글: ChandlerZ, Foresight News
편집자 주: 암호화폐 세계에서는 자산이 몇 분 만에 이동할 수 있다. 평범해 보이는 채용 한 건, 소프트웨어 업데이트 한 번 속에 거액의 자산으로 통하는 입구가 숨어 있을지도 모른다. Foresight News 코너 「크립토 스토리 모임」은 기이한 사건 뒤에 있는 사람들을 추적하며, 공개 자료와 자금 흔적을 따라 이야기에서 아직 제대로 드러나지 않은 부분을 찾아간다.
2회에서는 라자루스 그룹(Lazarus Group)에 다가간다. 북한과 연계된 것으로 알려진 이 해커 조직은 소니 픽처스(Sony Pictures) 공격, 방글라데시 중앙은행 탈취 사건, 그리고 여러 암호화폐 자산 절도 사건과 연루된 것으로 지목된 바 있다. 바이낸스 공격 이후 이들은 다시 대중의 시야에 등장했다. 화면 뒤에 숨은 이들은 어디에서 왔고, 어떻게 목표에 접근하며, 어떻게 훔친 자산을 옮기는가?
2026년 10월, 바이낸스의 63억 4,000만 달러 규모 디지털 자산이 탈취되며 암호화폐 업계 역사상 최대 기록을 세웠다.
그로부터 한 달여 전, 바이낸스 엔지니어 한 명이 구직 플랫폼에서 평범해 보이는 면접 초대를 받았다. 채용 측은 먼저 화상 면접을 잡았고, 이어 자신을 회사 CEO라고 소개한 사람이 2차 면접을 진행했다. 면접이 끝날 무렵 상대는 엔지니어에게 업무용 컴퓨터에 내려받으라며 프로그래밍 과제를 보내왔다.
11월 3일 공개된 초기 조사 보고서에 따르면, 그 채용 회사는 공격자가 완전히 꾸며낸 것이었고 과제 안에는 악성 코드가 숨어 있었다. 공격자는 이를 통해 엔지니어의 컴퓨터에 침투했고, 10월 20일에는 바이낸스 내부 AI 도구를 악용해 측면 이동을 감행, 배포 시스템의 권한 토큰을 확보한 뒤 최종적으로 지갑 서명 시스템을 뚫었다. 바이낸스가 긴급히 차단해 약 28억 5,000만 달러를 동결했지만, '가짜 채용'으로 시작된 이번 침해는 여전히 암호화폐 업계의 절도 기록을 세웠다.
미국 연방수사국(FBI)은 이 사건을 북한 해커 활동 TraderTraitor에 귀속시켰으며, 이는 악명 높은 라자루스 그룹의 핵심 분파다. 바이낸스가 공격당한 바로 그날, Microsoft가 발표한 조사 보고서는 더 위험해진 진화를 드러냈다. 이들 북한 해커는 생성형 AI를 일상 작전에 전면적으로 끌어들여, AI로 채용 회사를 대량 위조하고 면접 화법을 맞춤 제작했으며, 심지어 오픈소스 AI 도구를 직접 활용해 취약점 침투를 보조했다.
수년간의 진화를 거치며 이 은밀한 부대는 암호화폐 업계를 거대한 외화벌이 기계로 바꿔놓았다. Chainalysis와 한국의 대한무역투자진흥공사(KOTRA) 데이터에 따르면, 2025년 북한 해커는 최소 20억 2,000만 달러의 암호화폐 자산을 탈취했는데, 이는 그해 북한의 전국 상품 수출액(4억 6,900만 달러)의 4.3배에 달한다. TRM Labs의 추산에 따르면 2026년 10월까지 북한 해커가 누적 탈취한 금액은 약 128억 달러다. 2026년 전 세계 암호화폐 해킹 피해액 87억 달러 가운데 북한 한 곳이 85%를 독점했는데, 2020년에는 이 비율이 7%에 불과했다.
