2026년 10월 29일 발생한 바이낸스 해킹으로 약 63억 달러 규모의 가상자산이 탈취됐다. 당시 보고된 가상자산 절도 가운데 최대 규모다. FBI는 북한 연계 조직 트레이더트레이터(TraderTraitor)를 배후로 지목했다. 이후 며칠 동안 수사기관과 블록체인 분석업체들은 여러 체인에 흩어진 자금의 이동을 추적했고, 수십억 달러가 동결 또는 차단됐다고 보고했다. 일부 자금이 중국 자금세탁망에 흘러들었을 가능성도 제기됐다. 다만 자금 추적, 동결, 거래소의 고객 자산 보전은 각각 다른 일이다.
1
18
22
25
어떤 일이 있었고, 누가 배후로 지목됐나
블록체인 분석업체 TRM 랩스는 약 20분 사이 바이낸스 지갑에서 10개 블록체인에 걸쳐 약 63억 6,000만 달러가 빠져나갔다고 추산했다. 엘립틱은 탈취 규모를 약 64억 3,000만 달러로 보고 11개 블록체인에서 자금 흐름을 추적했다. 두 수치는 서로 다른 업체의 분석 결과로, 하나의 최종 집계액으로 확정된 것은 아니다.
18
24
25
FBI는 이번 사건을 북한 연계 조직 트레이더트레이터의 소행으로 지목했다. 북한은 책임을 부인했으며, 김여정은 미국의 주장을 정치적 도발이라고 비판했다.
1
2
50
바이낸스의 설명을 다룬 보도에 따르면 공격자들은 가짜 채용 면접을 이용해 엔지니어가 악성 소프트웨어를 내려받도록 유도한 것으로 알려졌다. 보도된 경위가 사실이라면, 이번 사건은 단순히 노출된 지갑을 턴 것이 아니라 직원 접근 권한을 노린 사회공학적 공격과 관련이 있다.
48
52
짧은 시간에 여러 체인과 지갑으로 흩어진 자금
엘립틱은 탈취 자금이 나흘도 안 돼 약 1만 2,000개 지갑과 4만 건이 넘는 거래로 분산됐다고 밝혔다. 업체의 후속 설명에 따르면 이 과정은 일반적인 자동화 방식으로 진행됐다. AI가 자금세탁을 지휘했다는 증거가 나온 것은 아니다.
23
32
TRM 랩스는 공격자들이 USDT를 시장조성자에게 매도하고, 디파이(DeFi·탈중앙화 금융) 대출 플랫폼인 아베(Aave)에서 USDT를 담보로 ETH를 빌리는 방식 등을 이용했다고 분석했다. 또 공격자 지갑에 42만 ETH 이상과 1만 8,270 BTC가 남아 있으며, 분석 당시 발행사가 동결할 수 없는 자산이 약 24억 달러 규모라고 밝혔다. ‘발행사가 동결할 수 없다’는 것은 특정 개입 수단의 한계를 뜻할 뿐, 해당 자산을 영영 회수할 수 없다는 의미는 아니다.
24
중국 자금세탁망 연루 가능성은 어디까지 확인됐나
엘립틱은 이미 세탁 과정에 들어간 자금 일부가 북한이 과거에도 이용한 중국 자금세탁망에 도달했을 가능성을 제기했다. 별도로 한국 언론 보도는 TRM 랩스 조사관의 말을 인용해 중국 네트워크가 해당 자금 흐름과 관련된 복잡한 거래를 수행하고 있다고 전했다.
25
42
이 보도는 중국 네트워크가 탈취 자금 일부를 취급했을 가능성을 뒷받침한다. 그러나 자금이 위안화로 바뀌어 중국 은행 계좌에 입금됐다는 사실이나, 이번 사건에서 특정 수수료 방식이 사용됐다는 점까지 입증하지는 않는다. 한국 언론 보도는 과거 미국에서 중국 국적자 2명이 북한이 훔친 가상자산 1억 달러 이상을 현금으로 바꾸고 중국 은행 계좌로 옮긴 혐의로 기소된 사례도 언급했다. 과거 사례만으로 이번에도 같은 경로가 사용됐다고 단정할 수는 없다.
42
동결된 자금과 고객 보전액은 다른 숫자
바이낸스는 약 28억 5,000만 달러가 동결 또는 차단됐다고 밝혔다. 이 수치는 추후 대조 작업과 시장 가격 변동에 따라 달라질 수 있다. 엘립틱도 28억 5,000만 달러가 동결됐다고 보고했으며, 약 32억 4,000만 달러는 해킹 관련 지갑에 남아 있고 대부분 ETH와 BTC라고 추산했다. 모두 발표 시점에 따른 추적 수치이지, 최종 회수액을 확정한 정산 결과는 아니다.
22
32
바이낸스는 11월 1일 출금을 재개했다. 로이터에 따르면 거래소는 도난당한 가상자산 약 60억 달러 규모를 보전했다고 밝혔고, 서비스가 재개되자 고객들은 36억 4,000만 달러를 인출했다. NPR도 바이낸스가 자체 자금으로 고객 자산의 대부분을 보충했다고 보도했다. 고객 잔액을 보전하는 것은 이용자 보호 조치다. 공격자가 가져간 가상자산을 압수하거나 원래 주인에게 돌려줬다는 뜻은 아니다.
33
48
시장 위험에 관해 확인된 것과 확인되지 않은 것
TRM이 파악한 대규모 ETH 보유량과 분석된 자산 전환 경로를 고려하면, 공격자의 대량 매도가 시장에 부담을 줄 가능성은 있다. 하지만 제공된 보도만으로는 그런 매도가 특정 가격 변동을 일으켰다고 확인할 수 없고, 향후 변동성을 신뢰성 있게 예측할 수도 없다.
20
24
현재까지 확인되는 상황은 두 갈래의 대응이 동시에 진행 중이라는 점이다. 수사기관과 가상자산 업체들은 자금을 추적하고 동결하려 하고, 바이낸스는 고객 손실을 보전했다. 중국 자금세탁망이 일부 자금의 중개자로 관여했을 가능성은 제기됐지만, 주장된 모든 현금화 경로가 확인된 것은 아니다. 탈취된 가상자산 가운데 최종적으로 얼마가 회수될지도 아직 분명하지 않다.
22
25
33