라자루스 그룹의 비트코인 1942만 달러 이체, 온체인 기록이 보여주는 것

8월 28일, 무슨 일이 있었나?

아캄 인텔리전스가 **“Lazarus Group: Hacker”**로 표시한 지갑에서 244.148 BTC가 이동했다. 거래 당시 가치는 약 1942만 달러로 평가됐다. 룩온체인과 관련 보도는 이 움직임을 포착했지만, 비트코인을 받은 지갑의 실제 소유자나 서비스 정체는 공개적으로 확인되지 않았다. 810

거래 후 출발 지갑에는 약 267.526 BTC가 남아 있었던 것으로 전해졌다. 즉, 지갑의 비트코인 전량이 한 번에 빠져나간 상황은 아니다. 8

다만 블록체인이 알려주는 것은 자산이 어느 주소에서 어느 주소로 이동했는지다. 해당 주소를 누가 통제하는지, 왜 전송했는지까지 자동으로 밝혀주는 것은 아니다.

한 달 사이 이어진 대규모 이동

이번 거래는 라자루스 그룹 관련 지갑에서 관측된 다른 대규모 이동과 함께 봐야 한다.

• 7월 30일: 121.5 BTC가 약 774만 달러 상당의 가치로, 신원이 확인되지 않은 두 지갑으로 이동했다. 24
• 8월 중순: 룩온체인에 따르면 262.2 BTC가 약 1664만 달러 상당의 가치로 새 주소로 이동했다. 7
• 8월 28일: 244.148 BTC가 약 1942만 달러 상당의 가치로 아캄이 라자루스 그룹 관련 주소로 표시한 지갑에서 빠져나갔다. 810

세 거래를 합치면 627.848 BTC, 각 거래 당시 평가액을 기준으로 약 4380만 달러다. 규모만 보면 거래소 입금, 자금 분산, 지갑 통합 또는 이후 거래를 위한 준비 가능성을 모니터링할 만하다.

그러나 이는 어디까지나 조사 과정에서 제시할 수 있는 해석이다. 수신 지갑의 소유자, 지갑 간 동일 클러스터 여부, 거래소·브로커·믹서·브리지 등 특정 서비스와의 연결이 확인되지 않는 한 자금세탁 경로라고 단정할 수 없다.

바이비트 해킹 자금인가?

이번 이체가 주목받은 배경에는 바이비트 사건이 있다. 바이비트는 8월 7일 북한과 북한 정찰총국, 라자루스 그룹을 상대로 미국 연방법원에 소송을 제기했다. 소송은 2025년 2월 발생한 약 15억 달러 규모의 암호화폐 도난과 관련된 자산의 추적·보전을 목표로 한다. 미 연방수사국(FBI)은 이 공격을 북한 연계 행위자 **‘트레이더트레이터(TraderTraitor)’**의 소행으로 지목했다. 2127

법원 절차에는 특정 도난 자산을 동결하는 예비명령과, 관련 중개자 및 거래 기록을 확인하기 위한 신속한 증거개시가 포함된 것으로 보도됐다. 2124

하지만 현재 공개된 자료만으로는 8월 28일 이동한 244.148 BTC와 바이비트 도난 자금 사이의 거래 단위 연결고리가 확인되지 않는다. 바이비트 사건은 주로 이더리움 자산 도난으로 알려졌고, 이번 움직임은 비트코인 거래다. 자산 교환이나 크로스체인 이동을 통해 연결될 가능성은 있지만, 이를 입증하려면 구체적인 주소 분석과 자금 흐름 추적이 필요하다.

따라서 현 단계에서 해당 비트코인을 바이비트 해킹 자금이라고 부르는 것은 공개된 증거보다 앞서 나간 해석이다.

더 큰 맥락: 북한 연계 암호화폐 절도

이번 이동이 업계의 즉각적인 감시를 받는 이유는 라자루스 그룹이 반복적인 암호화폐 탈취와 복잡한 자금 이동으로 지목돼 왔기 때문이다. 블록체인 분석업체 체이널리시스는 북한 연계 해커들이 2025년에 최소 20억2000만 달러 상당의 암호화폐를 훔쳤으며, 누적 북한 연계 절도액은 최소 67억5000만 달러에 이른다고 추산했다. 2025년 수치에는 바이비트 공격이 큰 비중을 차지했다. 45

이런 배경 때문에 거래소, 수탁업체, 브리지 운영사와 블록체인 분석업체들은 다음 움직임을 주시한다. 예를 들어 식별 가능한 서비스로의 입금, 신규 지갑으로의 빠른 분할, 다른 체인으로의 교환 등이 나타나면 자금 통제 주체나 이동 목적을 파악하는 데 단서가 될 수 있다.

다만 아캄의 지갑 라벨은 자금 흐름을 추적하기 위한 분석 도구이지, 법원의 최종 판단은 아니다. 특정 주소가 라자루스 그룹과 연결된 것으로 표시됐다는 사실만으로 모든 수신 지갑이 같은 조직의 통제 아래 있거나, 해당 클러스터의 모든 자산이 동일한 해킹에서 나왔다고 볼 수는 없다.

확인된 사실과 확인되지 않은 주장

현재 보고된 자료로 확인되는 내용

• 아캄이 라자루스 그룹 관련 주소로 표시한 지갑에서 8월 28일 244.148 BTC가 이동했다. 810
• 당시 거래액은 약 1942만 달러로 평가됐다. 810
• 출발 지갑에는 약 267.5 BTC가 남아 있었던 것으로 전해졌다. 8
• 공개 보도에서는 수신 지갑의 신원이 확인되지 않았다. 8
• 7월 30일과 8월 중순에도 유사한 대규모 이동이 보고됐다. 27

현재 자료만으로 확정할 수 없는 내용

• 해당 거래가 매각 또는 현금화였다는 주장
• 새로운 해킹으로 탈취한 자금이라는 주장
• 확인된 자금세탁 경로의 일부라는 주장
• 바이비트 해킹에서 나온 자금이라는 주장
• 신원이 확인되지 않은 수신 지갑이 라자루스 그룹의 통제 아래 있다는 주장

가장 신중한 결론은 이렇다. 라자루스 그룹과 연결된 것으로 표시된 지갑에서 여러 차례 대규모 비트코인 이동이 이어졌지만, 수신 주소의 소유권과 자금 이동 목적은 아직 밝혀지지 않았다. 앞으로 식별 가능한 거래소나 서비스와의 상호작용, 또는 추가적인 블록체인 포렌식 결과가 이번 이체 자체보다 더 중요한 단서가 될 전망이다.