북한 해커, 바이낸스 탈취 자금 세탁에 밈코인 6종 발행 — 엘립틱 분석

블록체인 분석업체 엘립틱은 10일, 바이낸스에서 64억달러(약 8조6144억원) 상당의 가상자산을 탈취한 북한 해킹 조직 연계 세력이 자금세탁에 밈코인을 이용했다고 밝혔습니다. 이들은 지난 5일부터 7일까지 니어프로토콜(NEAR) 네트워크에서 최소 6개의 밈코인을 직접 발행했습니다. 토큰 이름은 FUK, OLCCL, MEILI, MMLI, DABI, SINU이며 FUK은 11월 5일(현지시각), OLCCL·MEILI·MMLI·DABI는 6일, SINU은 7일에 만들어졌습니다. 이를 통해 약 11만7000NEAR, 당시 가치로 약 43만달러(약 5억7878만원)의 탈취 자금을 옮겼습니다.

수법은 이렇습니다. 먼저 새 코인을 만들고, 중개자 없이 코인을 맞교환하는 탈중앙화거래소(DEX)에 그 코인과 NEAR를 함께 넣은 교환용 자금통(유동성 풀)을 엽니다. 그다음 탈취 자금이 든 지갑으로 그 코인을 사고, 다른 지갑에서 같은 코인을 팔아 NEAR를 되찾습니다. 두 지갑 사이에 직접 보낸 기록이 남지 않고, 받는 지갑에는 코인을 거래해 번 돈처럼 기록됩니다. 엘립틱은 이것이 돈의 출처를 거래 수익으로 위장하는 방식이라고 설명했습니다. 토큰 하나를 만드는 비용은 약 25NEAR, 당시 90달러(약 12만1140원) 수준이었습니다.

거래 내역은 정상적인 투자와 거리가 멀었습니다. 6개 코인의 모든 매도와 5개 코인의 모든 매수가 자금세탁 관련 지갑에서 일어났고, 외부 투자자는 거의 없었습니다. FUK에서만 소수의 외부 매수가 확인됐는데 전체 거래량의 1%에 못 미쳤습니다. DABI·MMLI·SINU 3종은 사는 지갑과 파는 지갑이 각각 하나뿐이었습니다. 6종 모두 발행 3시간 안에 첫 매도가 나왔고 거래량의 최소 75%가 하루 안에 몰렸으며, 8일 이후에는 모두 거래가 끊겼습니다. 6개 중 5개는 앞선 코인을 팔아 자금을 받은 지갑에서 2~13분 만에 새로 만들어졌습니다.

독자가 기억할 점은 두 가지입니다. 첫째, 갑자기 생긴 코인의 거래량이 많아 보여도 그 거래가 소수 지갑 사이를 오간 것이라면 투자자가 있다는 뜻이 아닙니다. 둘째, 이 수법도 흔적을 지우지는 못합니다. 모든 교환은 온체인(블록체인에 공개 기록되는 방식)에 남아 지갑 사이 자금 흐름을 따라갈 수 있고, 엘립틱은 이 방식이 경로를 숨기기보다 추적에 걸리는 시간과 노력을 늘리는 효과라고 설명했습니다. 지금까지 밈코인을 거쳐 간 금액은 전체 탈취액에 비해 작은 규모이며, 엘립틱은 분석 당시 바이낸스에서 탈취된 약 1180만NEAR, 4370만달러(약 588억2020만원) 상당이 아직 움직이지 않았다고 밝혔습니다.