8조원 증발시킨 북한 해커 '트레이더트레이터'의 정체

바이낸스 60억 달러 탈취 배후로 지목된 북한 조직

세계 최대 규모의 가상자산 거래소인 바이낸스에서 약 60억 달러(한화 약 8조 원) 규모의 자산이 탈취되는 초유의 사태가 발생했다. 미 연방수사국(FBI)은 지난달 31일(현지 시간) 발생한 이 대규모 해킹 사건의 배후로 북한의 해킹 그룹인 '트레이더트레이터(TraderTraitor)'를 지목했다. 이들은 단순히 금전적 이득을 취하는 사이버 범죄 집단을 넘어, 북한 정권의 외화 확보를 위한 핵심 수단으로 작용하고 있다는 분석이 나온다.

보안업계에 따르면 트레이더트레이터는 특정 단일 조직의 명칭이라기보다, 미 정부와 보안 전문가들이 북한의 국가 지원형 지능형 지속 공격(APT) 세력을 추적할 때 사용하는 용어다. 이들은 가상자산 거래소와 블록체인 관련 기업을 표적으로 삼아 코인을 탈취하는 데 매우 특화되어 있다. 특히 전 세계적으로 알려진 북한 해킹 조직 '라자루스'와 유사한 공격 패턴을 보이며, 2020년부터 블록체인 기업을 집중 공략해 북한의 외화벌이 창구 역할을 수행해 왔다.

고액 연봉 미끼로 개발자 심리 공략하는 교묘한 수법

트레이더트레이터의 공격 방식은 시스템의 기술적 결함을 찾는 데 그치지 않고, 사람의 심리를 이용해 내부망에 침투하는 고도의 사회공학적 기법을 활용한다. 이들은 구인·구직 플랫폼인 '링크드인'을 통해 거래소의 개발자나 운영 담당자에게 접근하는 방식을 취한다. 고액 연봉을 제안하며 친분을 쌓은 뒤, 코딩 테스트나 면접 과제, 혹은 특정 프로그램으로 위장한 악성코드를 전달해 사용자가 스스로 실행하도록 유도한다.

담당자가 해당 파일을 실행하는 순간 로그인 정보와 내부 시스템 접근 권한이 해커에게 넘어간다. 이를 통해 정상적인 거래 승인 절차를 우회하여 자산을 탈취하는 식이다. 이러한 수법은 지난 2024년 5월 일본 코인베이스에서 발생한 약 3억 800만 달러 규모의 해킹과 지난해 2월 두바이 바이비트에서 일어난 15억 달러 규모의 탈취 사건에서도 동일하게 확인되었다. 해커들은 확보한 세션 쿠키와 권한을 이용해 내부에서 자금을 빼돌린 후, 여러 지갑을 거쳐 출처를 은닉한다.

블록체인 기술 악용과 정교해지는 자금 세탁망

공격 기술 또한 갈수록 진화하고 있다. 최근에는 공개된 블록체인 거래 기록 내에 악성코드 실행 명령을 은닉하는 '블록체인 데드 드롭' 기법이 등장했다. 체이널리시스에 따르면 이와 같은 기법을 활용한 공격은 전년 대비 5.2배나 급증했으며, 북한과 이란 등 국가 지원형 해킹 세력이 이를 주도하고 있는 것으로 나타났다. 탈취한 자산을 현금화하는 능력 역시 탁월하다. 이들은 믹서 서비스를 활용해 자금을 잘게 쪼개 여러 지갑으로 분산시킨 뒤 최종적으로 현금화한다.

미국 정부는 이렇게 탈취된 자금이 북한 정권의 재정 운영은 물론 핵 및 미사일 개발을 위한 군사 프로그램에 투입되고 있다고 의심하고 있다. 현재 체이널리시스는 트레이더트레이터의 자금 세탁 경로를 정밀 추적 중이다. 체이널리시스 측은 해커들이 탈취 자산을 주로 이더리움으로 전환한 뒤, 탈중앙화 금융(DeFi)이나 즉시 교환 서비스를 통해 추가 세탁을 시도할 것으로 보고 있다. 이에 따라 미 당국은 민간 거래소와 블록체인 운영사들에 해커의 지갑 주소를 공유하며 관련 거래를 즉각 차단할 것을 요청한 상태다.