보안업체 TRM랩스(TRM Labs)와 체이널리시스(Chainalysis), 온체인 수사가 ZachXBT가 북한 해킹조직 트레이더트레이터(TraderTraitor)를 63억 달러 규모 바이낸스(Binance) 해킹의 배후로 지목했다. 이들은 온체인 자금 흐름과 공격 수법의 특징을 근거로 북한 연계 가능성에 무게를 뒀다. 바이낸스 해킹은 올해 암호화폐 업계 최대 규모 탈취 사건 중 하나로 꼽힌다.
TRM랩스, 트레이더트레이터 범행 고신뢰도로 판정
TRM랩스는 온체인·오프체인 정보를 종합해 트레이더트레이터의 범행을 "높은 신뢰도"로 판정했다고 발표했다. ZachXBT는 바이낸스와 비트겟(Bitget) 해킹에서 탈취된 자금이 소라체인(THORChain)을 거쳐 동일 지갑 주소로 모인 사실을 확인했다. 소라체인은 서로 다른 블록체인 간 자산을 직접 교환할 수 있게 해주는 크로스체인 프로토콜로, 해커들이 자금 세탁 경로로 자주 활용하는 것으로 알려졌다.
체이널리시스 최고경영자 조너선 레빈(Jonathan Levin)은 트레이더트레이터의 도용 규모를 64억 달러로 추정했다. 이는 바이낸스가 공식적으로 추정한 63억 달러와 유사한 수준이다. ZachXBT는 두 거래소 해킹에서 자금이 동일 지갑으로 흘러들어간 정황을 근거로 동일 행위자의 소행일 가능성을 제기했다.
트레이더트레이터, 과거 대형 해킹사건과도 연계
미국 당국은 트레이더트레이터를 2025년 2월 발생한 바이빗(Bybit) 해킹을 비롯해 암호화폐 업계의 여러 대규모 도난 사건과 연결지었다. FBI와 미국·일본 수사당국은 2024년 5월 일본 거래소 DMM비트코인(DMM Bitcoin)에서 3억 달러 이상이 도용된 사건도 트레이더트레이터의 소행으로 공식 귀속했다고 밝혔다.
블록에이드(Blockaid) 최고경영자 이도 벤나탄(Ido Ben-Natan)은 이번 바이낸스 해킹의 기술 수준과 온체인 준비 과정이 북한 행위자의 특징과 일치한다고 평가했다. 과거 사건들과 마찬가지로 치밀한 사전 준비와 복잡한 자금 세탁 경로가 공통적으로 확인됐다.
소셜 엔지니어링 수법으로 직원 접근권 탈취
FBI는 트레이더트레이터가 기업 직원을 대상으로 한 소셜 엔지니어링 공격을 반복적으로 전개한다고 평가했다. 소셜 엔지니어링은 기술적 해킹 대신 사람의 심리를 이용해 정보나 접근권을 빼내는 공격 방식을 뜻한다. DMM비트코인 사건에서 공격자는 채용담당자로 위장해 지갑 서비스 제공업체 긴코(Ginco) 직원에게 악성 코딩 테스트를 전달했다.
공격자는 이렇게 획득한 접근권을 이용해 정상적인 거래 요청을 조작했고, 이를 통해 자금을 자신들이 통제하는 지갑으로 이동시킨 것으로 알려존다. 이번 바이낸스 해킹 역시 유사한 사전 침투 방식이 활용됐을 가능성이 제기되고 있다.
※ 이 기사는 정보 제공을 목적으로 하며 투자 권유가 아닙니다. 투자 판단과 그에 따른 책임은 투자자 본인에게 있습니다.
참고 기사 Cointelegraph · North Korea’s TraderTraitor linked to $6.3B Binance hack