각국 수사기관의 끊임없는 추적과 강력한 제재에도 왜 라자루스는 오히려 더 기세등등하게 훔쳐, 전 세계 온체인 대형 절도 사건의 80% 이상을 도맡기에 이르렀을까? 화면 뒤에 숨은 이들은 대체 누구이며, 어떻게 훈련받고, 어떻게 잠복하며, 또 어떻게 100억 규모의 장물을 세탁하는가?
이 질문들은 아마도 발각된 북한 해커들로부터 실마리를 풀 수 있을 것이다.
발각된 북한 해커들
이 '유령 프로그래머'들의 진짜 얼굴을 보는 것은 쉽지 않다. 그러나 10여 년의 술래잡기 속에서도 몇 갈래의 균열 덕분에 외부는 화면 뒤의 실제 모습을 엿볼 수 있었다.
첫 번째 균열은 15년 전 중국 다롄(大連)으로 보내진 한 장의 이력서에서 나타났다.
2011년 1월, 북한 기업 조선엑스포(Chosun Expo)는 해외 기업 한 곳에 평양 김책공업종합대학을 졸업한 젊은이 박진혁(Pak Jin Hek, 즉 Park Jin Hyok)을 추천하며 다롄 팀의 개발 업무를 이어받게 했다. 이력서 속 박진혁은 영어와 중국어에 능통하고 Java를 잘 다루며 온라인 게임 개발 경험이 있었다. 당시 그는 그저 평범한 해외 주재 코더처럼 보였다.
2011년 5월, 그는 메일에서 잡담하듯 9월이면 다롄에 산 지 1년이 꽉 차고, 북한으로 돌아가 결혼할 예정이며, 되도록 오래 국내에 머물고 싶다고 말했다. 몇 달 뒤 그는 다음 주에 귀국한다고 상대에게 알렸다.
CBS 보도에서 사용된 박진혁 지명수배 사진
그러나 여러 해 뒤 FBI가 소니 픽처스 공격, 방글라데시 중앙은행 8,100만 달러 탈취, 워너크라이(WannaCry) 랜섬웨어 사건을 거슬러 추적하던 중, 뜻밖에도 박진혁이 당시 쓰던 업무용 메일함을 찾아냈다. 그는 완전히 분리하는 것을 잊었던 것이다. 그의 일상용 메일 주소록에는 해킹 작전 계정 'Kim Hyon Woo'의 주소가 버젓이 저장돼 있었고, 또 다른 업무 계정은 해커의 클라우드 암호화 파일을 열 수 있는 권한을 갖고 있었으며, 심지어 같은 기기와 네트워크 주소를 공유한 적도 있었다.
이 사소한 생활의 흔적과 작전 네트워크가 교차하면서, 박진혁은 FBI 지명수배 명단의 상징적 얼굴이 됐다. 로이터가 인터뷰한 탈북 컴퓨터 업계 인사에 따르면, 북한에서는 재능 있는 이공계 학생들이 여러 단계의 선별을 거쳐 군 네트워크 부서로 보내지거나 해외에 파견된다.
낮에는 회사를 위해 외화를 벌어들이는 아웃소싱 코더이지만, 밤에는 국가의 명령에 따르는 다크웹 사냥꾼이다.
10년 전의 박진혁이 여전히 직접 해외에 몸을 두어야 했다면, 두 번째로 드러난 잠복자는 AI 시대 '완벽한 위장'의 무서움을 보여줬다.
