8조원대 바이낸스 탈취 배후는 북한 '트레이더트레이터'

내부자 권한 악용한 사회공학적 공격의 실체

블록체인 기술은 본래 해킹 방어에 탁월한 특성을 지니고 있으나, 최근 가상자산 거래소에서 수조 원대 자산이 유출되는 사고가 빈번해지며 보안에 대한 의구심이 커지고 있다. 특히 세계 최대 규모를 자랑하는 바이낸스에서 약 8조 4천억 원에 달하는 자산이 탈취된 것으로 추정되는 가운데, 국내 거래소들에서도 보안 침해 사고가 잇따르고 있어 긴장감이 고조되는 상황이다.

사이버 보안 업계에 따르면, 미국 연방수사국(FBI)은 지난달 31일 바이낸스에서 발생한 60억 달러 이상의 대규모 가상자산 탈취 사건을 북한과 연계된 해킹 조직인 '트레이더트레이터'의 소행으로 지목했다. 트레이더트레이터는 미국 정부가 북한의 가상자산 탈취 활동을 식별하기 위해 부여한 명칭으로, 북한의 핵심 해킹 조직인 라자루스와 관련된 활동을 의미한다. 이는 독립된 조직이라기보다 특정 공격 수법과 활동 양상을 지칭하는 개념에 가깝다.

개발자 속여 내부 시스템 침투하는 수법

이들의 공격 방식은 시스템의 기술적 취약점을 직접 파고드는 대신, 기업 내부 관계자의 신뢰를 이용하는 사회공학적 기법을 핵심으로 삼는다. 트레이더트레이터는 채용 담당자나 업계 전문가로 위장해 개발자에게 접근하거나, 정상적인 거래 프로그램처럼 보이는 악성 애플리케이션을 유포하는 방식을 취한다. 피해자가 속아 악성 코드를 실행하면 공격자는 해당 기기에 침투하여 계정 정보와 접근 권한을 확보하게 된다.

실제로 2022년 공동 보안 권고문을 발표한 보안 전문가들은 이들이 가상자산 거래소와 블록체인 기업, 탈중앙화금융(DeFi) 플랫폼을 주요 표적으로 삼고 있다고 경고했다. 이러한 수법은 외부 보안 체계가 아무리 견고하더라도, 내부 직원의 기기나 계정이 오염될 경우 자산 관리 시스템 전체가 무력화될 수 있다는 치명적인 위험성을 시사한다.

20분 만에 이동한 63억 달러와 자금 세탁 경로

이번 바이낸스 사건에서도 내부 시스템이 공격의 통로로 쓰였을 가능성이 강력히 제기된다. 보안 분석업체 랩스(Labs)의 분석에 따르면, 탈취된 약 63억 6천만 달러 상당의 자산 중 상당 부분이 단 20분 만에 빠르게 이동했다. 특히 공격자들이 실제 탈취를 감행하기 전, 최소 36시간 동안 사전 준비를 하며 소액 거래를 통해 시스템을 테스트한 정황이 포착되었다. 이는 거래소 지갑의 유효 서명을 생성하는 내부 시스템 자체가 침해되었을 가능성을 뒷받침한다.

다른 분석업체들의 조사 결과도 일관된다. 체이널리시스(Chainalysis)는 지난 9월 발생한 비트겟(Bitget) 해킹 자금이 이번 바이낸스 탈취 자금과 동일한 지갑에서 섞이는 것을 확인했으며, 엘립틱(Elliptic) 역시 탈취 자금들이 여러 지갑에서 합쳐지는 과정을 포착하며 과거 트레이더트레이터의 소행으로 분류된 사건들과의 연관성을 지적했다. 다만 구체적인 최초 침투 경로는 아직 명확히 규명되지 않은 상태다.

트레이더트레이터는 지난해 2월 약 15억 달러가 탈취된 바이비트(Bybit) 해킹 사건의 배후로도 지목된 바 있다. 당시에도 거래 승인 소프트웨어 환경이 침해되면서 정상적인 절차가 악용된 것으로 분석되었다. 공격자들은 추적을 피하기 위해 믹서(Mixer) 서비스나 브리지(Bridge) 기술을 동원해 자금을 분산시키는데, 미국 정부는 이러한 탈취 자금이 북한의 핵 및 미사일 무기 개발을 위한 자금줄로 활용될 가능성을 예의주시하고 있다.