북한 연계 해킹 조직이 세계 최대 가상자산 거래소 바이낸스에서 63억달러(약 8조4000억원) 규모 가상자산을 탈취하면서 피해 자산 회수에 관심이 쏠리고 있다. 블록체인에는 모든 거래 기록이 남아 탈취 자금 이동 경로를 추적할 수 있지만 실제 자산을 동결하거나 되찾는 것은 별개 문제다.
2일 미국 연방수사국(FBI)과 블록체인 업계에 따르면 북한 해킹조직 '트레이더트레이터(TraderTraitor)'는 바이낸스에서 탈취한 자산을 이더리움(ETH)으로 전환하고, 트론(TRON) 네트워크에서도 탈취 자금을 여러 지갑으로 분산해 세탁한 것으로 나타났다.
통상 가상자산을 탈취한 해커들은 자금 출처를 숨기기 위해 여러 단계 자금세탁을 거친다. 블록체인 분석업체 체이널리시스에 따르면 해커들은 탈취한 가상자산을 자신들이 관리하는 전자지갑으로 옮긴 뒤 여러 지갑에 나눠 보내거나 다른 종류의 가상자산으로 바꾼다. 자금이 이동하는 경로를 복잡하게 만들어 추적을 어렵게 하기 위해서다.
대표적인 수법은 '체인 호핑(Chain-hopping)'이다. 비트코인이나 이더리움 등 서로 다른 블록체인 사이에서 자산을 옮기는 방식이다. 여러 사람의 가상자산을 섞어 누구의 자금인지 구분하기 어렵게 만드는 '믹싱 서비스'도 등장했다. 탈중앙화거래소(DEX)를 이용해 가상자산을 다른 종류로 바꾸기도 한다.
'필 체인(Peel chain)'은 탈취 자금을 한 번에 옮기지 않고 여러 지갑을 거치면서 조금씩 떼어 보내는 수법이다. 자금을 쪼개고 옮기는 과정을 반복하면 거래 기록은 남더라도 최초 탈취 자금이 최종적으로 어디로 흘러갔는지 파악하기가 복잡해진다.
바이낸스 사건에서 탈취 자산이 이더리움(ETH)으로 전환된 것도 자금세탁 과정 중 하나다. 해커들은 탈취한 가상자산을 다른 종류로 바꾸거나 여러 지갑으로 나눠 이동시키는 방식으로 자금 출처와 이동 경로를 복잡하게 만든다. 자산 교환과 분산 이동은 범죄 자금의 추적을 어렵게 만드는 대표적인 수법이다. 이렇게 여러 단계를 거친 가상자산은 최종적으로 거래소나 장외거래(OTC) 업체 등을 통해 현금으로 바뀌거나 다른 자산을 사들이는 데 사용될 수 있다.
자금세탁 과정에서 블록체인 거래 기록 자체가 사라지는 것은 아니다. 체이널리시스는 여러 지갑과 탈중앙화금융 서비스, 블록체인 간 자산 이동이 반복되더라도 온체인 데이터를 분석해 자금 흐름을 추적할 수 있다고 설명했다.
문제는 자금이 추적되는 것이 자금 회수를 의미하지 않는다는 점이다. 블록체인에서 지갑 주소와 거래 내역을 확인하더라도 지갑을 실제 누가 통제하는지 특정하려면 추가 조사가 필요하다. 해커가 개인 지갑에 자산을 보관하면 거래소가 임의로 해당 자산을 동결하거나 압류하기 어렵다. 해외 거래소로 자금이 이동한 경우에도 해당 사업자의 협조와 국가 간 수사 공조가 필요할 수 있다.
바이낸스 사례에서도 자산 동결과 실제 회수의 차이가 드러난다. 블록체인 분석업체 엘립틱에 따르면 전체 탈취액의 약 44%인 28억5000만달러가 동결되거나 압류됐다. 동결은 해커가 자산을 이동하지 못하도록 막은 조치이지만, 모두 바이낸스로 반환됐다는 의미는 아니다. 바이낸스는 수사기관 및 업계와 협력해 동결 자산의 실제 회수를 추진하고 있다.
회수 여부와 별개로 이용자 피해를 막기 위한 자산 보충도 진행 중이다. 바이낸스는 피해 보전을 위해 이용자자산보호기금(SAFU)과 선물 보험기금, 회사 보유 자금 등을 활용해 지난 1일 기준 탈취 자산의 약 95%를 보충했다고 밝혔다. 나머지 5%도 시장 매입 등을 통해 확보할 계획이다.
송혜영 기자 hybrid@etnews.com