2024년 7월, 미국 사이버보안 기업 KnowBe4가 원격 근무 시니어 엔지니어 한 명을 채용했다. 지원자는 합법적인 미국 시민 신분을 도용했고, AI로 정교하게 합성한 프로필 사진을 걸고 화상 면접 네 차례와 모든 배경 조사를 통과했다. 허점은 회사가 Mac 업무용 컴퓨터를 발송하는 순간 드러났다. 수령 주소가 실제로는 미국 본토에 있는 '노트북 농장'으로, 해외 해커를 위해 컴퓨터를 호스팅해 미국 IP를 위조해주는 곳이었던 것이다. 컴퓨터를 켠 지 25분도 되지 않아 이 '신입 사원'은 라즈베리 파이를 통해 서둘러 악성 소프트웨어를 설치했고, 즉시 단말 경보가 울렸다. 보안팀이 전화로 확인하자 상대는 얼버무리다 급히 연락을 끊었고, 최종적으로 Mandiant와 FBI에 의해 북한 잠복 인원으로 확인됐다.
2025~2026년에 이르러 AI 얼굴 합성과 가짜 신분이 통상적인 배경 조사를 무력화하자, 암호화폐 업계가 세 번째 북한 해커를 잡아낸 방식은 블랙 유머로 가득했다.
일본·미국 개발자로 위장한 북한 IT 인력이 대거 Web3 업계로 밀려들자, 골머리를 앓던 일부 암호화폐 프로젝트는 백발백중인 궁극의 면접 질문 '김정은 테스트'를 만들어냈다. 2026년 4월, 블록체인 보안 조사관 Tanuki42는 82초 분량의 원격 면접 영상을 공개했다. 'Taro Aikuchi'라는 가명을 쓰고 도쿄 메구로구에 산다고 자칭한 지원자는 기술 질문에 막힘없이 답했지만, 면접관이 북한 스파이를 걸러내기 위해 갑자기 김정은을 욕하는 한마디를 따라 하라고 요구하자 이 '일본인 엔지니어'는 순간 안색이 확 변했다.
그는 먼저 신호가 나쁜 척하다가 면접관이 다시 추궁하자 정적에 잠겼고, 이내 급하게 연결을 끊었다. 그리고 몇 분 만에 텔레그램 계정을 재빨리 수정하고 기록을 비운 뒤 링크드인 페이지까지 폐쇄했다.
이들 기술 인력이 최첨단 블록체인 코드와 AI 딥페이크 기술을 익혔더라도, 촘촘한 감시와 연좌제 아래에서 최고 지도자를 공개적으로 모욕하는 것은 그들이 절대 넘지 못할 생사의 선이었다.
다롄의 셋방에서 메일함을 공유했던 박진혁, AI로 네 차례 면접을 속인 가짜 미국인 엔지니어, 그리고 정치적 금기 한마디에 곧바로 연결을 끊어버린 '도쿄 개발자'까지. 15년을 가로지르는 이 세 번의 노출 순간이 라자루스라는 거대 빙산의 한 조각을 맞춰냈다.
라자루스, '온라인 강탈'만이 아니다
2014년 11월, 소니 픽처스의 컴퓨터 시스템이 파괴되고 다량의 내부 미공개 자료와 임원진 메일이 유출됐으며, '평화의 수호자들(Guardians of Peace)'을 자칭한 조직이 책임을 선언했다. 당시 소니는 북한 지도자 암살을 다룬 픽션 영화 《더 인터뷰(The Interview)》 개봉을 준비하고 있었다. 미국 법무부는 이후 기소에서 북한의 지원을 받은 공격자들이 자료를 훔치고 컴퓨터를 마비시켰을 뿐 아니라 직원들에게 폭탄 협박까지 보냈다고 밝혔다.
몇 달 뒤 보안 기업 Novetta가 주도해 공격에 쓰인 악성 소프트웨어의 사건 간 출처 추적에 나섰다. 연구진은 소니 사건의 일부 코드가 이전의 여러 사이버 공격에서 남은 도구와 같은 뿌리에서 나왔다는 것을 발견했다. 2016년 발표된 《Operation Blockbuster》 보고서는 어둠 속에 숨은 이 공격 세력을 통칭해 '라자루스 그룹(Lazarus Group)'이라 불렀다.
