀다. EIP-7702는 이더리움의 새로운 기능으로, 지갑이 일정한 프로그램을 임시로 "임대"해 사용할 수 있게 해준다. 그런 다음 바이낸스의 핫월렛이 스스로 자금을 빼내도록 했고, 40분 동안 10개 네트워크에 걸쳐 진행됐다. 한 보안 회사의 결론은 그들이 바이낸스의 서명 시스템에 이미 접근했을 가능성이 높다는 것이다.
이 조직의 범행 규모
가장 유명한 열두 건, 97억 달러.
바이낸스 한 곳이 63억 달러. 나머지 열한 건은 2022년부터 2026년까지 모두 합쳐 34억 4,000만 달러다.
Bybit 15억 달러는 변조된 프런트엔드였고, Ronin 6억 2,000만 달러는 속아서 열어준 채용이었으며, Bitget 3억 8,800만 달러는 지갑 시스템에 심어진 위조 출금 지시였다.
DMM 3억 800만 달러, WazirX 2억 3,500만 달러, Harmony와 Atomic은 각각 1억 달러, Alphapo 6,000만 달러, CoinEx 5,500만 달러, Stake 4,100만 달러, CoinsPaid 3,700만 달러.
표에서 미국 정부가 직접 TraderTraitor로 지목한 것은 바이낸스, Bybit, DMM 세 건뿐이다. Ronin, Harmony, Stake, Alphapo, CoinsPaid, Atomic은 FBI가 Lazarus/APT38로 귀속했다. WazirX는 미국·일본·한국이 2025년 1월 공동 성명에서 지목했다. CoinEx는 온체인 분석 기관의 추정만 있을 뿐이다. Bitget 건은 여러 기관이 TraderTraitor와 관련 있다고 의심하지만 모두 공식 귀속을 하지 않았다.
TRM 통계에 따르면 북한은 2017년 이후 100건을 저질렀고 누적 약 128억 달러이며, 올해 들어 지금까지 74억 달러다. 2026년 전 세계 암호화폐 자산 도난 총액 중 85%가 북한 계정으로 기록된다. 이 표는 그중 열두 건에 불과하다.
얼굴을 확인할 수 있는 사람들
미국 당국이 지목하고 사진까지 남아 있는 북한 해커는 한 명이 아니다. 박진혁(Park Jin Hyok), Jon Chang Hyok, Kim Il은 모두 2021년 2월 기소장에 포함됐고, 2024년에는 Rim Jong Hyok이 추가되어 1,000만 달러의 현상금이 걸렸다.
FBI가 수배 중인 박진혁(Park Jin Hyok)
박진혁은 가장 먼저 기소된 인물 중 하나다. 2018년 6월 미국 법무부가 그를 형사 고발했고, 같은 해 9월 기소장이 공개됐다. 기소장에 따르면 그가 가담한 공모에는 2014년 소니 픽처스 공격, 2017년 WannaCry, 그리고 2016년 방글라데시 중앙은행에서 빼낸 8,100만 달러가 포함된다. 그는 지금까지 도주 중이며 법정에 한 번도 출석하지 않았다.
바이낸스 도난 자금 추적
바이낸스는 회사 자금, SAFU 펀드, 선물 보험 기금으로 약 90%를 보충했고, 남은 10%는 유동성이 낮은 토큰이다. 손실은 전부 회사가 부담하며 사용자가 부담하지 않는다.
11월 1일 기준 약 27억 달러, 약 42%가 스테이블코인 발행사와 Arbitrum 보안위원회에 의해 동결됐다. 공격자 손에는 여전히 42만 ETH와 18,270 BTC, 약 24억 달러가 남아 있다.
자금세탁 경로는 여전히 통상적인 수법이다. 크로스체인 브리지로 체인을 바꾸고, THORChain 같은 서비스로 코인을 교환하고, 믹서로 여러 사람의 코인을 뒤섞어 분산시킨 뒤 마지막으로 장외거래를 이용한다.
이번에는 작은 해프닝도 있었다. THORChain은 최근 이더리움 체인 재구성으로 인해 바이낸스 공격 사건에서 도난당한 자금의 자금세탁 과정이 예상치 않게 지연됐다. 이번 체인 재구성으로 THORChain이 10 ETH를 예치한 한 사용자에게 잘못 이중 환불을 하면서 프로토콜이 긴급 중단됐고, 그 결과 모든 사용자의 크로스체인 교환이 일시적으로 차단됐으며 여기에는 북한 해커 조직과 관련된 자금세탁 인원도 포함됐다.
지난번 Bitget의 도난 자금은 THORChain을 거쳤지만 THORChain은 전혀 동결하지 않았고, 탈중앙화라서 동결할 수 없다고 말했다. 그런데 지난번 자기가 도난당했을 때는 그런 말을 하지 않았다.
THORChain이 서비스를 재개할 때, 이번 바이낸스 도난 자금이 여전히 THORChain을 거친다면 그들이 또 무슨 핑계로 얼버무릴지 모르겠다.