조사가 깊어지면서 외부는 라자루스가 단일한 금전 탈취 조직이 아니라 치밀하게 분업된 국가 기계의 일부임을 서서히 깨달았다. 2019년 미국 재무부가 라자루스, BlueNoroff, Andariel을 제재할 때 이들을 북한 최고 군사정보기관인 정찰총국(RGB)과 명확히 연결했다.
보안 기업 Palo Alto Networks 산하 Unit 42는 2024년 전체 관계도를 그렸다. 정찰총국의 지휘 아래 여러 사이버 활동 클러스터가 각자의 역할을 수행하며, 사냥터는 이미 암호화폐 업계를 넘어 전 세계 금융, 국방·군수, 미디어 정보 영역까지 아우르고 있었다.
Unit 42가 2024년 작성한 북한 정찰총국 관련 사이버 활동 클러스터 관계도
이 네트워크에서 블록체인과 암호화폐 업계를 주로 노리는 것은 일부에 불과하다. 예컨대 바이낸스 사건의 TraderTraitor와 겹치는 Slow Pisces(별칭 Jade Sleet), 그리고 가짜 거래 소프트웨어를 통해 AppleJeus 트로이목마를 퍼뜨리는 데 특화된 Gleaming Pisces(별칭 Citrine Sleet) 등이다.
암호화폐 업계 밖에서 다른 분파의 행동도 마찬가지로 아찔하다. 전통 금융 영역에서 Alluring Pisces(즉 BlueNoroff/APT38)는 이미 암호화폐 강세장 이전부터 전 세계 은행 시스템을 현금인출기로 여겼다. 가장 큰 반향을 일으킨 대표작은 2016년 방글라데시 중앙은행 대탈취 사건이다.
국방·군수 영역에서 Jumpy Pisces(즉 Andariel)는 '전투로 전투를 지탱하는' 기술 정보 절취자 역할을 한다. 미국 법무부가 2024년 7월 공개한 기소장에 따르면, 이 분파는 독특한 폐쇄 회로를 만들었다. 한쪽에서는 Maui 랜섬웨어로 미국의 여러 병원과 의료기관을 공격해 강제로 몸값을 요구하며 작전 경비를 마련하고, 다른 한쪽에서는 그 돈으로 서버를 사서 미국 방위산업체, 공군 기지, 그리고 한국 국방 연구개발 기관에 침투해 F-15 전투기 엔진, 군사 정찰위성, 잠수함, 원자력 연료 및 우라늄 농축 시설의 기밀 설계 도면을 표적형으로 탈취했다.
미디어와 전략 정보 분야에서는 Selective Pisces(Diamond Sleet)와 Sparkling Pisces(Kimsuky)가 기밀 탈취와 위축 효과 조성에 힘을 쏟았다. 초기에 소니 픽처스 같은 엔터테인먼트 거물을 마비시킨 것 외에도, 최근 몇 년간 여러 차례 유럽·미국 주류 언론 기자와 싱크탱크 학자를 사칭해 북한 관련 보도를 하는 서방 기자, 외교관, 국방 싱크탱크에 트로이목마가 든 '인터뷰 개요'나 회의 초대장을 보냈고, 심지어 소셜미디어에 고품질 모조 계정을 대량 등록해 최정상급 보안 연구원으로 위장하고 구글 등 기업의 보안 전문가를 '역피싱'하여 아직 공개되지 않은 소프트웨어 취약점(0-day)과 각국의 대북 정책 카드를 빼냈다.
연구자들은 주로 공격 대상, 악성 코드 특성, 서버 인프라를 근거로 클러스터를 구분하지만, 서로 다른 팀이 작전에서 코드베이스나 경유(점프) 서버를 공유할 때 각 작전이 도대체 어느 조직에 의해 수행됐는지 두부 썰듯 명확히 가르는 것은 거의 불가능한 일이다.
다만 확실한 것은, '금전 탈취'와 '기밀 절취'가 이 기계 안에서 이미 고도로 맞물려 있다는 점이다.
중앙은행 계좌에서 거래소 지갑까지
암호화폐 거래소가 주요 표적이 되기 전에, 은행은 이미 수사관들의 시야에 들어와 있었다.
2016년 2월, 방글라데시 중앙은행의 SWIFT 국제 은행 전문 시스템에 연결된 컴퓨터가 침해됐다. 미국 법무부 문서에 따르면 공격자는 중앙은행 명의로 송금 지시를 보내 뉴욕 연방준비은행에 중앙은행 계좌의 달러를 해외로 송금하라고 요구했다.
공격자는 약 10억 달러를 이체하려 했고, 이 가운데 8,100만 달러가 필리핀 계좌에 도착해 은행과 송금업체, 카지노 경로를 거쳤으며, 또 다른 2,000만 달러는 스리랑카 수취 은행에서 차단됐다. 수사관들은 필리핀의 수취 계좌가 이미 전년도에 가짜 이름으로 개설돼 있었음을 발견했다.
수취 계좌 외에도 공격자들은 은행이 송금을 어떻게 처리하는지 알아야 했다. Mandiant가 APT38의 금융기관 대상 공격을 연구한 결과, 이들은 피해 기관 네트워크에 들어간 뒤 계정 자격 증명을 수집하고, SWIFT 거래를 처리하는 컴퓨터를 찾은 다음, 송금 지시를 보낼 기회를 노렸다. 이 회사가 관찰한 사건에서 공격자는 피해 네트워크에 평균 약 155일 머물렀고, 가장 길었던 사례는 2년에 가까웠다.
Mandiant가 정리한 APT38 공격 절차
몇 년 뒤 암호화폐 업계의 자금도 점차 표적이 됐다. 2022년 블록체인 게임 Axie Infinity가 사용하는 Ronin 크로스체인 브리지가 탈취돼 6억 달러 이상의 손실이 발생했고, FBI는 공격을 라자루스에 귀속시켰다. 2년 뒤 일본 거래소 DMM Bitcoin은 4,502.9비트코인을 잃었고, 사건 당시 가치는 약 3억 800만 달러였다. 미국과 일본 수사기관은 이 사건을 TraderTraitor에 귀속시켰다.
수사관들은 DMM 사건의 진입 경로를 복원했다. 2024년 3월, 채용 담당자를 사칭한 공격자가 링크드인에서 지갑 소프트웨어 기업 Ginco의 직원에게 연락해 악성 코드가 든 이른바 '구직 테스트'를 보냈다. 공격자는 접근 권한을 얻은 뒤 이 직원을 사칭했고, 이어 회사의 통신 시스템을 이용해 DMM의 정상적인 거래 요청 한 건을 변조한 것으로 보인다.
2025년 2월, 암호화폐 거래소 Bybit는 이더리움 한 건을 콜드월렛에서 일상 사용하는 월렛으로 옮기려 했다. 콜드월렛은 자산 보관용이며, 이 이체는 월렛 서비스 제공업체 Safe의 인터페이스를 통해 여러 명의 권한자가 공동 서명해야 했다. 수사를 맡은 보안 기업 Sygnia는 이후 공격 과정을 정리했는데, 이미 2월 4일 Safe 개발자 한 명의 컴퓨터에서 악성 활동이 나타났고, 다음 날 공격자는 그 개발자의 접근 토큰을 이용해 Safe의 클라우드 환경에 진입했다.
2월 19일, 공격자는 Safe 웹페이지가 호출하는 코드에 악성 내용을 심고 트리거 조건을 설정해 Bybit의 대상 월렛이 작업을 시작하기를 기다렸다. 이틀 뒤 Bybit의 권한자는 Safe 인터페이스로 이체를 처리했고, 화면에 비친 것은 정상적인 내부 이체 요청처럼 보였다.
그러나 보안 기업 NCC Group의 복기에 따르면, 서명자들이 실제로 승인한 거래에는 공격자가 사전에 배포한 컨트랙트를 호출해 콜드월렛의 제어 로직을 바꾸는 악성 작업이 포함돼 있었다. 거래가 실행된 뒤 공격자는 기존의 다중 서명을 다시 얻을 필요 없이 월렛의 자산을 빼낼 수 있었다. 약 15억 달러의 자산이 이후 유출됐다.
Curvegrid가 그린 Bybit 탈취 과정 도해
Sygnia의 조사에 따르면 악성 코드는 거래가 발생한 약 2분 뒤 제거됐다. 조사는 Safe 개발자 컴퓨터의 최초 침해가 사회공학적 수법과 관련됐을 가능성이 있다고 보지만, 구체적인 접촉 방식은 아직 확인되지 않았다.
Bybit의 다중 서명 설정은 여러 권한자가 함께 거래를 승인하도록 해, 단일 계정이 뚫렸을 때의 위험을 줄여줄 수 있었다. 공격자는 Safe의 클라우드 환경에 들어간 뒤 이 서명자들이 공동으로 사용하는 웹페이지를 변경해, 결국 악성 거래가 승인되게 만들었다.
소프트웨어 서비스 제공업체를 침해하는 것 외에도, 일부 북한 인원은 가짜 신분으로 암호화폐 기업에 들어간 혐의를 받는다. 미국 법무부는 2025년 북한 국민 4명을 절도 계획에 가담한 혐의로 기소했는데, 이 가운데 2명은 개발자 신분으로 각각 블록체인 기업과 가상 토큰 기업에 고용됐다. 검찰은 이들이 업무 기회를 이용해 90만 달러가 넘는 가상 자산을 훔쳐 이전했다고 밝혔다.
주목할 점은 채용 절차의 반대편에도 함정이 숨을 수 있다는 것이다. Microsoft는 자사가 Sapphire Sleet이라 부르는 활동 클러스터를 조사한 뒤, 공격자가 소셜 플랫폼에서 채용 담당자를 사칭해 먼저 대상과 일자리 기회를 논의하고, 이어 기술 면접을 주선하며 회의 도구나 개발 도구 업데이트로 위장한 악성 소프트웨어를 설치하도록 요구한다는 사실을 밝혔다. DMM 사건에서 Ginco 직원이 받은 그 구직 테스트도 비슷한 접촉 과정에서 나왔다.
심지어 이런 수법은 계속 업데이트되고 있다. Microsoft는 2026년 10월 보고서에서 북한 관련 공격자들이 생성형 AI를 표적 조사, 접촉 문구 작성, 가짜 신분 구축에 활용하고 있다고 지적했다. 구직자의 경력에 맞춰 정성껏 준비된 듯 보이는 초대장 뒤에는 그 사람의 업무 배경과 사회적 관계에 대한 정보 수집이 있었을 수 있다.
훔친 돈은 어디로 갔나?
자산을 빼낸 뒤 공격자는 보통 먼저 자금을 여러 개의 새 월렛으로 분할하고, 일부 주소는 돈을 받은 뒤 다시 단계적으로 하위로 이전해 분산된 온체인 기록을 남긴다. 이어 자금은 탈중앙화 거래소나 크로스체인 서비스를 거쳐 다른 토큰으로 바뀌거나 다른 블록체인으로 옮겨질 수 있다. 변환이 한 번 더 거칠 때마다 수사관들은 새 주소와 그 거래 상대방을 계속 추적해야 한다.
Bybit 탈취 이후의 자금 흐름이 하나의 단서를 제공했다. 2025년 2월, Bybit에서 도난당한 이더리움이 수천 개의 주소로 흘러가기 시작했다. 공격자는 자금을 분할하고 환전한 뒤 크로스체인 서비스를 통해 이전했다. TRM Labs에 따르면 48시간 안에 최소 1억 6,000만 달러가 이전돼 자금세탁 경로로 들어갔다.
이런 이체를 추적하던 중 온체인 조사관 ZachXBT는 또 다른 집단에 주목했다. 그가 2026년 10월 공개한 조사에 따르면, Bybit 공격 이후 텔레그램과 디스코드의 공개 그룹에 도난 자금과 관련된 주문을 처리하려는 계정 십여 개가 나타났다. 그중 'Jimmy Green'이라는 필명을 쓰는 한 트레이더가 그의 눈길을 끌었다.
ZachXBT는 고객 신분으로 상대에게 접근하기로 했고, 2025년 3월 6일 새 주소로 34만 9,700 USDC를 보내 Jimmy와 여러 건의 거래를 할 준비를 했다. Jimmy는 수취 주소를 하나 제공하며 이더리움 체인의 USDC를 보내면 트론 체인의 USDT로 바꿔주겠다고 했다. ZachXBT가 추적한 결과, 이 수취 주소의 온체인 수수료를 지불한 월렛은 Bybit 도난 자금으로 거슬러 올라갈 수 있었고, 공개된 사건 관련 주소 명단에도 올라 있었다.
Jimmy와 계속 접촉하기 위해 ZachXBT는 그와 여러 건의 거래를 더 완료했고, 건당 약 5%의 손실을 감수했다. 두 사람은 거래에 대해, 그리고 마작과 음식, 가족에 대해서도 이야기를 나눴다. 연락이 늘면서 Jimmy는 자신을 고객이라고만 생각하는 이 사람에게 자기 팀의 업무, 즉 북한 고객을 위해 Bybit 자금을 이전하는 일과 홍콩 및 중국 본토에서의 팀 운영 상황을 이야기하기 시작했다.
ZachXBT에 따르면 Jimmy는 하루 먼저 어떤 자금이 솔라나로 이전될 것이라고 알려줬고, 다음 날 온체인에 해당 이체가 나타났다. 3월 12일 Jimmy는 크로스체인 거래 캡처 화면을 보냈고, ZachXBT는 금액과 시간을 근거로 THORChain에서 이와 일치하는 주문을 찾아냈다. 이후 상대가 제공한 세 개의 솔라나 주소는 그가 1,200만 달러가 넘는 Bybit 도난 자금 한 묶음을 추적하는 데 도움을 줬다. 그의 말에 따르면 테더(Tether)는 나중에 이 주소 묶음과 관련된 44만 2,000 USDT를 동결했다.
Jimmy는 또 ZachXBT에게 자기 팀이 Bybit 도난 자산의 대부분을 처리했다고 주장했다. ZachXBT는 자신이 관찰한 자금세탁 패턴이 이 주장과 부합한다고 본다. 그는 조사 결과를 사건에 참여한 법 집행 관계자와 민간 기관 조사관에게 넘겼고, 2026년 10월에야 이 경험을 공개했다.
보안 사고가 발생한 뒤 바이낸스는 사건과 관련된 약 30억 달러의 자산이 온체인에서 동결됐다고 발표했다. TRM Labs는 공격자가 탈중앙화 거래소와 마켓메이커를 통해 일부 자산을 매각했고, Aave와 JustLend 등 대출 프로토콜에 일부 도난 자산을 담보로 맡기고 다른 자산을 빌려갔다고 관찰했다.
동시에 바이낸스는 영향을 받은 자산을 보충하기 시작했고, 플랫폼은 11월 2일 관련 자산의 약 95%가 보충됐다고 밝히며 일부 주요 자산의 준비금 증명(Proof of Reserves)을 공개했다. 11월 3일 바이낸스는 더 많은 자산과 네트워크의 출금을 추가로 재개한다고 발표했으며, 보안 조사는 계속 진행 중이다.
